Detectadas graves vulnerabilidades en dispositivos SCADA Siemens SICLOCK

En un reciente reporte de la multinacional Siemens, se alerta de graves vulnerabilidades remotas presentes en los dispositivos de control de planta SICLOCK TC que, dada su antigüedad, no van a ser actualizados, siendo necesario aplicar las contramedidas publicadas.

Los dispositivos Siemens SCADA, pertenecientes a la familia SICLOCK TC, se utilizan para proporcionar un sistema de sincronización de la hora dentro de una central de pequeña o mediana escala, en caso que el dispositivo principal fallase.

Las vulnerabilidades reportadas afectarían a los dispositivos SICLOCK TC100 y TC400, en todas sus versiones. Según el reporte facilitado, se habrían detectado 6 vulnerabilidades, como denegaciones de servicio, salto de restricciones de autenticación o modificación del firmware, siendo el listado completo el siguiente:

CVE-2018-4851 - Denegación de servicio.
CVE-2018-4852 - Salto de restricciones del sistema de autenticación.
CVE-2018-4853 - Modificación del firmware del dispositivo a través del puerto UDP 69.
CVE-2018-4854 - Modificación del cliente de administración presente en el dispositivo a través del puerto UDP 69. Un atacante podría de esta manera ejecutar código en el sistema del cliente que utilice una versión modificada.
CVE-2018-4855 - Revelación de credenciales sin cifrar, tanto en los ficheros de configuración, como durante el tráfico de red, permitiendo a un atacante con acceso obtener los credenciales de forma sencilla.
CVE-2018-4856 - Un atacante con permisos administrativos podría bloquear usuarios ya registrados en el dispositivo. Sólo mediante el acceso físico al dispositivo se podrían revertir los cambios.

Aunque no se han detectado ataques o exploits públicos que reproduzcan estas vulnerabilidades, Siemens ha proporcionado las contramedidas necesarias para proteger los dispositivos de estos ataques.

Al encontrarse estos dispositivos en el fin de ciclo de soporte, no se van a publicar actualizaciones de firmware por el momento, según el fabricante.

José Mesa
@jsmesa
jmesa @ hispasec . com

Más información:

SSA-197012: Vulnerabilities in SICLOCK central plant clocks

https://cert-portal.siemens.com/productcert/pdf/ssa-197012.pdf

Acceso administrativo remoto en diversos productos SIEMENS SIMATIC

Siemens ha confirmado una vulnerabilidad que afecta a diferentes productos de la familia SIMATIC que podría permitir a un atacante remoto conseguir acceso administrativo a los sistemas afectados.

Los productos de la familia SIMATIC se han diseñado específicamente para aplicaciones de control en entornos industriales, admitiendo configuraciones modulares y ahorrando en costes de mantenimiento. Cuenta con un diseño escalable y flexible, ideal para comunicaciones industriales.

La vulnerabilidad, con CVE-2015-8214, reside en el módulo Communication Processor (CP) y podría permitir a un atacante remoto sin autenticar realizar operaciones administrativas si está disponible el acceso a través del puerto 102/TCP.

Afectan a todas los siguientes productos:

• SIMATIC CP 343-1 Advanced: Con versiones de firmware inferiores a V3.0.44
• SIMATIC CP 343-1 Lean / CP 343-1
• SIMATIC TIM 3V-IE / TIM 3V-IE Advanced
• SIMATIC TIM 3V-IE DNP3
• SIMATIC TIM 4R-IE
• SIMATIC TIM 4R-IE DNP3
• SIMATIC CP 443-1 / CP 443-1 Advanced

Siemens ha publicado actualizaciones del firmware (V3.0.44) para SIMATIC CP 343-1 Advanced y prepara las correcciones necesarias para el resto de productos afectados. Mientras tanto se recomienda activar la funcionalidad de firewall y filtrar el acceso al puerto 102.

El fabricante también recomienda seguir las siguientes acciones de seguridad:

• Aplicar el concepto de protección de celda
  (https://www.siemens.com/cert/operational-guidelines-industrial-security).
• Seguir las indicaciones de seguridad industrial recomendadas
  (http://www.siemens.com/industrialsecurity)

Más información:

SSA-763427: Vulnerability in Communication Processor (CP) modules SIMATIC CP 343-1, TIM 3V-IE, TIM 4R-IE, and CP 443-1

http://www.siemens.com/cert/pool/cert/siemens_security_advisory_ssa-763427.pdf

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Vulnerabilidad descubierta en SIEMENS SIMATIC S7-1200

Ralf Spenneberg, Hendrik Schwartke y Maik Brüggeman de OpenSource Training han reportado una vulnerabilidad que afecta a productos de la familia SIMATIC S7-1200, que podría permitir a un atacante remoto realizar ataques de cross-site request forgery (CSRF).

Los productos de la familia SIMATIC S7-1200 se han diseñado específicamente para aplicaciones de control en entornos industriales, admitiendo configuraciones modulares y ahorrando en costes de mantenimiento. Cuenta con un diseño escalable y flexible, ideal para comunicaciones industriales.

La vulnerabilidad con CVE-2015-5698, por la que un atacante remoto podría valerse del servidor web integrado (Port 80/TCP y Port 443/TCP) para realizar determinadas acciones con los mismos permisos que el usuario que ha sido víctima del ataque. Generalmente, CSRF es una técnica que permite a un atacante ejecutar funcionalidades de una web determinada a través de la sesión de otro usuario en esa web.

Afectan a todas las versiones de la familia SIMATIC S7-1200.

Se recomienda actualizar a versión V4.1.3.

• V4.1.3 para S7-1200 V4 Standard CPUs
  https://support.industry.siemens.com/cs/ww/en/ps/13685/dl
• V4.1.3 para S7-1200 V4 Fail-safe CPUs
  https://support.industry.siemens.com/cs/ww/en/ps/13686/dl

El fabricante también recomienda seguir las siguientes acciones de seguridad:

• Aplicar el concepto de protección de celda
  (https://www.siemens.com/cert/operational-guidelines-industrial-security).
• Seguir las indicaciones de seguridad industrial recomendadas
  (http://www.siemens.com/industrialsecurity)

Más información:

SSA-134003: Web Vulnerability in S7-1200

http://www.siemens.com/cert/pool/cert/siemens_security_advisory_ssa-134003.pdf

SIMATIC S7-1200

http://w3.siemens.com/mcms/programmable-logic-controller/en/basic-controller/s7-1200/pages/default.aspx

Juan Sánchez

jasanchez@hispasec.com

Vulnerabilidades descubiertas en SIEMENS SIMATIC HMI

El equipo formado por Quarkslab e Ilya Karpov (Positive Technologies), han reportado tres vulnerabilidades que afectan a productos de la familia SIMATIC HMI. Estos problemas permitirían a atacantes remotos causar ataques 'Man-in-the-Middle' o provocar una denegación de servicio.

Los productos de la familia SIMATIC comprenden desde sistemas de control de maquinaria y planta, monitorización y control físico de procesos relacionados con el sector industrial, así como una amplia gama de software específico de comunicaciones para controladores y dispositivos de la familia SIMATIC.

La primera de las vulnerabilidades con CVE-2015-1601, en la que un atacante remoto podría realizar un ataque 'Man-in-the-Middle', que le permitiría obtener información sensible al interceptar y bloquear comunicaciones a través del puerto TCP 102.

La siguiente vulnerabilidad, con CVE-2015-2822, un atacante remoto podría causar una denegación de servicio, valiéndose de un ataque 'Man-in-the-Middle', a través del envío de paquetes especialmente manipulados en el puerto TCP 102.

Por último, el CVE-2015-2823, por el que un atacante remoto podría obtener hashes de contraseñas de usuarios reales con la finalidad de poder autenticarse él mismo en el sistema.

Afectan a las siguientes versiones:

• SIMATIC HMI Basic Panels 2nd Generation: Versiones anteriores a WinCC (TIA Portal) V13 SP1 Upd2
• SIMATIC HMI Comfort Panels: Versiones anteriores a WinCC (TIA Portal) V13 SP1 Upd2
• SIMATIC WinCC Runtime Advanced: Versiones anteriores a WinCC (TIA Portal) V13 SP1 Upd2
• SIMATIC WinCC Runtime Professional: Versiones anteriores a WinCC (TIA Portal) V13 SP1 Upd2
• SIMATIC HMI Basic Panels 1st Generation (WinCC TIA Portal): Todas las versiones
• SIMATIC HMI Mobile Panel 277 (WinCC TIA Portal): Todas las versiones
• SIMATIC HMI Multi Panels (WinCC TIA Portal): Todas las versiones
• SIMATIC NET PC-Software V12 and V13:
• SIMATIC NET PC-Software V12: Versiones anteriores a V12 SP2 HF3
• SIMATIC NET PC-Software V13: Todas las versiones anteriores a V13 HF1
• SIMATIC WinCC V7.X: Todas las versiones anteriores a V7.3 Upd4
• SIMATIC Automation Tool: Versiones anteriores a V1.0.2

Nota:

• CVE-2015-2822 solo afecta a SIMATIC WinCC Comfort Panels y SIMATIC WinCC Runtime Advanced
• CVE-2015-2822 solo afecta a SIMATIC WinCC.
• CVE-2015-1601 afecta a todas las versiones listadas arriba.

Se recomienda actualizar a versiones superiores. En caso de no existir actualización oficial, el fabricante recomienda seguir las siguientes acciones de seguridad:

• Aplicar el concepto de protección de celda
  (https://www.siemens.com/cert/operational-guidelines-industrial-security).
• Usar VPN para proteger las comunicaciones entre celdas.
• Aplicar defensa en "profundidad".
  (http://www.industry.siemens.com/topics/global/en/industrialsecurity/concept/Pages/defense-in-depth.aspx)

Más información:

Automatización Industrial

https://www.swe.siemens.com/spain/web/es/industry/automatizacion/Pages/automatizacion_industrial_default.aspx

SSA-487246: Vulnerabilities in SIMATIC HMI Device

http://www.siemens.com/innovation/pool/de/forschungsfelder/siemens_security_advisory_ssa-487246.pdf

Juan Sánchez

jasanchez@hispasec.com

Vulnerabilidad descubierta en SIEMENS SIMATIC S7-300

Johannes Klick, Christian Pfahl, Martin Gebert y Lucas Jacob pertenecientes a la Universidad Freie de Berlín, han reportado una vulnerabilidad que afecta a productos de la familia SIMATIC S7-300. Este problema permitiría a un atacante remoto provocar una denegación de servicio.

Los productos de la familia SIMATIC S7-300 se han diseñado específicamente para aplicaciones de control en entornos industriales, admitiendo configuraciones modulares y ahorrando en costes de mantenimiento. Además integra funciones de seguridad y control de movimiento.

La vulnerabilidad con CVE-2015-2177, por la que un atacante remoto podría valerse del envío de paquetes especialmente manipulados a el puerto TCP 102 o a través de Profibus (PROcess FIeld BUS, estándar de comunicaciones para buses de campo), con la intención final de provocar una denegación de servicio.

Se ven afectadas las versiones de la familia SIMATIC S7-300 CPU.

Se recomienda actualizar a versiones superiores.

El fabricante recomienda seguir las siguientes acciones de seguridad:

• Aplicar protección Escritura/lectura
• Aplicar el concepto de protección de celda
  (https://www.siemens.com/cert/operational-guidelines-industrial-security).
• Usar VPN para proteger las comunicaciones entre celdas.
• Aplicar defensa en "profundidad"
  (http://www.industry.siemens.com/topics/global/en/industrialsecurity/concept/Pages/defense-in-depth.aspx)

Más información:

SIMATIC S7-300

Sistemas de miniautómatas para las gamas baja y media

https://www.swe.siemens.com/spain/web/es/industry/automatizacion/simatic/controladores/pages/s7300.aspx

SSA-987029: Denial-of-Service Vulnerability in S7-300

http://www.siemens.com/innovation/pool/de/forschungsfelder/siemens_security_advisory_ssa-987029.pdf

Juan Sánchez

jasanchez@hispasec.com

Salto de restricciones en switches Siemens Scalance X-200 IRT

Dos vulnerabilidades en el firmware de los switches Siemens Scalance de la serie X-200 IRT (usados en entornos SCADA) podrían permitir eludir restricciones de seguridad de forma remota.

Siemen Scalance X-200-4P IRT

Los switches Siemens Scalance de la familia X-200 IRT son utilizados en redes industriales para conectar componentes tales como PLCs y HMIs. Además la serie IRT (Isochronous Real-Time) es recomendada para satisfacer las exigencias en cuanto al tiempo real. Disponen de una interfaz web de administración para facilitar su gestión y cuentan con funciones de diagnóstico remoto estándar (SNMP).

Siemens ha publicado un boletín de seguridad que corrige dos vulnerabilidades en los switches Scalance. La primera de ellas se debe a un error de falta de comprobación de privilegios de usuario de la interfaz web en el lado del servidor. Esto podría ser aprovechado por un atacante remoto autenticado para elevar sus privilegios y ejecutar comandos. Esta vulnerabilidad ha sido identificada como CVE-2013-3633.

La segunda vulnerabilidad se debe a un fallo en la implementación del protocolo SNMPv3 al no validar los credenciales del usuario correctamente, lo que podría permitir a un atacante remoto ejecutar comandos SNMP sin estar autenticado. El identificador de esta vulnerabilidad es CVE-2013-3634.

Se encuentran afectados los siguientes switches:

• Scalance X-200-4P IRT
• Scalance X-201-3P IRT
• Scalance X-201-3P IRT PRO
• Scalance X-202-2IRT
• Scalance X-202-2P IRT
• Scalance X-202-2P IRT PRO
• Scalance X-204IRT
• Scalance X-204IRT PRO
• Scalance XF-204IRT

Siemens ha publicado una actualización de firmware, la versión 5.1.0, que corrige ambos errores. Está disponible para su descarga en la página oficial.

  

Más información:

SSA-170686: Vulnerabilities in Siemens Scalance X200 IRT Switch family

http://www.siemens.com/corporate-technology/pool/de/forschungsfelder/siemens_security_advisory_ssa-170686.pdf

Siemens Industry Online Support

http://support.automation.siemens.com/WW/view/en/73470284

Juan José Ruiz

jruiz@hispasec.com

Vulnerabilidad en sistema de seguridad física Siemens Sipass Integrated

El investigador Lucas Apa, de IOActive, ha descubierto una vulnerabilidad en el sistema de control de accesos de Siemens que podría ser usada para ejecutar código arbitrario en el servidor. Esto podría permitir en última instancia desbloquear puertas o desactivar cámaras y alarmas asociadas.

Siemens Sipass Integrated es un sistema centralizado de control de accesos bastante extendido en diversos tipos de instalaciones, tanto empresariales como gubernamentales. Reúne en una sola aplicación para Windows la administración de varios ACCs (Advanced Central Controllers), los dispositivos que controlan directamente los terminales de tarjetas de acceso, además de otros como alarmas infrarrojas o ascensores. Estos ACCs poseen una interfaz Ethernet y se conectan al servidor SiPass enviado mensajes RPC a través del protocolo TCP/IP.

La vulnerabilidad se encuentra en AscoServer.exe, el ejecutable que utiliza SiPass como pasarela con el puerto 4343, que recibe los mensajes IOCP (Input/Output Completion Port) de los ACCs. Cuando uno de estos mensajes llega, se escriben las estructuras necesarias para manejarlo en la memoria compartida por todos los hilos de la aplicación.

Debido a una insuficiente comprobación de la validez de estos mensajes, el servidor podría aceptar aquellos con un contenido manipulado que podrían afectar al servidor y cambiar la forma en la que los procesa, permitiendo escribir datos arbitrarios en la memoria. Esto deja la puerta abierta a la ejecución remota de código arbitrario en el contexto del usuario System, el usado por la aplicación.

Además de tomar el control de la máquina Windows en la que se ejecuta el programa, uno de los posibles escenarios barajados por Apa contempla el eludir las alarmas sonoras o alertas de vídeo que se pudieran asociar a eventos como por ejemplo, forzar una puerta.

Esta vulnerabilidad, que afecta a todos los sistemas Siemens Sipass Integrated anteriores a la versión MP2.6, ya ha sido solucionada mediante un parche para las versiones hasta la MP2.4, mientras que los poseedores de versiones anteriores son alentados a actualizar sus sistemas a las versiones más recientes.

Más información:

SIEMENS Sipass Integrated 2.6 Ethernet Bus Arbitrary Pointer Dereference [pdf]

http://www.ioactive.com/pdfs/SIEMENS_Sipass_Integrated_Ethernet_Bus_Arbitrary_Pointer_Dereference_V4.pdf

SSA-938777: Possible Remote Code Execution in SiPass Server [pdf]

http://www.siemens.com/corporate-technology/pool/de/forschungsfelder/siemens_security_advisory_ssa-938777.pdf

  

Francisco López

flopez@hispasec.com