ABB Freelance AC-серия Контроллеры

Основная статья: АСУ ТП - типовая структура

2025: В контроллерах ABB найдена уязвимость, позволяющая захватить управление энергоснабжением

В середине февраля ФСТЭК предупредила об обнаружении критической ошибки BDU:2025-01311^[1] в двух сериях контроллеров ABB – MATRIX и NEXUS. В них обнаружены учетные данные по умолчанию, которые злоумышленники могут использовать для получения контроля над устройствами. Уязвимость получила оценку опасности 9,8 из 10 по CVSS и существует вплоть до версии 3.08.03. Ошибка уже исправлена производителем, однако техническая поддержка продуктов компании на территории России и Белоруссии прекращена с лета 2022 года.

Серии контроллеров MATRIX и NEXUS входят в промышленное решение ABB ASPECT-Enterprise, которое предназначено для управления энергетикой крупных зданий и строений. Они дают возможность дистанционного управления энергоснабжением объектов, на которых решение развернуто. Перехват управления такими системами с помощью паролей по умолчанию, которые нельзя изменить, могут дать злоумышленникам возможность отключить энергопитание в помещениях зданий и вывести другое оборудование из строя.

𝓲

Фото: TAdviser

Хотя ABB и является мировым лидером по производству АСУ ТП, их контроллеры в России нашли минимальное применение, – заверил читателей TAdviser Олег Ушаков, директор направления развития центра компетенций по промышленной автоматизации «Т1 Интеграция». – В работе любого оборудования возможны сбои. При обнаружении ошибок важна возможность оперативной загрузки обновлений от производителя, что сейчас невозможно с продукцией ABB - вендор не поддерживает работу с рынком России и Белоруссии.

Сейчас специалистам ИТ приходиться использовать каналы параллельного импорта, чтобы обойти ограничения на загрузку обновлений, однако при этом увеличивается вероятность атаки через каналы поставок: в новой версии прошивок, полученной из таких источников могут быть встроены закладки, поэтому их в любом случае необходимо тщательно проверить перед установкой. На случай, если пользователям продуктов ABB не удастся установить обновления из доверенных источников, эксперты ФСТЭК рекомендуют использовать следующие компенсирующие меры:

• Использовать средства межсетевого экранирования для ограничения возможности удалённого доступа к программному обеспечению;
• Составить «белый» список IP-адресов для ограничения удалённого доступа к уязвимому программному обеспечению;
• Взаимодействовать с уязвимыми компонентами только по защищенным каналам связи.

Важно при этом не дать посторонним напрямую подключиться к уязвимым контроллерам, то есть спрятать их в защищенные сегменты сети, а в здании, где они установлены, не допускать подключения к технологической сети посторонних устройств.Профессиональные дисплеи для медучреждений: как цифровые технологии улучшают качество обслуживания пациентов и работу медперсонала 2.2 т

Стоит отметить, что тема жестко закодированных паролей в инженерном программном обеспечении – проблема старая. Она может встречаться в самых разнообразных ситуациях, поэтому пользователям продуктов для построения АСУ ТП всегда стоит предварительно проверять свои решения на наличие подобных уязвимостей.

В корпоративных информационных системах обычно требуется исключать использование закодированных учетных данных, – напомнил правила промышленной безопасности Алексей Захаров, директор по технологическому консалтингу Axiom JDK. – Такие дефекты в ПО обычно можно предотвратить, используя средства статического анализа кода или проводя его анализ на предмет выявления недостатков, связанных с безопасностью. Такие процедуры регламентированы в нашем ГОСТ по разработке безопасного ПО. Обычно для исключения подобных ситуаций применяют защищенные методы авторизации, такие как корпоративные системы авторизации, которые используют защищенные алгоритмы для передачи данных и не хранят локально информацию об учетной записи.

2024: Устранение уязвимостей, позволяющих перехватить управление контроллерами

В контроллерах ABB исправлены уязвимости, обнаруженные экспертами компании Positive Technologies, которая сообщила об этом 19 марта 2024 года. Атакующий, используя их, мог остановить работу контроллеров или перехватить управление ими.

Компания ABB поблагодарила Наталью Тляпову и Дениса Горюшева за обнаружение двух уязвимостей в контроллерах Freelance AC 900F и AC 700F. Эти устройства применяются в металлургии, химической промышленности и в других сферах. Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление ПО.

Контроллеры AC 900F и AC 700F используются для построения распределенных систем управления (РСУ) на предприятиях и предназначены для автоматизации крупных производств непрерывного цикла. ABB является лидером мирового рынка РСУ с долей 20%. Уязвимости CVE-2023-0425 и CVE-2023-0426 (доступ из России — через VPN) получили одинаковую оценку 8,6 по шкале CVSS v3.1, которая означает высокий уровень опасности.

Специалисты отдела анализа приложений Positive Technologies, обнаружившие уязвимости, отмечают, что, эксплуатируя эти недостатки безопасности, атакующий смог бы остановить работу контроллеров и нарушить технологический процесс. Кроме того, с помощью отправки специально сформированного пакета злоумышленник мог бы провести атаку типа remote code execution (выполнение произвольного кода), что позволило бы ему перехватить управление устройством.

Компания ABB рекомендует в кратчайшие сроки установить обновления Freelance 2016 SP1 RU06, Freelance 2019 SP1 RU02 и Freelance 2019 SP1 FP1 RU03. Для снижения угрозы пользователи также могут применять меры, описанные в уведомлении безопасности (доступ — через VPN).