В инструментах программирования PI Studio производства WECON Technology обнаружены серьезные уязвимости, однако устранять их вендор не торопится.

Китайская компания WECON специализируется на разработке ПО для создания систем человеко-машинного интерфейса, а также программируемых логических контроллеров и ПК для промышленных предприятий. Ее продукты используются по всему миру в критически важных отраслях, в том числе в промышленном производстве, энергетике, водоснабжении и водоочистке.

Согласно бюллетеню Группы быстрого реагирования на киберинциденты в сфере управления производственными процессами США (ICS-CERT), новые уязвимости присутствуют в PI Studio HMI 4.1.9 и более ранних выпусках, а также в PI Studio версий 4.2.34 и ниже.

Наибольшую угрозу составляет брешь CVE-2018-14818, оцененная в 9,8 балла по шкале CVSS. Она связана с ошибкой переполнения буфера в стеке и позволяет удаленно выполнить произвольный код.

Несколько менее опасна уязвимость CVE-2018-14810 (8,8 балла), вызванная возможностью записи за пределами выделенного в памяти буфера. Эту ситуацию, по словам экспертов можно использовать для выполнения вредоносного кода в контексте администратора.

Еще две уязвимости признаны умеренно опасными: CVE-2018-17889 и CVE-2018-14814. В появлении первой повинен парсер, включенный в комплект PI Studio для обработки входных данных в формате XML. Как оказалось, этот анализатор уязвим к XXE — атакам путем использования внешних сущностей для записи спецсимволов в XML-документах. Следствием эксплойта в данном случае является раскрытие информации.

Другая уязвимость умеренной степени опасности связана с ошибкой чтения за пределами допустимого диапазона. Ее первопричиной является неадекватная проверка данных, вводимых пользователем.

Согласно бюллетеню ICS-CERT, компания WECON подтвердила наличие уязвимостей, но патчи пока не выпустила.

Категории: Уязвимости