施耐德電氣的Modicon可編程邏輯控制器(PLC)存在一個(gè)高危漏洞，可以繞過認(rèn)證機(jī)制,，讓攻擊者完全控制目標(biāo)設(shè)備,。

　　該漏洞被追蹤為CVE-2021-22779，并被命名為ModiPwn,，是由企業(yè)物聯(lián)網(wǎng)安全公司Armis的研究人員發(fā)現(xiàn)的,。它可能被具有對(duì)目標(biāo)PLC的網(wǎng)絡(luò)訪問權(quán)的未經(jīng)身份驗(yàn)證的攻擊者利用。

　　MODICON系列 PLC高危漏洞可被攻擊者用來發(fā)動(dòng)多種攻擊

　　Armis演示的攻擊鏈還涉及過去幾年發(fā)現(xiàn)的其他幾個(gè)漏洞,。這些舊問題——它們被追蹤為CVE-2018-7852,、CVE-2019-6829和CVE-2020-7537——與施耐德的UMAS（統(tǒng)一消息應(yīng)用服務(wù)）協(xié)議有關(guān)，該協(xié)議用于配置和監(jiān)控這家工業(yè)巨頭的PLC,。

　　根據(jù)Armis的說法,，UMAS通過Modbus工業(yè)通信協(xié)議運(yùn)行，該協(xié)議“缺乏加密和適當(dāng)?shù)恼J(rèn)證機(jī)制”,。施耐德表示,，過去一直計(jì)劃采用Modbus安全協(xié)議，但在更安全的協(xié)議版本被廣泛采用之前,，舊版本將繼續(xù)構(gòu)成與安全相關(guān)的風(fēng)險(xiǎn),。

　　Armis的研究人員發(fā)現(xiàn)，與未文檔化的UMAS命令有關(guān)的老漏洞實(shí)際上可以被用于遠(yuǎn)程代碼執(zhí)行和信息泄露,，而不僅僅是施耐德最初聲稱的DoS攻擊,。

　　供應(yīng)商通過添加認(rèn)證機(jī)制修補(bǔ)了這些舊的缺陷，該機(jī)制應(yīng)該可以防止它們被濫用,。然而,，Armis發(fā)現(xiàn)的新的ModiPwn漏洞可以被利用來繞過這種身份驗(yàn)證機(jī)制。

　　攻擊者可以利用ModiPwn漏洞繞過身份驗(yàn)證,，然后利用未記錄的命令——基本上是較老的漏洞——執(zhí)行各種操作,。

　　黑客可以使用這種方法“接管PLC，并在設(shè)備上獲得本機(jī)代碼執(zhí)行,，可以用來改變PLC的操作,，同時(shí)對(duì)管理PLC的工程工作站隱藏這些改變?！?/p>

　　“針對(duì)工業(yè)控制器的惡意軟件已經(jīng)在野外被發(fā)現(xiàn),，例如Triton惡意軟件，它針對(duì)的是來自SE的Triconex安全控制器,。這個(gè)惡意軟件是一個(gè)運(yùn)行在工業(yè)控制器上的惡意軟件,，可以通過獲得本機(jī)代碼執(zhí)行來實(shí)現(xiàn)的潛在破壞性的例子。這個(gè)最新的漏洞顯示了攻擊者在類似的控制器上獲得本機(jī)代碼執(zhí)行的潛力。

　　ModiPwn漏洞最初于2020年11月中旬報(bào)告給施耐德電氣,。該供應(yīng)商當(dāng)?shù)貢r(shí)間7月13日發(fā)布了一份安全建議,，為這個(gè)漏洞提供緩解措施，但一個(gè)補(bǔ)丁尚未發(fā)布,。Modicon M580和M340 PLC將會(huì)受到影響,。

　　攻擊步驟如下：

　　使用CVE-2021-22779繞過認(rèn)證，預(yù)留PLC

　　上傳一個(gè)沒有配置應(yīng)用程序口令的新項(xiàng)目文件

　　釋放PLC預(yù)留,，斷開與設(shè)備的連接

　　用基本預(yù)約方式重新連接PLC,，不需要口令認(rèn)證

　　Armis公司和施耐德分別給出了的緩解措施和安全建議

　　Armis強(qiáng)烈建議使用施耐德電氣的Modicon PLC安全配置指南，例如在項(xiàng)目文件中使用口令驗(yàn)證,，正確使用網(wǎng)絡(luò)隔離,，實(shí)現(xiàn)訪問控制列表，以保護(hù)工業(yè)控制器免受不必要的通信和攻擊,。

　　該研究強(qiáng)調(diào)了第三方解決方案的重要性,，能夠監(jiān)控設(shè)備,，識(shí)別風(fēng)險(xiǎn),，并防止攻擊脆弱的工業(yè)控制器。

　　Armis操作技術(shù)（OT）平臺(tái)支持識(shí)別和監(jiān)控OT設(shè)備風(fēng)險(xiǎn)的高級(jí)功能,。這包括檢測(cè)脆弱的PLC,、ICS協(xié)議中的異常、檢測(cè)可能破壞未加密ICS協(xié)議安全性的中間人攻擊,，以及識(shí)別主動(dòng)的利用嘗試,。

　　Armis平臺(tái)還支持廣泛的集成，這些集成可以幫助組織執(zhí)行安全策略——例如,，根據(jù)嚴(yán)格的普渡級(jí)OT設(shè)備識(shí)別應(yīng)該使用的正確邊界,，并通過與網(wǎng)絡(luò)基礎(chǔ)設(shè)施解決方案的集成配置這些邊界。

　　“施耐德電氣致力于公開和透明的合作,，”施耐德電氣發(fā)言人托馬斯·艾克（Thomas Eck）在一份聲明中寫道,。公司鼓勵(lì)客戶遵循公司發(fā)布的緩解指導(dǎo)意見。

　　認(rèn)證和加密是ICS環(huán)境下的老大難問題

　　工業(yè)控制系統(tǒng)（ICS）,，即工業(yè)過程的操作生態(tài)系統(tǒng),，已經(jīng)成為勒索軟件團(tuán)伙和其他網(wǎng)絡(luò)罪犯以及國(guó)家黑客日益流行的目標(biāo)。2017年,，一種名為Trisis或Triton的惡意軟件破壞了沙特阿拉伯的一家石化工廠,。惡意軟件被設(shè)計(jì)用來滲透施耐德電氣的安全儀器系統(tǒng)。

　　專家們說,，施耐德控制器的脆弱性表明了一個(gè)更廣泛的行業(yè)問題,。工業(yè)環(huán)境中的許多遺留系統(tǒng)在設(shè)計(jì)時(shí)并沒有使用加密協(xié)議，而加密協(xié)議是保護(hù)數(shù)據(jù)的最強(qiáng)形式之一。

　　該漏洞可用于部署各種攻擊,，從啟動(dòng)勒索軟件到修改命令到機(jī)械,。“這是一個(gè)非常廣泛的范圍”,，Armis公司研究副總裁本,。斯里（Ben.Seri）表示?！八_實(shí)觸及了民族國(guó)家和這種規(guī)模的復(fù)雜攻擊的一端,，但它也可能只是勒索軟件攻擊者的下一個(gè)合乎邏輯的步驟。

　　”施耐德和其他制造商很難為這些可編程邏輯控制器創(chuàng)建安全保護(hù),，因?yàn)樗麄兪褂玫牡讓訁f(xié)議沒有加密或認(rèn)證,，斯里說“

　　他補(bǔ)充說：”無論他們?cè)诖嘶A(chǔ)上添加什么，試圖模擬安全通信結(jié)果在各種方面都達(dá)不到要求,，因?yàn)榈讓訁f(xié)議并不安全,。“

　　IT安全公司Scythe的首席執(zhí)行官布萊森·伯特（Bryson Bort）表示,，盡管漏洞很嚴(yán)重,，但施耐德電氣遠(yuǎn)非唯一一家面臨未加密系統(tǒng)風(fēng)險(xiǎn)的制造商。

　　”整個(gè)行業(yè)面臨的挑戰(zhàn)是,，加密和認(rèn)證不是操作技術(shù)設(shè)備的標(biāo)準(zhǔn),，“他說。

　　但斯里說,，施耐德電氣的PLC是說明加密為何重要的最好例子,。

　　”他們?cè)噲D使用其他身份驗(yàn)證，但如果沒有適當(dāng)?shù)募用?，幾乎不可能做到,，“斯里說?！蔽掖_實(shí)認(rèn)為這是一個(gè)長(zhǎng)期的問題,。這個(gè)領(lǐng)域必須有需求，這是一個(gè)要求,，這是我們應(yīng)該努力去做的事情,。“

　　認(rèn)證和加密技術(shù)是拜登政府對(duì)聯(lián)邦政府使用的軟件進(jìn)行改革的行政命令的核心,。美國(guó)能源部（Energy Department）也敦促電力行業(yè)采取類似行動(dòng),，以加強(qiáng)其網(wǎng)絡(luò)安全防御，但這一努力在很大程度上是電力行業(yè)自愿的,。

　　徹底解決老大難問題遙遙無期

　　Bort和Seri都表示,，由于時(shí)間和過程的復(fù)雜性,，行業(yè)在加密環(huán)境方面一直進(jìn)展緩慢。

　　正如上面的深入技術(shù)探討,，很明顯,，UMAS和Modbus的底層設(shè)計(jì)缺陷目前仍未得到修復(fù)。雖然正在嘗試加強(qiáng)對(duì)某些命令的訪問,，但這些設(shè)計(jì)缺陷給開發(fā)人員帶來了重大挑戰(zhàn)——這可能會(huì)在未來導(dǎo)致更多的漏洞,。

　　除了上面詳細(xì)介紹的兩個(gè)CVE（它們?cè)试S完全繞過增強(qiáng)的保留機(jī)制）之外，ARMIS還能夠識(shí)別出另外兩個(gè)暫時(shí)尚未修復(fù)的攻擊場(chǎng)景,。

　　1,、Man-on-the-Side認(rèn)證繞過

　　如上所述，當(dāng)成功預(yù)訂發(fā)生時(shí),，PLC將返回一個(gè)1字節(jié)的令牌,。這個(gè)令牌稍后會(huì)在所有需要預(yù)留的命令中使用。如果攻擊者已經(jīng)駐留在一個(gè)網(wǎng)絡(luò)內(nèi),，以這樣一種方式,，某些工程工作站和PLC之間的數(shù)據(jù)包被他（他可以用那個(gè)位置）注入一個(gè)TCP RST包到PLC，它將斷開工作站和PLC之間的Modbus TCP連接,。PLC將保留保留令牌的狀態(tài),，以便在幾秒鐘內(nèi)重用。如果在這個(gè)時(shí)間范圍內(nèi)攻擊者連接到PLC,，他可以重用令牌,，而不需要重新驗(yàn)證,。這可以通過使用觀察到的令牌（在人站的場(chǎng)景中）或簡(jiǎn)單地強(qiáng)制255個(gè)可能的值（PLC將拒絕錯(cuò)誤的令牌,，并且在多次嘗試時(shí)不會(huì)重置令牌）來實(shí)現(xiàn)。

　　盡管這種攻擊場(chǎng)景可以一定程度上減輕使用更長(zhǎng)的道理,，或企圖拒絕暴力事件,，潛在的威脅再次預(yù)約機(jī)制缺乏加密允許man-on-the-side攻擊者獲取信息，可用于繞過身份驗(yàn)證機(jī)制,。

　　2,、中間人身份驗(yàn)證繞過

　　不幸的是，更直接的攻擊,，也很容易實(shí)施——是中間人攻擊,。例如，使用ARP欺騙,，攻擊者可以在工程工作站和Modicon PLC之間設(shè)置一個(gè)中間人,。

　　利用這個(gè)位置，攻擊者可以從工作站伏擊預(yù)訂嘗試,，并獲取合法用戶使用的憑證和\或令牌,。雖然在預(yù)訂機(jī)制的當(dāng)前設(shè)計(jì)中,，口令哈希是通過MemoryBlockRead命令不加密傳遞的，但預(yù)計(jì)該命令在未來將不會(huì)使用,，口令哈希將不會(huì)通過UMAS\Modbus連接以明文方式傳遞,。然而，由于目前還沒有為協(xié)議來檢測(cè)一個(gè)中間人攻擊,，只是身份驗(yàn)證數(shù)據(jù)包轉(zhuǎn)發(fā)到PLC將讓他獲得預(yù)訂比濫用令牌,，他可以運(yùn)行任何非法命令可以用來改變PLC配置，或觸發(fā)命令,，可能會(huì)導(dǎo)致遠(yuǎn)端控制設(shè)備,。

　　再次，修復(fù)這個(gè)MiTM認(rèn)證旁路需要在工程工作站和PLC之間建立一個(gè)安全連接——既能加密通信,，又能驗(yàn)證雙方,，驗(yàn)證連接沒有通過MiTM。

　　雖然目前端點(diǎn)中的安全通信被認(rèn)為是一個(gè)已解決的問題,，但以類似的方式解決它給工業(yè)控制器提出了一個(gè)挑戰(zhàn),。在傳統(tǒng)端點(diǎn)中，使用證書對(duì)服務(wù)進(jìn)行身份驗(yàn)證,，并以安全的方式定義信任的根,。在工業(yè)控制器中，不存在允許驗(yàn)證證書的用戶界面,，而且缺乏Internet連接（設(shè)計(jì)上的）防止使用CA（證書頒發(fā)機(jī)構(gòu)）,。在沒有這些手段的情況下創(chuàng)建安全通信需要對(duì)控制器的物理訪問，通過這些控制器,，密鑰可以與外部網(wǎng)絡(luò)交換,。這將給部署帶來挑戰(zhàn)，而且制造商和供應(yīng)商似乎還沒有準(zhǔn)備好采取這一步,。

　　不幸的是,，如果沒有這種對(duì)Modicon PLC通信方式的基本修復(fù)，上述詳述的安全風(fēng)險(xiǎn)暫時(shí)仍與這些控制器有關(guān),。