{"id":283767,"date":"2023-07-14T00:01:00","date_gmt":"2023-07-13T22:01:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=283767"},"modified":"2023-07-14T00:12:39","modified_gmt":"2023-07-13T22:12:39","slug":"schwere-schwachstellen-in-honeywell-und-rockwell-ot-plattformen-12-juli-2023","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/07\/14\/schwere-schwachstellen-in-honeywell-und-rockwell-ot-plattformen-12-juli-2023\/","title":{"rendered":"Schwere Schwachstellen in Honeywell und Rockwell OT-Plattformen (12. Juli 2023)"},"content":{"rendered":"

\"Sicherheit[English]Sicherheitsanbieter Armis und Honeywell warnen gemeinsam vor neun Schwachstellen (Crit.IX), von Armis Sicherheitsforschern in den Honeywell's Experion\u00ae Platforms gefunden wurden. Dies ist eine L\u00f6sung im Bereit der Industrieautomatisation. Die Schwachstellen erm\u00f6glichen eine nichtautorisierte Remote-Code-Ausf\u00fchrung auf \u00e4lteren Versionen der Honeywell Server und Controller. Bei einer Ausnutzung w\u00fcrde dies dem Angreifer erm\u00f6glichen, Ger\u00e4te zu \u00fcbernehmen und die Prozesse auf den DCS-Controllern zu ver\u00e4ndern, sowie dies auf den Engineering Workstations, die die DCS-Controller verwalten, sogar zu verbergen. Von Tenable liegt mir zudem eine Information vor, dass auch Schwachstellen in Rockwell Automation ControlLogix (OT-Plattform) geschlossen wurden.<\/p>\n

<\/p>\n

Crit.IX: Neun Schwachstellen in Honeywell's Experion DCS<\/h2>\n

\"\"Ich hatte die Information bereits zum 12. Juni 2023 auf Twitter gesehen, von Armis gibt es dazu den Blog-Beitrag Crit.IX: 9 vulnerabilities discovered in Honeywell's Experion\u00ae Platforms for Distributed Control Systems (DCS)<\/a>. Im Mai 2022 konnte Armis zusammen mit Honeywell die Entdeckung von 13 Code-Schwachstellen im Experion C300 Controller und Server best\u00e4tigen. In Summe ergeben sich 9 neue Schwachstellen, von denen 7 als kritisch eingestuft werden. Inzwischen gibt es auch von der US CISA eine entsprechende Sicherheitswarnung<\/a> mit weiteren Details.<\/p>\n

Viele Produkte betroffen<\/h3>\n

Die betreffenden Schwachstellen (in den Kommunikationsmodulen bzw. im CDA-Protocol der Honeywell's Experion\u00ae Platform) erm\u00f6glichen einem Angreifer, der im gemeinsamen Netzwerk unterwegs ist, eine Remote-Code-Ausf\u00fchrung ohne weitere Autentifizierung auf \u00e4lteren Versionen der Honeywell Server und Controller.<\/p>\n

Bei einer Ausnutzung w\u00fcrde dies dem Angreifer erm\u00f6glichen, Ger\u00e4te zu \u00fcbernehmen und die Prozesse auf den DCS-Controllern zu ver\u00e4ndern. Dar\u00fcber hinaus h\u00e4tten sie die \u00c4nderungen vor den Engineering Workstations verbergen k\u00f6nnen, die die DCS-Controller verwalten. Die Ausnutzung dieser Schwachstellen ben\u00f6tigt keine Authentifizierung, sondern lediglich einen Zugang zum Netzwerk auf die anvisierten Ger\u00e4te. Dar\u00fcber hinaus k\u00f6nnen m\u00f6glicherweise weitere IT, IoT und OT-Assets, die sich im gleichen Netzwerk wie die DCS-Ger\u00e4te befinden, kompromittiert werden.<\/p>\n

Die neu entdeckten Schwachstellen betreffen eine ganze Reihe von Produkten und Versionen in drei Honeywell Experion DCS-Plattformen: In der Experion Process Knowledge System (EPKS)<\/i><\/b>-Plattform (Experion Server and Experion Station) und in den LX<\/i><\/b> und PlantCruise<\/i><\/b>-Plattformen (Engineering Station and Direct Station). Au\u00dferdem betreffen die Schwachstellen den C300 DCS Controller<\/i><\/b>, der auf allen drei Plattformen genutzt wird.<\/p>\n

Es gibt Patches von Honeywell<\/h3>\n

Armis hat mit Honeywell kooperiert, um Patches zu entwickeln und dann die Schwachstelle in einem responsible disclose zu ver\u00f6ffentlichen. Honeywell hat inzwischen Sicherheits-Patches f\u00fcr die betreffenden Komponenten zur Verf\u00fcgung gestellt und r\u00e4t allen betroffenen Kunden dringend, die Patches umgehend zu installieren.<\/p>\n

Die Sicherheitsupdates sind aber nur per Login auf dem Honeywell-Portal<\/a> in der technischen Dokumentation einsehbar. Amris gibt zudem an, dass die eigenen Schutzl\u00f6sungen die Systeme vor dieser Bedrohung sch\u00fctzen k\u00f6nnten.<\/p><\/blockquote>\n

Auch Schwachstellen in Rockwell DCS<\/h2>\n

Parallel dazu habe ich von Tenable die Information bekommen, dass Rockwell zum 12. Juli 2023 einen Sicherheitshinweis bez\u00fcglich Schwachstellen in Automation ControlLogix ver\u00f6ffentlicht hat. Auch bei Rockwell kommt man nur mit Anmeldung in den Bereich mit den Sicherheitshinweisen.<\/p>\n

Tenable hat aber den Blog-Beitrag CVE-2023-3595, CVE-2023-3596: Rockwell Automation ControlLogix Vulnerabilities Disclosed<\/a> ver\u00f6ffentlicht. Es gibt gleich mehrere Schwachstellen in den ControlLogix-Kommunikationsmodulen von Allen-Bradley. ControlLogix-Kommunikationsmodule werden in vielen Branchen und Sektoren eingesetzt, unter anderem in der Energie-, Transport- und Wasserwirtschaft, um die Kommunikation zwischen Maschinen, IT-Systemen und entfernten Chassis zu erm\u00f6glichen.<\/p>\n