Sektörden Haberler

Schneider Electric, PLC’leri Hacklemeye İzin Veren Kritik Kusur Yamalarını

Yayınladıktan Sonra Açıklık ile İlgili Ayrıntıları Açıkladı

29 Eylül 2022

Schneider Electric, geçtiğimiz aylarda EcoStruxure platformu ve bazı Modicon programlanabilir mantık denetleyicileri (PLC'ler) için bir yıldan uzun bir süre önce açıklanan kritik bir güvenlik açığını gidermek için yamalar yayınladı.

CVE-2021-22779 ile tanımlanan söz konusu kusur, endüstri devi tarafından okuma ve yazma modunda kontrolör ve mühendislik yazılımı arasındaki Modbus iletişimlerini yanıltarak, Modicon M580 veya M340 denetleyicisine yetkisiz erişime izin verebilecek bir kimlik doğrulama atlama sorunu olarak tanıtıldı.

Schneider Electric, Fortinet, Tenable, Kaspersky, Armis ve Bolean Tech dahil olmak üzere çeşitli şirketlerden araştırmacılara bu güvenlik açığını bildirdikleri için teşekkürlerini bildirdi.

Ayrıca Armis tarafından; Temmuz 2021'de ModiPwn olarak adlandırdığı açıklıkla ilgili, PLC'ye ağ erişimi olan ve kimliği doğrulanmamış herhangi bir saldırganın, hedeflenen cihazın tam kontrolünü ele geçirmek için güvenlik açığından yararlanabileceği konusunda uyarı yapıldığı açıklandı.

Armis'in açıklamasına konu olan dönemde, henüz Schneider Electric tarafından açıklıkla ilgili herhangi bir yama yayınlanmamıştı. Üretici, Mart 2022'den itibaren yamalarını yayınlamaya başladı. İlk olarak EcoStruxure yazılımı için hata düzeltmeleri ve sonraki aylarda da PLC'ler için ürün yazılımı yamalarının kullanılabilir olduğunu duyurdu.

 

Kaynak: https://www.securityweek.com/details-disclosed-after-schneider-electric-patches-critical-flaw-allowing-plc-hacking