Rockwell Automation, una vulnerabilità consente l’accesso non autorizzato ai dispositivi

I ricercatori di Team82 di Claroty hanno individuato una vulnerabilità nei dispositivi Rockwell Automation che consente a un attaccante di ottenere accesso non autorizzato ed eseguire comandi.

Il bug, tracciato come CVE-2024-6242, colpisce i dispositivi della serie ControlLogix 1756, pensati per supportare le applicazioni di automazione industriale ad elevate performance che richiedono alta scalabilità. Questi device utilizzano il protocollo CIP (Common Industrial Protocol) per la comunicazione tra dispositivi, come sensori, attuatori e altri controller.

Pixabay

I ricercatori spiegano che la vulnerabilità colpisce una feature di sicurezza chiamata “trusted slot” che è pensata per negare le comunicazioni tra moduli non riconosciuti come legittimi. “La funzione trusted-slot aiuta a stabilire e ad applicare i criteri di sicurezza all’interno dello chassis ControlLogix. Garantisce che solo gli slot autorizzati possano comunicare tra loro, proteggendo dall’accesso non autorizzato e da potenziali manomissioni” spiega il team di sicurezza.

I singoli moduli (o slot) sono collegati e comunicano tramite il backplane, un circuito stampato che consente al controller e ai moduli di I/O di scambiarsi informazioni. Per via di questo collegamento, i ricercatori sono riusciti a generare un pacchetto CIP e instradarlo verso uno slot legittimo prima che raggiungesse la CPU.

Sfruttando il bug, un attaccante è in grado di bypassare il controllo di sicurezza e comunicare tramite il protocollo CIP, inviando comandi alla CPU anche da una rete considerata non sicura. Un attaccante può modificare la configurazione del dispositivo a suo piacimento ed eseguire comandi di download, upload e aggiornamento sulla CPU del dispositivo.

Rockwell Automation ha rilasciato un fix per la vulnerabilità e ha invitato gli utenti ad aggiornare il prima possibile i dispositivi vulnerabili. L’analisi della compagnia ha rivelato che il bug non colpisce solo i device ControlLogix, ma anche i GuardLogic 5580 e in generale tutti i Moduli 1756 ControlLogix I/O. Nel caso non sia possibile aggiornare il firmware, è possibile limitare l’esecuzione di comandi CIP sui controller impostando lo switch in posizione RUN.