Unpatchable Hardware Vulnerability Allows Hacking of Siemens PLCs
2023/01/11 SecurityWeek — Siemens の Programmable Logic Controllers (PLCs) シリーズに影響を及ぼす深刻な脆弱性を、ファームウェア・セキュリティ会社である Red Balloon Security の研究者が発見した。この脆弱性を CVE-2022-38773 の悪用に成功した攻撃者は、保護されたブート機能を回避し、コントローラの動作コードとデータを、持続的に変更することが可能になる。Red Balloon Security によると、Siemens の Simatic／Siplus S7-1500 の CPU における、一連のアーキテクチャに問題があるという。
2022年1月10日のブログ投稿で Red Balloon は、「Siemens のカスタム SoC (System-on-Chip) は、初期のブートプロセスでの破壊を防ぐ、RoT (Root of Trust) を確立していない。そこには、実行前のブートローダとファームウェアの全段階に対する、非対称署名検証の欠如も含まれる。それらのデバイスにおいて Root of Trust の確立に失敗すると、カスタム変更されたブートローダとファームウェアが、攻撃者によりロードされる可能性が生じる。それらの変更が生じると、デバイス上での改ざん防止機能および整合性チェック機能が、攻撃者により実行／バイパスされることになる」と述べている。
Red Balloon によると、影響を受ける PLC のファームウェアを解読した攻撃者は、100種類以上のデバイス・モデルで起動が可能な、独自の悪意のファームウェアを生成できるようになる。
この脆弱性を悪用するには、対象となる PLC に物理的にアクセスする必要があるが、悪意のファームウェアをデバイス上に展開するために、ハッカーが別のリモートコード実行欠陥を悪用する可能性があると、研究者たちは指摘している。
それぞれのコントローラの用途にもよるが、一般的にみて、PLC のハッキングに成功した攻撃者は、標的となる組織内に大きな損害や混乱を引き起こす可能性がある。
2023年における Patch Tuesday 第一弾を発表した 1月10日に、この CVSS スコアが Medium である脆弱性について、Siemens は顧客に通知した。
同社は、「この脆弱性を悪用するには、製品への物理的な改ざんが必要なため、対象デバイスへの物理的なアクセスのリスクを評価し、信頼できる人員だけに許可するという、対策の実施を推奨している」と述べている。
この脆弱性は、ファームウェアのアップデートで修正できるものではなお。したがって、Siemens のアドバイザリにおいては、「現時点では、修正の予定はない」と顧客に伝えられている。ただし、影響を受ける CPU の一部については、脆弱性を修正した新しいハードウェア・バージョンをリリースしており、残りの製品についても、新しいハードウェア・バージョンの開発に取り組んでいることを明らかにしている。
Siemens の PLC に、修正が不可能な脆弱性が発見され、それらの PLC への物理的なアクセスを見直すべきというアドバイザリが、同社から発せられているようです。最近の Siemens の脆弱性に関しては、以下のものがあります。
2022/10/11：PLC の深刻な脆弱性 CVE-2022-38465：秘密鍵リークの恐れ
2022/08/09：ICS Patch Tuesday 2022 August：11件の脆弱性に対応
2022/06/17：Siemens SINEC NMS に 15件の脆弱性：リモートコード実行
また、2022/08/12 には、「Siemens ソフトウェア・コントローラの問題点：Black Hat で研究者が指定する欠陥とは？」という記事がアップされています。
IoT OT Security News 
You must be logged in to post a comment.