Attackers Exploit Critical Siemens IoT2050 Flaw to Plant Remote Command Backdoors

La em­pre­sa Vuln­Check ha des­cu­bier­to que una falla de se­gu­ri­dad de gra­ve­dad má­xi­ma en los dis­po­si­ti­vos Sie­mens SIMATIC IoT2050 Ad­van­ced está sien­do ex­plo­ta­da de forma ac­ti­va. Este fallo, re­gis­tra­do bajo el iden­ti­fi­ca­dor co­rres­pon­dien­te y con la pun­tua­ción má­xi­ma de vul­ne­ra­bi­li­dad, con­sis­te en una falta de au­ten­ti­ca­ción en una fun­ción crí­ti­ca que per­mi­te a ata­can­tes re­mo­tos sin au­ten­ti­car eje­cu­tar có­di­go ar­bi­tra­rio.

De acuer­do con la ad­ver­ten­cia emi­ti­da por el fa­bri­can­te, el pro­ble­ma afec­ta a los equi­pos que ope­ran con In­dus­trial OS y que tie­nen Node-RED ins­ta­la­do, per­mi­tien­do la crea­ción de flu­jos ma­li­cio­sos en la in­ter­faz HTTP. Para so­lu­cio­nar este in­con­ve­nien­te, se han lan­za­do ver­sio­nes ac­tua­li­za­das y se han pro­pues­to me­di­das pa­lia­ti­vas que in­clu­yen la des­ins­ta­la­ción de la he­rra­mien­ta o su for­ta­le­ci­mien­to me­dian­te el uso de pro­to­co­los se­gu­ros de ac­ce­so, au­ten­ti­ca­ción ba­sa­da en cre­den­cia­les, OAuth u Ope­nID, y au­ten­ti­ca­ción bá­si­ca en los nodos HTTP y su panel.

Las ob­ser­va­cio­nes de Vuln­Check sobre su red de si­mu­la­ción in­di­can que los ata­can­tes han in­ten­ta­do uti­li­zar esta vul­ne­ra­bi­li­dad para des­car­gar y eje­cu­tar pro­gra­mas ma­li­cio­sos de tipo bot en sis­te­mas Linux. Las ac­cio­nes ma­li­cio­sas han in­clui­do el des­plie­gue de flu­jos au­to­ma­ti­za­dos para ex­traer bi­na­rios desde ser­vi­do­res ex­ter­nos me­dian­te he­rra­mien­tas como wget o curl, ade­más de cam­biar pos­te­rior­men­te a es­tra­te­gias de múl­ti­ples eta­pas y a la crea­ción de pun­tos de ac­ce­so ocul­tos o res­pal­dos per­sis­ten­tes de co­man­dos re­mo­tos.