مختبرات “فيدير لابس” تكشف عن ثلاث نقاط ضعف جديدة تؤثر في منتجات التكنولوجيا التشغيلية

تواصل مختبرات “فيدير لابس” تقديم نتائج بحثها بعنوان “التكنولوجيا التشغيلية: الخطوة التالية” ، حيث كشفت خلاله الشركة عن ثلاث نقاط ضعف جديدة تؤثر في منتجات التكنولوجيا التشغيلية لاثنتين من الشركات الألمانية وهما: وحدات التحكم بالأتمتة من شركة فيستو (Festo)؛ ومجموعة أدوات التشغيل من شركة كودسيس (CODESYS)، والمستخدمة من قبل الكثير من مصنعي الأجهزة في مختلف القطاعات الصناعية، بما فيها شركة “فيستو”، وكما هي الحال في بحث التكنولوجيا التشغيلية: الخطوة التالية، الأساسي، يعود سبب هذه المشكلات إلى منهجية التصميم غير الآمنة التي تشتمل عمليات التصنيع فيها على وظائف خطرة يمكن الوصول إليها دون إجراء عملية مصادقة – والتي كانت تشكل أمراً اعتيادياً عند إطلاق المنتجات، بالإضافة إلى ضعف تنفيذ ضوابط الأمن مثل عمليات التشفير.

ويلخّص الجدول أدناه نقاط الضعف التي تم الكشف عنها مؤخراً، ويشمل شركات التصنيع المتضررة إضافة إلى منصة CERT@VDE الألمانية الأمنية المخصصة لشركات الأتمتة الصغيرة والمتوسطة.

وتشابه هذه المشكلات نقاط الضعف الأخرى التي تم الكشف عنها مؤخراً في البحث. وتشكل نقطة الضعف CVE-2022-4048 مثالاً على ضعف عمليات التشفير، بينما تعكس نقطة الضعف CVE-2022-3079 تأثيرات الافتقار إلى عمليات المصادقة، في حين تندرج نقطة الضعف CVE-2022-327 ضمن فئة البروتوكولات الهندسية غير الآمنة.

كما توصّل البحث إلى أن وحدات التحكم في نظام CPX-CEC-C1 وعدد من أجهزة فيستو الأخرى تتأثر بنقطتي الضعف المعروفتين لدى شركة كودسيس، وهما CVE-2022-31806 وCVE-2022-22515 لأنها تندمج مع الإعدادات غير الآمنة في بيئة عمل أدوات التشغيل من كودسيس. ويوفر ذلك مثالاً آخر عن إحدى مشاكل سلسلة التوريد التي تنتج عن عدم الكشف عن تأثير إحدى نقاط الضعف على جميع المنتجات التي تتضمنها، كما لاحظنا في بحث التكنولوجيا التشغيلية: الخطوة التالية مع نقطة الضعف CVE-2014-9195 التي تؤثر على نظام التشغيل ProConOS.

ونناقش في ما يلي كل واحدة من المشكلات الجديدة بشكل مفصل، ونقدم توصيات مهمة للتخفيف من تأثيراتها.

               ضعف عمليات التشفير في نظام CODESYS V3

توفر بيئة عمل نظام CODESYS V3 إمكانية تشفير التطبيقات لضمان تشفير رموز التنزيل وتطبيقات بدء التشغيل. ويمكن إجراء عمليات التشفير هذه باستخدام مفتاح الحماية CodeMeter، حيث تقوم العملية الاعتيادية الخاصة بتشفير رمز التنزيل (EncryptDownloadCode) بتوليد مفتاح للجلسة، وتشفيره باستخدام مفتاح الحماية، وتشفير رمز التنزيل باستخدام مفتاح الجلسة، ثم دمج مفتاح الجلسة المشفّر والنص المشفّر للرمز ضمن حزمة واحدة. ولكن ينجم عن هذه المنهجية المشكلات التالية:

• يتم توليد مفاتيح الجلسة باستخدام مولد أعداد شبه عشوائي (PRNG) غير آمن ويعمل باستخدام قيمة رقمية صغيرة يمكن توقعها. تقوم عملية تشفير رمز التنزيل بتوليد مفاتيح الجلسة باستخدام نظام Random Class – وهو مولد أعداد شبه عشوائي (PRNG) غير آمن – يتم تصنيفه باستخدام وظيفة عدد علامات الاختيار الحالية، والتي يمكن توقعها وتخفيض قيمتها إلى 31 بت من خلال تحويلها إلى الأعداد الصحيحة ذات الإشارة المزدوجة. ثم يتم تشفير مفتاح الجلسة هذا من خلال توصيله مع مكونات مفتاح الحماية. وبعدها يُستخدم مفتاح الجلسة مع ناقل التهيئة NULL-IV لتشفير رمز التنزيل باستخدام معيار التشفير المتقدم (AES) في وضع التشفير ECB على أساس كل كتلة على حدة. وعلى الرغم من تشفير مفتاح الجلسة باستخدام مفتاح الأمان قبل دمجه مع نص التشفير، فإن مفتاح الجلسة نفسه يتم توليده بشكل غير آمن. ولأن المساحة الفعلية للمفتاح تبلغ 31 بت فقط، يمكن للمهاجمين إجبار مفتاح الجلسة على فك تشفير الرمز الذي تم تنزيله والتلاعب به.

• مخطط التشفير يستخدم وضع تشغيل غير آمن. يتم إجراء عملية التشفير في وضع ECB دون إجراء مصادقة إضافية عليها أو التأكد من سلامة النص المشفر ككل. ويؤدي ذلك إلى انتهاك السرية والسلامة بصرف النظر عن قوة مفتاح الجلسة. ويمكن الاطلاع على مثال توضيحي حول ضعف وضع التشفير ECB من هنا.

ويتمثل التأثير في قدرة المهاجم على فك التشفير والتلاعب بالرموز المحمية بشكل خطير.

                 ثلاث طرق لإعادة تشغيل وحدات تحكم “فيستو”

حددنا ثلاث طرق تتيح إمكانية إعادة تشغيل وحدات التحكم المنطقية القابلة للبرمجة CPX-CEC-C1 V2 من “فيستو” من دون إجراء عملية المصادقة، ويمكن للمهاجمين الذين يملكون الوصول إلى الشبكة استخدام أي من هذه الطرق للوصول إلى الأجهزة المستهدفة والتسبب برفض الخدمة، والتي تشمل:

1. الوصول إلى صفحة الويب المخفية cec-reboot.php على وحدات التحكم CPX-CEC-C1 وCPX-CMXX PLCs من فيستو. صفحة الويب غير موثقة ولكن يمكن العثور عليها ضمن نظام ملفات وحدة التحكم، ويمكن لأي شخص يتمتع بإمكانية الوصول من الشبكة إلى وحدات التحكم استعراض هذه الصفحة، ما يدفع وحدات التحكم إلى إعادة الإقلاع على الفور. وتم تحديد هذه المشاكل في نقطة الضعف CVE-2022-3079.

2. إرسال رسالة بروتوكول حزم بيانات المستخدم (UDP) محددة إلى المجموعة متعددة الوجهات 239.255.2.3 على المنفذ 10002 باستخدام بروتوكول البث العام المتعدد (FGMC) من فيستو. تؤثر هذه الناحية على عدد من الأجهزة التي تدعم هذا البروتوكول على النحو المبين في وثيقة فيستو. ويمكن الوصول إلى نفس التأثير باستخدام أداة الأجهزة الميدانية من فيستو، والتي تستخدم بروتوكول البث العام المتعدد (FGMC) للتواصل مع وحدة التحكم. وتم تحديد هذه المشاكل في نقطة الضعف CVE-2022-3270.

3. استخدام أمر إعادة التشغيل من خلال أداة تصفح وحدات التحكم المنطقية القابلة للبرمجة. متصفح وحدات التحكم المنطقية القابلة للبرمجة هو أداة مراقبة نصية لوحدات التحكم التي تشغّل نظام كودسيس، والذي يتيح للمشغل إمكانية إصدار عدة أوامر إلى وحدات التحكم التي تتم مراقبتها. وتمثّل إعادة التشغيل إحدى الأوامر المسموح بإرسالها باستخدام بروتوكول التحكم بالنقل (TCP) عند استخدام متصفح وحدات التحكم المنطقية القابلة للبرمجة؛ والذي يمكنه إصدار هذه الأوامر بشكل افتراضي دون الحاجة إلى المصادقة. وتم التعرف بالفعل على نقطة الضعف هذه ووصفها سابقاً في التنبيهات الخاصة بنظام كودسيس، وتحديدها باسمي CVE-2022-31806 وCVE-2022-22515. وكما هو الحال بالنسبة لنقاط الضعف في المكونات البرمجية (نقاط ضعف “سلسلة التوريد”)، لم تظهر أي إشارة حول الأجهزة التي تأثرت بها. ومن خلال التنسيق مع شركة فيستو ومنصة CERT@VDE، تم إصدار تقرير استشاري حول تأثيرات نقاط الضعف هذه على وحدات التحكم من فيستو وسبل التخفيف من حدتها.

                            نشر أجهزة “كودسيس” و”فيستو”

تشير الصفحة الرسمية لشركة كودسيس إلى نظامها على أنه مجموعة أدوات الأتمتة الرائدة والتي تواكب المعيار IEC 61131-3 الخاص بوحدات التحكم المنطقي القابلة للبرمجة، والذي يعمل على ملايين الأجهزة من حوالي 1,000 طراز لدى أكثر من 500 شركة مصنّعة. وتتوفر أمثلة حول الشركات المصنّعة التي تستخدم هذه التقنية في منتجاتها على هذا الرابط. وتُستخدم هذه الأجهزة في قطاعات مختلفة مثل التصنيع وأتمتة الطاقة وأتمتة المباني. وعلى الرغم من عدم توصيل هذه الأجهزة عادة بشبكة الإنترنت، فإننا نلاحظ وجود حوالي 3 آلاف جهاز تعمل بنظام كودسيس عند البحث عنها باستخدام محرك البحث شودان (“المنفذ: 2455 لنظام التشغيل“)، كما يبين الشكل أدناه.

CPX من فيستو هي منصة أتمتة متخصصة بأنظمة الكهرباء والهواء المضغوط. وكانت وحدات التحكم من طراز CPX-CEC-C1 وCPX-CMXX تعمل سابقاً بنظام CODESYS V2، بينما تعمل النسخ الأحدث على نظام CODESYS V3، وهي تتيح إمكانيات الثورة الصناعية الرابعة مثل وحدات الإدخال والإخراج عن بعد والاتصال بالسحابة الإلكترونية. وتضم سحابة أجهزة فورسكاوت (Forescout Device Cloud) – التي تمثّل مخزن بيانات تتكون من 19 مليون جهاز تتم مراقبته من قبل تطبيقات فورسكاوت – حوالي 1,000 وحدة تحكم من فيستو يتم استخدام معظمها في عمليات التصنيع.

           استراتيجية التخفيف من التأثيرات: الاكتشاف والتجزئة والمراقبة

تتطلب الحماية الكاملة من نقاط الضعف هذه إصلاح الأجهزة التي تعمل ببرامج التشغيل التي تتضمن نقاط ضعف (CVE-2022-4048)، واستبدالها بمعدات أحدث (CVE-2022-3079)، أو تغيير الإعدادات الافتراضية (CVE-2022-31806 وCVE-2022-22515). ويمكن العثور على إجراءات التخفيف الخاصة بالجهات البائعة ضمن إرشادات الأمان المنشورة في:

• CVE-2022-4048: تقرير إرشادات الأمن من كودسيس15-2022

• CVE-2022-3079: FSA-202207 / VDE-2022-0036

• CVE-2022-31896 وCVE-2022-22515: FSA-202208 / VDE-2022-0037

• CVE-2022-3270: FSA-202209 / VDE-2022-0041

ونظراً لصعوبة إصلاح أجهزة التكنولوجيا التشغيلية أو استبدالها بسبب طبيعة مهامها الحساسة، فإننا نوصي باتباع استراتيجية تخفيف المخاطر التالية:

• اكتشاف وتصنيف الأجهزة التي تتضمن نقاط الضعف. أدرجت فورسكاوت نقاط الضعف هذه في إصدار شهر نوفمبر الخاص بقاعدة بيانات نقاط الضعف آي إنسبكت، وبصورة تتيح إمكانية تحديد الأجهزة التي تتضمن نقاط الضعف على الشبكة الخاضعة للمراقبة بشكل تلقائي.

• استخدام وحدات التحكم بالتجزئة ووسائل حماية الشبكات للتخفيف من مخاطر الأجهزة التي تتضمن نقاط ضعف. كما ينبغي تقييد مسارات الاتصال الخارجية، وعزل أو احتواء الأجهزة التي تتضمن نقاط ضعف في المواقع، كأحد الإجراءات الرامية للتخفيف من تأثيراتها إذا لم يكن إصلاحها ممكنا،ً أو حتى يتم إصلاحها.

• مراقبة حركة الشبكة لاكتشاف حزم البرمجيات الخبيثة التي تحاول استغلال نقاط الضعف المعروفة أو هجمات يوم الصفر. كما يجب تعطيل الحركة المشبوهة أو غير المنتظمة، أو على الأقل تنبيه مشغلي الشبكة بشأنها. وقامت فورسكاوت بتطوير تقنية آي إنسبكت خصيصاً لمراقبة الحركة على نظام CODESYS V3، والعمليات ذات المخاطر المحتملة التي تستخدم البروتوكول، بما في ذلك التغييرات التي تطرأ على وحدات التحكم المنطقية القابلة للبرمجة والتي قد تحدث نتيجة استغلال نقطة الضعف CVE-2022-4048.

###

                                حول “فورسكاوت”

تُوفر فورسكاوت تكنولوجيز حلول الأمن السيبراني الآلي عبر جميع مستويات البيئة الرقمية، بما يضمن التوافق الكامل بين الأطر الأمنية الخاصة بالعملاء والوقائع الرقمية لديهم، بما في ذلك جميع أشكال الأصول، وهي تكنولوجيا المعلومات والتكنولوجيا التشغيلية وإنترنت الأشياء وإنترنت الأشياء الطبية. وتُقدم منصة فورسكاوت كونتينيوم شفافية كاملة للأصول وتضمن استمرارية الامتثال وتجزئة الشبكة، فضلاً عن دورها كأساس قوي لنموذج أمان الثقة الصفرية. واعتمدت الشركات المُدرجة على قائمة فورتشن 100 وغيرها من المؤسسات الحكومية على فورسكاوت لأكثر من عشرين عاماً للحصول على أفضل حلول الأمن السيبراني الآلي على نطاق واسع. كما تُزود فورسكاوت العملاء بقدر أكبر من المعلومات القائمة على البيانات، مما يُتيح لهم تصنيف المخاطر ورصد حالات الخلل بكل دقة، فضلاً عن حلّ المشكلات الناجمة عن التهديدات السيبرانية دون التسبب بأي اضطراب في أصولها التجارية الحيوية. www.forescout.com

معاً في مواجهة المخاطر السيبرانية.