В SCADA-клиенте SIMATIC WinCC OA для iOS найдена уязвимость

Мобильное приложение для мониторинга и контроля технологических процессов оставляет незащищенные данные в своей папке.

В мобильном приложении системы мониторинга технологических процессов SIMATIC WinCC OA обнаружена уязвимость, которая может стать причиной компрометации конфиденциальных данных. Получив доступ к устройству, злоумышленник способен прочитать незашифрованную информацию из каталога программы.

Проблема касается приложения WinCC OA Operator для iOS, которое обеспечивает доступ к некоторым функциям родительской системы через мобильное устройство. Возможности программы ограничиваются мониторингом нескольких ключевых процессов и настройкой базовых параметров работы оборудования. Передача данных осуществляется по защищенному протоколу HTTPS.

Уязвимость связана с недостаточной безопасностью данных, таких как токен открытого сеанса, который формируется после установки связи с сервером. Часть информации, которая должна храниться в зашифрованном виде, остается доступной в рабочей папке программы.

Для предотвращения компрометации данных разработчик приложения — Siemens — рекомендует снять флажок сохранения пароля на экране авторизации и обязательно выходить из системы после окончания сеанса.

Уязвимость не является критической и получила всего 4 балла по шкале CVSS. В первую очередь это связано с тем, что для ее эксплуатации злоумышленник должен иметь физический доступ к атакуемому устройству.

SIMATIC WinCC OA применяется для визуального контроля за технологическими процессами на крупных предприятиях. Программный комплекс предназначен для больших, географически распределенных систем, включающих в себя миллионы контроллеров от разных производителей. Это флагманский продукт промышленной линейки Siemens, ориентированный на управление работой трубопроводов, организацию дорожного движения и научные исследования.

Проблему с мобильным клиентом SIMATIC WinCC обнаружили эксперты в области безопасности ICS-систем Александр Болшев и Иван Юшкевич. Ранее они провели тестирование трех десятков SCADA-приложений, выбранных случайным образом. По результатам исследования уязвимости из числа OWASP Mobile Top 10 встретились в программах 147 раз.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля