Компания Siemens выпустила обновление безопасности для процессоров SIMATIC ET 200SP, устраняющее уязвимость CVE-2025-4077. Она позволяет злоумышленникам получить неавторизованный удалённый доступ к конфигурации устройств, что представляет серьёзную угрозу, в том числе для промышленных систем управления (АСУ ТП) и критической инфраструктуры.
Эксперт по пентесту, ведущий инженер компании «Газинформсервис» Иван Рябов, отмечает, что перед нами классический пример уязвимости в критической инфраструктуре, которая из-за отсутствия базовой аутентификации создаёт риск для целостности и доступности промышленных процессов.
«Устройства, выполняющие роль сетевого шлюза между цеховой сетью и корпоративной, не требуют пароля для доступа к своей конфигурации. Это всё равно что оставить ключи от охраняемого объекта в первой попавшейся двери. Злоумышленнику не нужно обходить аутентификацию или использовать сложные эксплойты — достаточно найти такое устройство в сети и подключиться к нему», — объясняет он.
Отметим, что модули Siemens SIMATIC CP часто используются в качестве сетевых шлюзов, соединяющих цеховые сети промышленных предприятий с корпоративными сетями.
Иван Рябов подчёркивает, что самая главная рекомендация — это обновление уязвимых устройств. «Для устройств, которые нельзя обновить немедленно, необходимо произвести настройку правил для межсетевых экранов, запрещающих любые соединения с этих устройств из ненадёжных сетей. Уязвимость демонстрирует, что даже у ведущих вендоров в устройствах, позиционируемых как защищённые, могут обнаруживаться критические уязвимости. Ситуация в очередной раз демонстрирует эффективность принципа «недоверия по умолчанию» (Zero Trust). Он должен применяться ко всем без исключения компонентам», — заключил эксперт.
Оригинал публикации на сайте CISOCLUB: "Эксперт Иван Рябов: отсутствие пароля — прямой путь к взлому сетевого шлюза".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube.