Claroty研究人員發現制造信息規范（MMS）協議中存在多個安全漏洞，一旦被黑客利用，將很有可能會對工業環境中造成嚴重影響。Claroty研究人員Mashav Sapir和Vera Mens表示，這些漏洞可能允許攻擊者使工業設備崩潰，在某些情況下，還能實現遠程代碼執行。

MMS是一種用于工業自動化系統中數據通信的標準協議，它定義了一種客戶/服務器模型，允許生產設備與上層管理系統進行通信。作為一種更高級別的通信協議，它提供了更豐富的服務和接口。

MMS協議采用面向對象的建模方法，定義了虛擬制造設備（VMD），用于表示實際設備，并通過服務接口進行通信，支持多種數據類型，包括數字、浮點數、字符、時間等。

目前，MMS協議被廣泛應用于電力系統、制造業、交通系統等領域，特別是在IEC 61850標準中，被用作變電站自動化系統中設備間通信的基礎，其重要性不言而喻。

此前，Claroty公司發現了影響MZ Automation的libIEC61850庫和Triangle MicroWorks的TMW IEC 61850庫的安全漏洞，這些漏洞在2022年9月和10月報告后已經被修復，具體漏洞信息如下：

• CVE-2022-2970（CVSS評分：10.0）： libIEC61850中的基于棧的緩沖區溢出漏洞，可能導致崩潰或遠程代碼執行。
• CVE-2022-2971（CVSS評分：8.6）： libIEC61850中的類型混淆漏洞，可能允許攻擊者使用惡意負載使服務器崩潰。
• CVE-2022-2972（CVSS評分：10.0）：libIEC61850中的基于棧的緩沖區溢出漏洞，可能導致崩潰或遠程代碼執行。
• CVE-2022-2973（CVSS評分：8.6）：空指針解引用漏洞，可能允許攻擊者使服務器崩潰。
• CVE-2022-38138（CVSS評分：7.5）：未初始化指針的訪問漏洞，允許攻擊者造成拒絕服務（DoS）條件。

Claroty公司的報告還發現，西門子的 SIPROTEC 5 IED依賴于SISCO的MMS-EASE棧的過時版本來支持MMS，該版本容易受到特制數據包的DoS攻擊影響（CVE-2015-6574，CVSS評分：7.5）。但根據CISA發布的報告，西門子早在2022年12就更新了其固件，并使用了更新版本的協議棧。

對此，Claroty公司認為造成上述問題的核心原因是，快速發展技術所需的安全需求與底層過時的、不安全的協議之間的矛盾，這些協議目前存在各種安全風險，且難以馬上替換。該公司呼吁供應商們應遵循CISA發布的安全指南，及時更新系統版本。

幾周前，Nozomi Networks詳細說明了ESP-NOW無線協議中存在的兩個漏洞（CVE-2024-42483和CVE-2024-42484），這兩個漏洞可能或造成重放攻擊和DoS攻擊。

Claroty公司進一步表示，"根據被攻擊的系統，這個漏洞[CVE-2024-42483]可能會有深遠的后果。由于ESP-NOW用于安全系統，其中包括建筑報警，允許它們與運動傳感器通信，在這種情況下，攻擊者可以利用這個漏洞重放以前截獲的合法'OFF'命令，從而隨意禁用運動傳感器。"

如果ESP-NOW在遠程門開啟器中的使用，例如自動門和車庫門，那么攻擊者可以截獲合法的"OPEN"命令并實施重放攻擊，從而輕松實現以未經授權的方式進入建筑物。

參考來源：https://thehackernews.com/2024/10/researchers-uncover-major-security.html