Популярный во всем мире ударный контроллер водяного насоса Osp | SecAtor

Популярный во всем мире ударный контроллер водяного насоса Osprey остается уязвимым для удаленных хакерских атак.

Контроллер широкого спектра применения реализует управление водяными насосами в том числе и на критических объектах, включая: водоснабжение, канализацию, газоснабжение, сельское хозяйство и промышленность.

Дело в том, что производитель систем - американская компания ProPump and Controls игнорирует множественные уязвимости, которые обнаружил Джоко Крстич, основатель македонской инфосек-компании Zero Science Lab, в ходе оценки защищенности одного из клиентских объектов ICS.

После безуспешных попыток достучаться до поставщика, Крстич сообщил о своих выводах в CISA, которая 23 марта опубликовала бюллетень с описанием уязвимостей. Кроме того, десять отдельных бюллетеней с описанием каждой ошибки также были опубликованы на веб-сайте Zero Science Lab.

Злоумышленник может использовать уязвимости для удаленного взлома систем и получения полного контроля над устройством со всеми вытекающими последствиями, связанными с возможностью вмешательством в работу оборудования.

При этом многие из этих недостатков можно использовать без аутентификации. И это при том, что на практике десятки таких контроллеров торчат наружу в сеть почти на каждом объекте.

Если позицию поставщика хоть как-то объяснима, то чем руководствуется CISA при назначении рейтинга с базовым (незначительным) уровнем выявленным уязвимостям, среди которых RCE, CSRF, XSS, обход аутентификации, перехват сеансов, - за границами всякого понимания.

Все стрелки CISA переводит на ProPump and Controls, рекомендуя клиентам по всем вопросам обращаться в поставщику.

Вероятно, в перспективе горячая линия понадобится, ведь хакеры уже не раз пытались атаковать системы SCADA на объектах водоснабжения, как это было, например, во Флориде в 2021 году.