Tesla Gateway ECU sérülékenységek
A Tencent-hez tartozó Keen Security Lab munkatársai a Tesla Model S autók Gateway ECU-iban találtak egy kód-befecskendezést lehetővé tevő hibát. A hibát kihasználva egy támadó képes lehet üzeneteket küldeni a Model S-ek CAN buszára. A hiba a 7.1 (2.36.31)-nél korábbi firmware-verziók közül mindegyiket érinti, ha a webböngésző funkcionalitást engedélyezték.
A Tesla 2016. szeptember 18-án elkészítette a sérülékenységet javító frimware-t. Az ICS-CERT ezúttal is további védelmi intézkedéseket javasol:
- Ne használják a járművek webböngészőjét, amennyiben nem frissítették a firmware-t a legújabb verzióra;
- További információkért és a firmware-frissítéssel kapcsolatos részletekért vegyék fel a kapcsolatot a Tesla support-tal.
A sérülékenységgel kapcsolatos ICS-CERT bejelentés a következő linken érhető el: https://ics-cert.us-cert.gov/advisories/ICSA-16-341-01
Locus Energy LGate sérülékenység
Daniel Reich, független biztonsági kutató a Locus Energy LGate nevű, webes napenergia-mérő és adatgyűjtő rendszerében talált kód-befecskendezéses hibát. A hiba az LGate alábbi verzióiban található meg:
- LGate 1.05H előtti verziók;
- LGate 50;
- LGate 100;
- LGate 101;
- LGate 120;
- LGate 320.
A gyártó a hiba javításához elérhetővé tette a javított firmware-verziót és egy több lépéses útmutatót az LGate eszközök frissítéséhez:
1. Meg kell szakítani az LGate áramellátását. Ehhez szükség lehet a megszakítók működtetésére is.
2. Kapcsoljuk be az LGate-et és várjunk 5 percet.
3. Az LGate webes felületén a bekapcsolás utáni első 30 percben ellenőrizzük a firmware-verziót.
3a. Ha az LGate csatlakozik a helyi hálózatra, akkor egy, az LGate-tel azonos alhálózatban üzemelő számítógépről nyissuk meg az LGate webes felületét.
3b. Ha az LGate nem csatlakozik a helyi hálózatra, csatlakoztassunk egy számítógépet Ethernet hálózaton az LGate-hez. Várjuk meg, amíg a számítógép kap egy IP címet a 169.254.0.0/16-os tartományból, majd a 169.254.12.13-as IP címet használva csatlakozzunk az LGate webes felületéhez.
4. A weboldalon megjelenik az LGate modell típusa, IP címe, firmware-verziója (APP néven) és MAC címe.
5. Ellenőrizzük, hogy a firmware-verzió 1.05H_EM3 vagy ennél magasabb.
6. Ha a firmware-verzió alacsonyabb, mint 1.05H_EM3, küljünk e-mailt a support@locusenergy.com címre a következő tárggyal: URGENT FW UPDATE REQUEST: MAC: <ide kell beilleszteni az LGate MAC címét> TO 1.05H or higher FW.
7. A Locus Energy support meg fogja kísérelni távolról elvégezni a firmware-frissítést és ha sikerrel járnak, erről megerősítő e-mailt küldenek. Ha bármilyen akadályba ütköznek a frissítés során a support kapcsolatba fog lépni az érintett ügyfelekkel, hogy alternatív frissítési módról vagy az érintett LGate cseréjéről egyeztessenek.
8. Ha megérkezik a support visszaigazolása a firmware frissítéséről, célszerű az 1-5. lépésekkel újra ellenőrizni a firmware-verziót.
A hibával kapcsolatban további részleteket ezúttal is az ICS-CERT bejelentése tartalmaz: https://ics-cert.us-cert.gov/advisories/ICSA-16-231-01-0
Nem szoktam a saját gondolataimat hozzáfűzni a különböző ICS sérülékenységekről szóló posztokhoz, de a Locus Energy firmware-frissítési eljárása miatt most kivételt teszek. Az még egy dolog, hogy e-mailben kell kérni a firmware-frissítést egy (kis)ipari rendszerhez - bár már ez is elég komoly aggályokat ébreszthet egyesekben, hiszen ezek a levelek bárki számára olvashatóak, amíg a felhasználótól eljutnak a Locus Energy-hez -, de az, hogy ezek után Interneten keresztül, minden fajta érdemi hozzáférés-kontroll nélkül képesek lehetnek firmware-frissítést végezni az érintett eszközökön, az gyakorlatilag az összes, ICS biztonsági elvet alapjaiban rúgja fel (ne legyen az ICS rendszereknek Internet-kapcsolata, ne legyenek az ICS rendszereken alapértelmezett, gyári jelszavak).
Meg kéne végre mindenkinek (ide értve az ICS eszközök gyártóit is) értenie, hogy a legalapvetőbb biztonsági szabályok betartása nélkül lehetetlen akár csak minimálisan biztonságos ICS rendszereket üzemeltetni. Az ICS rendszerek elleni sikeres támadások következményei pedig elképzelhetetlenül súlyosabbak lehetnek, mint a nem megfelelően védett weboldalak elleni támadások esetén.
