به گفته محققان امنیتی، وجود آسیب‌پذیری به شناسه CVE-2023-50707 و شدت 9.6 در ماژول اتوماسیون صنعتی BCU 500 متعلق به شرکت EFACEC، به مهاجم اجازه می‌دهد تا با ارسال درخواست‌های جعلی، موفق به اجرای حمله منع سرویس (DOS) بر روی ماژول آسیب‌پذیر شود. با توجه به کاربرد این ماژول در زیرساخت‌های حیاتی کشورها، هنوز روش پیاده‌‌‌‌‌‌‌سازی و بهره‌‌‌‌‌‌‌برداری (Exploitation) از این آسیب‌پذیری در دسترس عموم قرار نگرفته است. اما با توجه به نوع این آسیب‌پذیری که با استفاده از روش resource exhaustion منجر به حمله منع سرویس می‌گردد، می‌توان حدس زد که این حمله به دلیل وجود یکی از سه نقص زیر در پیکربندی اشتباه منابع، قابل پیاده‌‌‌‌‌‌‌سازی است.
• عدم کنترل منابع تخصیص یافته به هر درخواست
• عدم قطع کردن درخواست‌های ارسالی غیر متعارف به یک منبع قبل از خاموش شدن و از دسترس خارج شدن آن منبع
• آزاد نشدن ظرفیت پردازش یک منبع بعد از پایان کار محول شده به آن منبع
محصولات تحت تأثیر
به گفته تیم پشتیبانی این شرکت، تمام نسخه‌های 4.07 ماژول BCU 500 در معرض این آسیب‌پذیری قرار دارند.
توصیه‌های امنیتی
از کاربران این ماژول‌ها خواسته شده است هر چه سریع‌تر نسخه ماژول‌های خود را به نسخه 4.08 به‌روزرسانی کنند. همچنین از آن‌ها خواسته شده است دسترسی این ماژول‌ها به اینترنت را قطع یا تا حد امکان محدود کنند و نظارت کامل بر درخواست‌های ارسال شده به سمت آن‌ها داشته باشند. به عنوان راهکاری مطمئن از کاربران خواسته شده است که در صورت حیاتی بودن وجود دسترسی به این ماژول‌ها از راه دور یا از طریق شبکه، حتما از سرویس VPN شخصی و مطمئن استفاده کنند. لازم است تا کاربران با توجه به شدت و حیاتی بودن این آسیب‌پذیری (CVSS=9.6) تمام توصیه‌های امنیتی را جدی بگیرند.
منابع خبر:
[1] https://nvd.nist.gov/vuln/detail/CVE-2023-50707
[2] https://www.cisa.gov/news-events/ics-advisories/icsa-23-353-02
[3] https://www.efacec.pt/en/contacts/
- 22