Kerentanan keamanan kritis telah terungkap dalam enam sistem Automatic Tank Gauge (ATG) berbeda dari lima produsen yang dapat membuat sistem tersebut terkena serangan jarak jauh.
“Kerentanan ini menimbulkan risiko nyata yang signifikan, karena dapat dieksploitasi oleh pelaku jahat untuk menyebabkan kerusakan yang luas, termasuk kerusakan fisik, bahaya lingkungan, dan kerugian ekonomi,” kata peneliti Bitsight Pedro Umbelino dalam laporan yang diterbitkan minggu lalu.
Yang lebih buruk lagi, analisis tersebut menemukan bahwa ribuan ATG terpapar ke internet, menjadikan mereka target yang menguntungkan bagi pelaku kejahatan yang ingin melakukan serangan yang mengganggu dan merusak terhadap pompa bensin, rumah sakit, bandara, pangkalan militer, dan fasilitas infrastruktur penting lainnya.
ATG adalah sistem sensor yang dirancang untuk memantau ketinggian tangki penyimpanan (misalnya tangki bahan bakar) selama periode waktu tertentu dengan tujuan menentukan kebocoran dan parameter. Oleh karena itu, eksploitasi kelemahan keamanan dalam sistem tersebut dapat menimbulkan konsekuensi serius, termasuk penolakan layanan (DoS) dan kerusakan fisik.
11 kerentanan yang baru ditemukan mempengaruhi enam model ATG, yaitu Maglink LX, Maglink LX4, OPW SiteSentinel, Proteus OEL8000, Alisonic Sibylla, dan Franklin TS-550. Delapan dari 11 kelemahan tersebut dinilai kritis dalam tingkat keparahannya –
- CVE-2024-45066 (skor CVSS: 10.0) – Injeksi perintah OS di Maglink LX
- CVE-2024-43693 (skor CVSS: 10.0) – Injeksi perintah OS di Maglink LX
- CVE-2024-43423 (skor CVSS: 9.8) – Kredensial hard-code di Maglink LX4
- CVE-2024-8310 (skor CVSS: 9.8) – Bypass autentikasi di OPW SiteSentinel
- CVE-2024-6981 (skor CVSS: 9.8) – Bypass otentikasi di Proteus OEL8000
- CVE-2024-43692 (skor CVSS: 9.8) – Bypass otentikasi di Maglink LX
- CVE-2024-8630 (skor CVSS: 9.4) – Injeksi SQL di Alisonic Sibylla
- CVE-2023-41256 (skor CVSS: 9.1) – Bypass otentikasi di Maglink LX (duplikat dari cacat yang diungkapkan sebelumnya)
- CVE-2024-41725 (skor CVSS: 8.8) – Skrip lintas situs (XSS) di Maglink LX
- CVE-2024-45373 (skor CVSS: 8.8) – Peningkatan hak istimewa di Maglink LX4
- CVE-2024-8497 (skor CVSS: 7.5) – File sewenang-wenang dibaca di Franklin TS-550
“Semua kerentanan ini memungkinkan hak administrator penuh atas aplikasi perangkat dan, beberapa di antaranya, akses penuh ke sistem operasi,” kata Umbelino. “Serangan yang paling merusak adalah membuat perangkat bekerja sedemikian rupa sehingga dapat menyebabkan kerusakan fisik pada komponen atau komponen yang terhubung dengannya.”
Kelemahan Ditemukan di OpenPLC, Riello NetMan 204, dan AJCloud
Kelemahan keamanan juga telah ditemukan dalam solusi OpenPLC sumber terbuka, termasuk bug buffer overflow berbasis tumpukan (CVE-2024-34026, skor CVSS: 9.0) yang dapat dieksploitasi untuk mencapai eksekusi kode jarak jauh.
“Dengan mengirimkan permintaan ENIP dengan kode perintah yang tidak didukung, header enkapsulasi yang valid, dan setidaknya total 500 byte, dimungkinkan untuk menulis melewati batas buffer log_msg yang dialokasikan dan merusak tumpukan,” kata Cisco Talos. “Tergantung pada tindakan pencegahan keamanan yang diaktifkan pada host tersebut, eksploitasi lebih lanjut mungkin terjadi.”
Satu set lubang keamanan lainnya berkaitan dengan kartu komunikasi jaringan Riello NetMan 204 yang digunakan dalam sistem Uninterruptible Power Supply (UPS) yang dapat memungkinkan pelaku jahat mengambil alih kendali UPS dan bahkan merusak data log yang dikumpulkan.
- CVE-2024-8877 – Injeksi SQL di tiga titik akhir API /cgi-bin/db_datalog_w.cgi, /cgi-bin/db_eventlog_w.cgi, dan /cgi-bin/db_multimetr_w.cgi yang memungkinkan modifikasi data sewenang-wenang
- CVE-2024-8878 – Penyetelan ulang kata sandi yang tidak diautentikasi melalui titik akhir /recoverpassword.html yang dapat disalahgunakan untuk mendapatkan netmanid dari perangkat, yang darinya kode pemulihan untuk menyetel ulang kata sandi dapat dihitung
“Memasukkan kode pemulihan di '/recoverpassword.html' akan mengatur ulang kredensial login ke admin:admin,” kata Thomas Weber dari CyberDanube, sambil mencatat bahwa hal ini dapat memberikan penyerang kemampuan untuk membajak perangkat dan mematikannya.
Kedua kerentanan tersebut masih belum ditambal, sehingga mengharuskan pengguna membatasi akses ke perangkat di lingkungan kritis hingga perbaikan tersedia.
Yang juga perlu diperhatikan adalah beberapa kerentanan kritis dalam platform manajemen kamera IP AJCloud yang, jika berhasil dieksploitasi, dapat menyebabkan tereksposnya data sensitif pengguna dan memberi penyerang kendali jarak jauh penuh atas kamera mana pun yang terhubung ke layanan cloud rumah pintar.
“Perintah P2P bawaan, yang dengan sengaja memberikan akses tulis sewenang-wenang ke file konfigurasi kunci, dapat dimanfaatkan untuk menonaktifkan kamera secara permanen atau memfasilitasi eksekusi kode jarak jauh melalui pemicuan buffer overflow,” kata Elastic Security Labs, menyatakan upayanya untuk mencapai perusahaan Tiongkok tersebut belum berhasil hingga saat ini.
CISA Memperingatkan Akan Berlanjutnya Serangan Terhadap Jaringan OT
Perkembangan ini terjadi ketika Badan Keamanan Siber dan Infrastruktur AS (CISA) menandai meningkatnya ancaman terhadap perangkat teknologi operasional (OT) dan sistem kontrol industri (ICS) yang dapat diakses internet, termasuk yang ada di Sektor Sistem Air dan Air Limbah (WWS).
“Sistem OT/ICS yang terbuka dan rentan memungkinkan pelaku ancaman siber menggunakan kredensial default, melakukan serangan brute force, atau menggunakan metode sederhana lainnya untuk mengakses perangkat ini dan menyebabkan kerusakan,” kata CISA.
Awal bulan Februari ini, pemerintah AS memberikan sanksi kepada enam pejabat yang terkait dengan badan intelijen Iran karena menyerang entitas infrastruktur penting di AS dan negara-negara lain.
Serangan-serangan ini melibatkan penargetan dan penyusupan pengontrol logika terprogram (PLC) Unitronics Vision Series buatan Israel yang diekspos secara publik ke internet melalui penggunaan kata sandi default.
Perusahaan keamanan siber industri Claroty sejak itu menggunakan dua alat bersumber terbuka yang disebut PCOM2TCP dan PCOMClient yang memungkinkan pengguna mengekstrak informasi forensik dari HMI/PLC yang terintegrasi dengan Unitronics.
“PCOM2TCP, memungkinkan pengguna untuk mengubah pesan serial PCOM menjadi pesan TCP PCOM dan sebaliknya,” katanya. “Alat kedua, yang disebut PCOMClient, memungkinkan pengguna terhubung ke PLC Unitronics Vision/seri Samba, menanyakannya, dan mengekstrak informasi forensik dari PLC.”
Lebih jauh lagi, Claroty telah memperingatkan bahwa penerapan solusi akses jarak jauh yang berlebihan dalam lingkungan OT – antara empat dan 16 – menciptakan risiko keamanan dan operasional baru bagi organisasi.
“55% organisasi menerapkan empat atau lebih alat akses jarak jauh yang menghubungkan OT ke dunia luar, persentase yang mengkhawatirkan dari perusahaan yang memiliki permukaan serangan luas yang rumit dan mahal untuk dikelola,” katanya.
“Insinyur dan manajer aset harus secara aktif berupaya menghilangkan atau meminimalkan penggunaan alat akses jarak jauh dengan tingkat keamanan rendah di lingkungan OT, terutama yang memiliki kerentanan yang diketahui atau yang tidak memiliki fitur keamanan penting seperti MFA.”
