Уязвимости в дополнительной подсистеме GNU/Linux затрагивают контроллеры Siemens SIMATIC S7-1500 CPU 1518-4 PN/DP MFP. Подсистема GNU/Linux - это среда на контроллере, в которой работают прикладные программы. Часть проблем позволяет локальному пользователю повысить привилегии, другие приводят к сбоям и утечке данных из памяти. Siemens подтвердил наличие уязвимостей в перечисленных сборках и готовит исправления.
Статус уведомления SSA-457936 и оценка CVSS
Уведомление SSA-457936 опубликовано 13 октября 2026 года, вторая редакция вышла 22 октября 2026 года. Все перечисленные артикулы линейки 1518-4 PN/DP MFP и 1518F-4 PN/DP MFP, включая исполнение SIPLUS, имеют статус "подтверждённо уязвим". Такой статус означает, что вендор проверил продукт и подтвердил проблему, а не только начал проверку.
Затронуты сборки начиная с прошивки V3.1.7. Номер редакции относится к документу, а не к прошивке; исправленной сборки на момент публикации нет.
Линейка включает контроллеры 1518-4 PN/DP MFP и 1518F-4 PN/DP MFP в нескольких исполнениях, а также вариант SIPLUS S7-1500 CPU 1518-4 PN/DP MFP. Уязвимости затрагивают все эти артикулы, и меры защиты для них совпадают.
Одна из описанных проблем - CVE-2021-41617 в службе удалённого доступа OpenSSH. Служба sshd в OpenSSH до версии 8.8 при нестандартной настройке не инициализирует дополнительные группы. Из-за этого вспомогательные программы получают права, связанные с группами процесса службы, если в конфигурации задан запуск от другого пользователя. В результате пользователь с низкими привилегиями получает более широкие права.
Остальные записи описывают дефекты компонентов подсистемы GNU/Linux. Среди типов - переполнение буфера, использование памяти после освобождения, состояние гонки, разыменование пустого указателя, утечка памяти и ошибки проверки входных данных. Полный перечень идентификаторов приведён в уведомлении.
Максимальная оценка в уведомлении - 10 из 10 по шкале CVSS. CVSS - шкала серьёзности уязвимостей от 0 до 10.
Для одной из проблем в дополнительных метриках указано 7 из 10, уровень High. Атака идёт с локального доступа: нужны низкие привилегии, участие пользователя не требуется, сложность атаки высокая.
Сведений об эксплуатации этих уязвимостей в реальных атаках в уведомлении нет. Публикация уведомления означает раскрытие технических деталей, но не подтверждает использование проблем на практике.
Исправление не выпущено. Для каждого артикула есть пометка об отсутствии исправления, при этом Siemens сообщает, что готовит обновления. Номер исправленной прошивки не назван, поэтому его нужно отслеживать в новых редакциях SSA-457936 на сайте Siemens ProductCERT.
До выхода обновления вендор предлагает две меры. Доступ к интерактивной оболочке дополнительной подсистемы GNU/Linux ограничивают кругом доверенных сотрудников. Собирать и запускать разрешено только приложения из доверенных источников. Интерактивная оболочка - это командная строка подсистемы, через которую программы запускают напрямую.
Меры касаются прежде всего тех установок, где подсистема GNU/Linux включена и оболочка доступна. Ограничение круга пользователей снижает риск локальной атаки, а запуск только доверенных приложений уменьшает вероятность появления вредоносного кода на самом контроллере.
Общая рекомендация Siemens - защищать сетевой доступ к устройствам штатными механизмами и настраивать окружение по руководству по промышленной безопасности. CISA добавляет: контроллеры не выставляют в интернет, размещают за межсетевым экраном и отделяют от бизнес-сети. Для удалённого доступа применяют VPN (виртуальную частную сеть), учитывая, что сам VPN тоже требует обновлений.
Проблемы сосредоточены в дополнительной подсистеме GNU/Linux, и повышение привилегий внутри неё даёт более широкий контроль над средой, где работают прикладные программы. Устройства применяются по всему миру; среди отраслей в уведомлении названы промышленное производство, транспорт, энергетика, здравоохранение, финансовый сектор и госучреждения. Пока прошивки нет, защита сводится к ограничению доступа к оболочке и сетевой изоляции.
Ссылки
