Siemens подтвердила уязвимости в дополнительной подсистеме GNU/Linux модуля SIMATIC S7-1500 TM MFP. Затронуты все версии этой подсистемы. Среди проблем есть переполнения буфера, ошибки работы с памятью и состояния гонки. Исправления нет, вендор его готовит и приводит обходные меры.
Переполнения буфера, состояния гонки и ошибки ядра
В списке затронутых продуктов подсистема GNU/Linux идёт со статусом "подтверждённо уязвим": вендор проверил продукт и подтвердил наличие проблем. Исправления на момент публикации нет, об этом сказано прямо. Номер исправленной версии не назван. В описании уведомления фигурирует модуль версии V1.1.1, а в перечне затронутых указана подсистема GNU/Linux во всех версиях. Первая публикация датирована 13 октября 2026 года, вторая редакция вышла 22 октября 2026 года.
Дополнительная подсистема GNU/Linux - это отдельная программная среда внутри модуля, где работают прикладные программы. Уязвимости находятся в ядре Linux и его службах, которые входят в состав подсистемы. Уведомление объединяет 377 уязвимостей: переполнения буфера, чтение и запись за границами буфера, использование памяти после освобождения, двойное освобождение, состояния гонки, ошибки блокировок, хранение пароля в открытом виде. Последствия различаются: от аварийного завершения процесса до выполнения кода с правами ядра.
В качестве примера вендор приводит CVE-2023-52927 в подсистеме отслеживания соединений netfilter, которая следит за сетевыми сеансами. Ядро удаляло запись об ожидаемом соединении из таблицы, хотя соединение ещё не подтверждено. Причина в недостаточной проверке входных данных. Уязвимость получила оценку 7.8 из 10 по CVSS, общей системе оценки уязвимостей, уровень High по классификации вендора. Атака идёт с локального доступа: низких привилегий хватает, участие пользователя не требуется.
Сводная таблица уведомления показывает для этой линейки максимум 10 из 10 по третьей версии CVSS. Такая оценка говорит о максимальной опасности хотя бы одной из перечисленных проблем. Оценки остальных уязвимостей приведены в записях CVE, а не в тексте уведомления.
Сведений об эксплуатации в реальных атаках уведомление не содержит. Публикация технических деталей означает лишь доступность информации, а не применение проблем на практике. Для случая с netfilter нужен локальный доступ, поэтому сначала атакующий должен попасть внутрь подсистемы.
Пока исправления нет, Siemens предлагает две меры. Первая - ограничить доступ к интерактивной оболочке подсистемы GNU/Linux доверенным сотрудникам. Вторая - собирать и запускать только приложения из доверенных источников. CISA в свою очередь советует сокращать сетевую доступность устройств, размещать их за межсетевым экраном и отделять от бизнес-сети, а для удалённого доступа применять VPN (виртуальную частную сеть).
Обходных мер, которые полностью закрывают проблему, вендор не называет. Номер исправленной версии появится в уведомлении SSA-784472: его обновляют на сайте Siemens ProductCERT, републикация выходит на cisa.gov/ics. До выхода обновления подсистему GNU/Linux изолируют от общей сети и от интернета. Приоритет у этой задачи высокий: подсистема исполняет сторонний код, а исправления пока нет, поэтому ограничение доступа к её оболочке снижает риск сильнее, чем ожидание патча.
Ссылки
