Веб-сервер контроллеров Siemens SIMATIC S7-1500 содержит несколько уязвимостей, позволяющих выполнить сторонний код в браузере оператора. Вендор подтвердил, что перечисленные в уведомлении модели затронуты, но исправлений пока не выпустил. Через специально подготовленный файл трассировки внедрённый JavaScript исполняется в сеансе пользователя и позволяет совершать операции с контроллером в пределах его полномочий. Под угрозой оказались веб-сервер S7-1500, модули ET 200SP и другие продукты Siemens на той же программной основе.
Внедрение скриптов через импорт файлов трассировки
Файл трассировки - это выгрузка записанных значений сигналов контроллера, которую инженер открывает на странице трассировки. Атака строится на социальной инженерии. Злоумышленник убеждает пользователя с правом "чтение диагностики" импортировать заранее подготовленный файл. Страница выводит данные из файла без должной очистки, поэтому внедрённый JavaScript исполняется в сеансе этого пользователя. Через веб-сервер скрипт выполняет операции с контроллером в пределах его полномочий. Оценки по шкале CVSS (общая система оценки уязвимостей) лежат в диапазоне от 6.1 до 9.6 из 10. Атака идёт по сети, учётные данные атакующего не нужны. При этом требуется участие пользователя: файл должен импортировать он сам.
Разные идентификаторы в уведомлении описывают одну и ту же слабость в разных полях страницы. В одном поле остаётся исполняемое содержимое файла. В других не проходят проверку визуальные свойства, расчётные данные сигналов и комментарии. Ещё в нескольких случаях проблема касается данных маркеров, имён сигналов или текста сообщений об ошибке. Формально это недостаточная нейтрализация входных данных при генерации веб-страницы. Механизм срабатывания тоже отличается. В одном случае скрипт получает управление при выводе страницы. В другом - когда пользователь открывает меню выбора или видит сообщение об ошибке. Итог одинаков: вредоносный код исполняется в браузере оператора. Для срабатывания нужен именно импорт файла, а не прямой сетевой запрос от атакующего. Один из идентификаторов - CVE-2026-63350.
Получив управление в браузере, скрипт действует от имени оператора. Он обращается к веб-серверу с теми же правами, что и сам пользователь. Скрипт может выполнять операции с контроллером, разрешённые этому пользователю. Право "чтение диагностики" открывает доступ к странице с трассировкой, поэтому именно такие учётные записи представляют интерес для атаки. Чем шире полномочия оператора, тем больше действий доступно скрипту.
В списке затронутых - многочисленные модели контроллеров S7-1500. Сюда входят семейства CPU 1511-1518 и исполнения F и T. В перечень также попали модули ET 200SP и ET 200pro, Drive Controller и Software Controller для Windows и Linux. Отдельно указано средство моделирования S7-PLCSIM Advanced. Есть в списке и изделия линейки SIPLUS. Вендор пометил их как затронутые. Исправлений на момент публикации нет: в уведомлении прямо указано, что исправление пока не выпущено. В документе нет номеров версий с исправлением. Следить за ними нужно в самом SSA-591731, который Siemens ProductCERT передал CISA для публикации.
Пока исправления нет, вендор предлагает набор мер. Если веб-сервер не нужен, его следует отключить. Доступ к портам 80/tcp и 443/tcp ограничивают доверенными IP-адресами. К веб-серверу допускают только квалифицированный персонал. Разрешается импортировать только те файлы трассировки, в надёжности которых есть уверенность. Дополнительно Siemens советует защищать сетевой доступ к устройствам и настраивать среду по своим руководствам по промышленной безопасности. CISA со своей стороны рекомендует не выставлять контроллеры в интернет. Их размещают за межсетевым экраном, а для удалённого доступа используют виртуальную частную сеть (VPN).
Сведений о том, что уязвимости уже применяют в реальных атаках, в уведомлении нет. Публикация технических деталей сама по себе не говорит об эксплуатации. Значимость проблемы в том, что успешная атака не требует учётных данных злоумышленника. Она опирается лишь на действие авторизованного оператора. До выхода исправлений риск снижают ограничением доступа к веб-серверу и отказом от импорта непроверенных файлов трассировки.
Ссылки
