Português
English
Français
Deutsch
Español
Italiano
日本語
한국어
Русский
Lar
Jun 10, 2023
Vulnerabilidades críticas expõem o sistema de gerenciamento de estacionamento a ataques de hackers
Quase uma dúzia de vulnerabilidades foram encontradas em um sistema de gerenciamento de estacionamento
Quase uma dúzia de vulnerabilidades foram encontradas em um sistema de gerenciamento de estacionamento da empresa italiana Carlo Gavazzi, que fabrica componentes de controle eletrônico para automação predial e industrial.
Por
Quase uma dúzia de vulnerabilidades foram encontradas em um sistema de gerenciamento de estacionamento da empresa italiana Carlo Gavazzi, que fabrica componentes de controle eletrônico para automação predial e industrial.
As falhas foram descobertas por pesquisadores da empresa de segurança cibernética industrial Claroty no CPY Car Park Server de Carlo Gavazzi e produtos de gateway e controlador de monitoramento UWP 3.0. O fornecedor lançou patches para os produtos afetados no início deste ano.
O [email protected] com sede na Alemanha, que coordena a divulgação de vulnerabilidades que afetam o sistema de controle industrial (ICS) e os produtos de tecnologia operacional (OT) de fornecedores europeus, publicou um comunicado descrevendo os problemas de Carlo Gavazzi. O comunicado da [email protected] descreve 11 vulnerabilidades, e a agência adverte que um invasor pode explorá-las para "obter acesso total aos dispositivos afetados".
Vera Mens, pesquisadora de segurança da Claroty creditada por [email protected] por relatar as vulnerabilidades, disse à SecurityWeek que o produto UWP afetado é um aplicativo baseado na Web projetado para gerenciar remotamente sistemas de automação predial, gerenciamento de energia e orientação de estacionamento, que fornecem aos motoristas com informações sobre a disponibilidade de vagas nos estacionamentos.
"O gateway de monitoramento UWP é um dispositivo multifuncional capaz de executar uma variedade de servidores de monitoramento, cada um destinado a uma finalidade diferente", explicou Mens. "Por exemplo, o CPY Car Park Server é uma função do dispositivo UWP 3.0 dedicada a monitorar e controlar outros dispositivos em um estacionamento que rastreiam as vagas de estacionamento disponíveis. Neste exemplo, existem sensores em cada vaga de estacionamento que detectam se um carro está lá. Os sensores se reportam ao CPY Car Park Server, que agrega os dados, fornece análises (por exemplo, capacidade ao longo do tempo) e orquestra toda a operação."
Descobriu-se que esses produtos são afetados por vulnerabilidades críticas relacionadas a credenciais codificadas, injeção de SQL, autenticação ausente, validação de entrada imprópria e percursos de caminho, bem como vários problemas de alta gravidade. Essas falhas de segurança podem ser exploradas para contornar a autenticação, obter informações e executar comandos, permitindo que um invasor assuma o controle total do sistema visado.
Felizmente, Mens disse que a Claroty não tem conhecimento de nenhum dispositivo UWP exposto na Internet, o que significa que um invasor teria que obter acesso à rede de destino para explorar as vulnerabilidades.
No entanto, um invasor que pode obter acesso à rede de destino pode aproveitar as vulnerabilidades para realizar várias atividades.
“As vulnerabilidades são exploráveis e podem levar a vários cenários de ataque, incluindo explorar o dispositivo de monitoramento e falsificar dados de monitoramento, controlar os dispositivos aninhados, como controladores remotos e sensores para interromper um processo físico e muito mais”, explicou Mens.
O pesquisador disse que o fornecedor corrigiu rapidamente todas as vulnerabilidades. De acordo com [email protected], UWP3.0 versão 8.5.0.3 e mais recente e CPY Car Park Server versão 2.8.3 e mais recente abordam as falhas. A agência de segurança cibernética também compartilhou algumas recomendações gerais para prevenir esses tipos de ataques.
Relacionado: Novas vulnerabilidades permitem ataques estilo Stuxnet contra PLCs da Rockwell
Relacionado: Vulnerabilidades críticas encontradas no produto AUVESY usado pelas principais empresas industriais
Relacionado: 1.000 organizações expostas a ataques remotos por vulnerabilidades FileWave MDM
Eduard Kovacs (@EduardKovacs) é editor colaborador da SecurityWeek. Ele trabalhou como professor de TI no ensino médio por dois anos antes de iniciar uma carreira no jornalismo como repórter de notícias de segurança da Softpedia. Eduard é bacharel em informática industrial e mestre em técnicas de computação aplicadas à engenharia elétrica.