Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2020/06/25

Garrantzia: Kritikoa

Kaltetutako baliabideak:

• MiR100, versiones 2.8.1.1 eta lehenagoko bertsioak;
• MiR200;
• MiR250;
• MiR500;
• MiR1000;
• ER200;
• ER-Lite;
• ER-Flex;
• ER-One;
• UVD.

Azalpena:

Alias Robotics-eko hainbat ikertzailek eta Joanneum Research-ek 14 ahultasunen berri eman dute, 7 larritasun kritikokoak, 5 altukoak eta 2 ertainekoak, Mobile Industrial Robots A/S, EasyRobotics, Enabled Robotics eta UVD Robots-en hainbat produkturi eragiten dietenak.

Konponbidea:

Oraingoz ez dago ahultasun horiek konpontzen dituen eguneraketarik.

Xehetasuna:

Erasotzaile batek ohartarazpen honetan azaldutako ahultasunak balia litzake honako ekintzak egiteko:

• kredentzialen erabilpena testu lauan,
• baliabideen agerpena testuinguru desegoki batean,
• funtzio kritikorako autentifikazio falta,
• informazio sentikorraren zifratze falta,
• informazio sentikorraren agerpena baimendu gabeko erabiltzaile bati,
• pasahitzetarako zifratze ahula,
• osokoen bufferraren gainezkatzea,
• sarrera datuen baliozkotze okerra,
• elementu osagabe baten kudeaketan akatsa,
• lehenetsitako baimen okerrak,
• segurtasunean konfiantza informazio gabeziaren bidez,
• sarbidearen kontrol desegokia.

Larritasun kritikoko ahultasunak azaltzen dira jarraian:

• MiR-en (Mobile Industrial Robots) hainbat produkturen kontrol panelera sarbidea lor daiteke IP helbide bat erabiliz testu lauan. Hori baliatuz erasotzaile batek robotaren kontrola har lezake urrunetik, MiR-ek sortu dituen lehenetsitako erabiltzaile interfazeak erabili, autentifikazioa ezabatu eta sare eskaerak zuzenean bidali. Ahultasun horretarako CVE-2020-10270 identifikatzailea erabili da.
• Segurtasun PLCrako pasahitza lehenetsitakoa da. Hori baliatuz manipulatutako programa bat karga liteke PLC horretan, eta horrela objektu bat robotetik gertuegi dagoen kasuetarako larrialdiko geldialdia desgaitu egingo litzateke. Laser eskanerraren konfigurazioa ere kaltetuta gerta liteke. Ahultasun horretarako CVE-2020-10276 identifikatzailea erabili da.
• API RESTerako sarbide tokenak web interfazerako publikoki eskuragarri dauden lehenetsitako kredentzialetatik zuzenean ondorioztatzen dira. Baimendu gabeko erasotzaile batek kredentzial horiek erabil litzake tokena kalkulatzeko, eta API RESTarekin interaktuatzeko datuak iragazi, gehitu edo ezabatuz. Ahultasun horretarako CVE-2020-10275 identifikatzailea erabili da.
• MiR flotako hainbat produktu WiFi MiR (Access Point) moduan aurrekonfiguratuta daude, ondo ezagutzen diren eta oso zabalduta dauden kredentzial batzuekin (SSID eta pasahitza), aspaldiko erabiltzaile gida eta eskuliburuetan jasoak. Ahultasun horretarako CVE-2020-10269 identifikatzailea erabili da.
• MiR-en robot batzuek ROS-en (Robot Operating System) pakete lehenetsiak erabiltzen dituzte, eta konputazio grafikoa inolako autentifikazio motarik gabe erakusten dute. Hori baliatuz haririk gabeko eta kabledun sareetara sarbidea duten erasotzaileek robotaren kontrola har lezakete arazorik gabe.  CVE-2020-10269 eta CVE-2020-10271 ahultasunekin batera baliatuz, akats horrek ahalbidetzen du asmo gaiztoko eragileek robota beren nahierara erabiltzea. Ahultasun horretarako CVE-2020-10272 identifikatzailea erabili da.
• MiR-en hainbat robotek ROS-en (Robot Operating System) pakete lehenetsiak erabiltzen dituzte, eta horiek konputazio grafikoa sare interfaze guztien agerian uzten dute, haririk gabekoak nahiz kabledunak izan. CVE-2020-10269 bezalako beste akats batzuekin batera baliatuz, kalkulu grafikoa haririk gabeko sareetatik ere eskura daiteke eta berarekin interaktuatu. Hori baliatuz asmo gaiztoko operadore batek ROSen logikaren kontrola har lezake eta, ondorioz, robot osoarena. Ahultasun horretarako CVE-2020-10271 identifikatzailea erabili da.
• MiR robotaren kontrolatzaileek (konputu unitate zentrala) Ubuntu 16.04.2 erabiltzen dute sistema eragile modura. Horrek segurtasun akatsak ditu, esate baterako erabiltzaileek beren sarbidea eskalatu ahal izatea emana zitzaien mailatik gora fitxategiak sortuz, sarbide lasterketa egoerak, hasierako direktorioaren konfigurazio ez-seguruak eta Zerbitzuaren Ukapen (DoS) erako erasoak ahalbidetzen dituzten balio lehenetsiak. Ahultasun horretarako CVE-2020-10279 identifikatzailea erabili da.

Larritasun altu eta ertaineko ahultasunetarako honako identifikatzaileak erabili dira: CVE-2020-10273, CVE-2020-10274, CVE-2017-18255, CVE-2017-7184, CVE-2020-10280, CVE-2020-10277 eta CVE-2020-10278.

Etiketak: Ahultalsuna