Exploits voor 34 gaten in kerncentrale-software
Gepubliceerd: Dinsdag 22 maart 2011
Auteur: René Schoemaker
SCADA-software zoals die gebruikt wordt in kerncentrales, bevat zeker 34 kwetsbaarheden. Er zijn al twee exploits geschreven. SCADA werd vorig jaar aangevallen in Iraanse kerncentrales door Stuxnet.
De software, Supervisory Control and Data Acquisition geheten, wordt gebruikt om hardware aan te sturen in industriële complexen als kerncentrales, olieplatformen en gasinstallaties. SCADA kreeg vorig jaar grote bekendheid toen bleek dat nucleaire installaties in Iran werden aangevallen door Stuxnet, een slimme worm die speciaal was ontworpen om verschillende kwetsbaarheden in de software te misbruiken.
Onderzoekers die bijeen waren in twee verschillende bijeenkomsten over beveiliging komen nu op de proppen met twee aanvalscodes om de in totaal 34 kwetsbaarheden in SCADA aan te vallen. Volgens een van de onderzoekers, Luigi Auriemma, is gekozen voor openbaarmaking van zowel gaten als exploits omdat "niemand wat om SCADA geeft", zo schrijft hij in een email aan The Register. SCADA wordt gemaakt door Siemens en ook verkocht door andere bedrijven.
Exploits gepost
De meeste gaten in de software staan toe dat er code wordt uitgevoerd, terwijl andere gaten aanvallers toegang bieden tot gevoelige informatie die opgeslagen is in config-files. Een van de kwetsbaarheden maakt het mogelijk de apparatuur te storen die gebruik maakt van de software. Alle kwetsbaarheden en Proof of Concept-code heeft de Italiaan gepost op de Bugtraq emaillijst.
Overigens meldt The Register verder dat zes dagen geleden een beveiligingsfirma uit Rusland Agora SCADA+ aanbiedt, dat alle bekende kwetsbaarheden in SCADA in een exploitbundel verpakt. Daarin zitten onder meer elf zero-day kwetsbaarheden. Na de release van dat pakket werd de website van het bedrijf direct zwaar aangevallen.
