Software spielt auch beim Betrieb von zentraler Infrastruktur wie Kraftwerken längst eine zentrale Rolle. Das bedeutet aber natürlich auch, dass sie potenziell für Angriffe offensteht. Umso wichtiger ist es, in diesem Bereich besonders hohe Qualitätsansprüche an den Code zu stellen. Dass dies auch passiert, daran nährt nun aber ein Bericht Zweifel.

Warnung

Sicherheitsforscher haben nicht weniger als 17 schwere Sicherheitslücken in einer Steuerungssoftware von Siemens gefunden. Über diese könnten Angreifer den laufenden Betrieb stören und so Fehlfunktionen bei den Kraftwerken auslösen, warnt Vladimir Nazarov von Positive Technologies. Das betroffene Produkt, SPPA-T3000, kommt in zahlreichen Kraftwerken über die gesamte Welt verteilt zum Einsatz, berichtet "Threatpost".

Als die schwerste Lücke klassifizieren die Sicherheitsforscher einen Fehler im Application Server von Siemens. Über diesen könnte von außen Schadcode auf den Server eingeschleust und zur Ausführung gebracht werden. Die Attacke soll dabei relativ einfach sein, es reiche aus, ein speziell präpariertes Objekt an eine der Funktionen des Servers zu schicken. Doch die Forscher haben noch zwei weitere kritische Lücken im Application Server gefunden, eine davon, indem man gezielt die Ports 8888 und 1099 angreift.

Weiter Lücken

Neben dem Application Server haben sich die Forscher aber auch den Migration Server von Siemens (MS-3000) vorgenommen und dort weitere zehn weitere Sicherheitslücken gefunden. Darunter zwei, die sowohl Lese- als auch Schreibzugriff auf beliebige Dateien aus der Ferne erlauben. Auf diese Weise könnte ein Angreifer etwa auf /etc/shadow zugreifen, um dort die Hashes der Nutzerpasswörter abzugreifen und sie lokal einer Brute-Force-Attacke zu unterziehen. Damit könnte man dann wohl bei vielen Systemen an die Login-Informationen kommen, skizzieren die Forscher ein konkretes Angriffsszenario.

Reaktion

Bei Siemens versucht man hingegen zu beruhigen. All die Angriffe würden nämlich zunächst einmal Zugriff auf den Application oder Automation Highway von Siemens brauchen – und damit die Netzwerke, die diese Komponenten verbinden. Und diese sollten eigentlich nicht von außen zu erreichen sein, wenn sich die Kraftwerksbetreiber an die offiziellen Richtlinien von Siemens halten.

Mit Updates kann Siemens hingegen vorerst nicht aufwarten, man arbeitet gerade an diesen, versichert das Unternehmen im zugehörigen Security Advisory. Unterdessen sollten Kraftwerksbetreiber sicherstellen, dass der Zugriff auf den Application Highway über die Firewall von SPPA-T3000 abgesichert ist – und dass eben kein externes Netzwerk mit den erwähnten Komponenten verbunden ist. (apo, 13.12.2019)