VulnCheck раскрыла 14 уязвимостей в холодильном оборудовании Dixell от Copeland
Исследователи VulnCheck раскрыли 14 уязвимостей в холодильном оборудовании Dixell, которое выпускает Copeland. В лабораторных тестах каждая из них давала злоумышленнику права администратора на устройстве.
Главное в цифрах
- Количество уязвимостей в Dixell: 14
- Оценки серьёзности большинства уязвимостей: от 8 до 9,8
- Уязвимости под активной эксплуатацией: как минимум две
- Число супермаркетов, пострадавших от октябрьского взлома во Франции: 700
Оценки серьёзности большинства уязвимостей составляют от 8 до 9,8, а как минимум две уже эксплуатируются на практике. Уязвимости затрагивают систему мониторинга XWEB EVO, одну из четырёх систем, связанных с октябрьским взломом контроллеров в 700 супермаркетах Франции.
Исследователь Валентин Лобштейн написал, что страница входа выполняет введённое имя пользователя как команду оболочки до проверки пароля. По его словам, ситуация хуже слабого ежедневного кода.
Патчи уже доступны, но старые версии системы остаются уязвимыми для захвата. VulnCheck и Лобштейн сообщили о проблемах Copeland и Dixell и помогли их исправить до публикации.
Реакция Copeland
Copeland подтвердила, что затронуты определённые решения XWEB для мониторинга. Компания призывает клиентов не выводить устройства в публичный интернет и устанавливать актуальные версии ПО и прошивки. По словам представителя компании, специалисты готовы помогать клиентам с обновлениями.
Отдельно исследователь Макс Гюнтер из XBOW развернул в интернете поддельные серверы-ловушки, имитирующие те же модели оборудования. В течение дня по ним начались атаки, а кто-то попытался изменить температуру в виртуальной морозильной камере.
Контекст
Французские власти возложили ответственность за взлом супермаркетов на правительство Ирана. Похожие инциденты с холодильным оборудованием, принадлежащим военным США, по данным Reuters, также могут быть связаны с кибератаками.
