Компьютерная группа реагирования на чрезвычайные ситуации, связанные с автоматизированными системами управления (ICS-CERT), предупреждает об опасности устройства, которое используют многие энергетические компании в США. Оно не позволяет обновить прошивку, поэтому найденную уязвимость нельзя исправить.
Бюллетень, который опубликовала ICS-CERT, сообщает об уязвимости в промышленном контроллере ESC 8832 Data Controller, который выпускала компания ESC. Устройство предназначалось для сбора, хранения и обработки телеметрической информации. Производитель особо подчёркивал, что ни один параметр не нужно устанавливать вручную при помощи джамперов. Для доступа к устройству по сети можно использовать FTP, веб-браузер, Telnet и другие методы.
Уязвимость в ESC 8832 обнаружил независимый исследователь Максим Рупп. Эксплуатируя её, злоумышленник может подключиться к устройству по сети и без аутентификации менять его настройки или отдавать администраторские команды. Некоторые из этих команд недоступны даже через меню для обычных пользователей. Возможные последствия зависят от того, каким именно образом используется взломанное устройство.
О проблеме стало известно больше года назад, однако производитель не в силах помочь пострадавшим. Компания утверждает, что в памяти ESC 8832 не осталось свободного места для установки дополнительных обновлений. Обладателям злополучного устройства рекомендуют купить одну из новых моделей. Если это невозможно, остаётся лишь один выход — заблокировать порт 80 при помощи внешнего файрволла.
ECS прекратила производство этой модели в 2013 году, однако она по-прежнему широко распространена. Кроме того, сохраняется возможность купить подержанные устройства. Учитывая, что производитель обещает поддерживать ECS 8832 до тех пор, пока на рынке остаются компоненты для ремонта, рассчитывать на скорое решение проблемы не приходится.
