Հարձակվողները շահագործում են Siemens IoT2050-ի խոցելիությունը՝ հեռակա հրամանների հետին դռներ տեղադրելու համար

VulnCheck-ը բացահայտել է Siemens SIMATIC IoT2050 Advanced սարքերի առավելագույն լրջության խոցելիության ակտիվ շահագործումը։ CVE-2026-58115 խոցելիությունը, որի CVSS գնահատականը 10.0 է, Node-RED HTTP ինտերֆեյսի նույնականացման բացակայության խնդիր է, որը կարող է թույլ տալ չնույնականացված հեռակա հարձակվողին ստեղծել վնասակար հոսքեր և կատարել կամայական կոդ առավելագույն արտոնություններով։ Siemens-ը հայտնել է, որ խնդիրը շտկվել է 4.3.4.1 կամ ավելի նոր տարբերակներում։

Խոցելիության մանրամասները

Ազդված համակարգերը Siemens SIMATIC IoT2050 Advanced սարքերն են, որոնք աշխատում են Industrial OS-ով և որոնց վրա տեղադրված է Node-RED։ Siemens-ը 2026 թվականի օգոստոսին հրապարակված խորհրդատվության մեջ հայտնել է, որ նույնականացման բացակայության խոցելիությունը կարող է թույլ տալ չնույնականացված հեռակա հարձակվողին կատարել կամայական կոդ հիմքային սերվերում առավելագույն արտոնություններով։ Որպես մեղմացումներ՝ Siemens-ը խորհուրդ է տալիս ապատեղադրել Node-RED-ը կամ ամրացնել տեղադրումը՝ միացնելով HTTPS մուտքը, խմբագրիչն ու ադմին API-ն ապահովելով հավատարմագրերի վրա հիմնված նույնականացմամբ կամ OAuth/OpenID մատակարարով, ինչպես նաև HTTP Nodes-ը և Node-RED Dashboard-ը ապահովելով հիմնական նույնականացմամբ։

Դիտարկված շահագործումը

2026 թվականի հոկտեմբերի 30-ի դրությամբ VulnCheck-ը հայտնել է, որ հարձակվողները փորձել են շահագործել CVE-2026-58115-ը իր մեղրափեթային ցանցի դեմ՝ Linux բոտ ներբեռնելու և գործարկելու համար։ Հետազոտող Patrick Garrity-ն ասել է, որ հարձակվողի հարցումը լիարժեք շահագործում էր, որը տեղադրել է Node-RED հոսք, ինքնաբերաբար գործարկել է այն և բեռնել է երկուական ֆայլ հարձակվողին պատկանող սերվերից, որը գտնվում էր երեք շերտ կոդավորման հետևում։ Վնասակար հոսքը գործարկում է shell սկրիպտի պատյան, որը wget-ի միջոցով 85.215.73[.]250 հասցեից վերցնում է AMD64 ճարտարապետության բոտնետի երկուական ֆայլ, իսկ եթե wget-ը ձախողվում է՝ curl-ը որպես պահուստային միջոց։ Երկուական ֆայլը պահվում է /dev/shm/.b ճանապարհով և այնուհետև գործարկվում։

Հետագայում հարձակվողները անցան երկփուլ գործընթացի, որտեղ wget-ը նույն սերվերից վերցնում է ևս մեկ shell սկրիպտ՝ wget.sh անունով։ Մեկ այլ հարցումում օգտագործվել է wget-ը կամ curl-ը 45.194.90[.]57:38472 հասցեի դեմ՝ .sys_update անունով ծանրաբեռնվածություն բեռնելու, այն /tmp/.kworker անունով պահելու՝ անվնաս միջուկային աշխատող թելի տեսք տալու փորձով, և այնուհետև գործարկելու համար։ wget.sh-ի կամ .kworker-ի ճշգրիտ գործառույթը մնում է անհայտ, քանի որ դրանք չհաջողվեց վերցնել։

Որոշ հարցումներում ներբեռնիչ չի օգտագործվել։ Փոխարենը հոսքը բացում է HTTP in վերջնակետ, օրինակ՝ /cmd կամ պատահական անունով ճանապարհ, որը function node-ի միջոցով միացված է exec node-ին՝ միացված addpay տարբերակով, թույլ տալով հարձակվողին հետագայում կամայական հրամաններ գործարկել՝ դրանք հարցման պարամետրով փոխանցելով։ Այս հետին դուռը պահպանվում է նույնիսկ այն դեպքում, եթե հիշողության վրա հիմնված իմպլանտը կորչում է վերաբեռնման ժամանակ։

Աղբյուրներ՝ The Hacker News