Positive Technologies помогла устранить опасные уязвимости в промышленном коммутаторе

В случае успешной атаки злоумышленник мог бы нарушить обмен данными в АСУ ТП и остановить технологический процесс

Эксперты PT SWARM обнаружили пять уязвимостей в промышленном управляемом коммутаторе IGS‑5225‑8P2T4S тайваньской компании PLANET Technology — производителя решений для корпоративных и промышленных сетей, чья партнерская сеть охватывает более 160 стран. При успешной эксплуатации недостатков злоумышленник мог бы получить полный административный доступ к ОС коммутатора или вывести его из строя. Если оборудование используется в составе АСУ ТП¹, атака могла бы нарушить обмен данными внутри системы и в отдельных случаях привести к остановке технологического процесса. Производитель был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил новые версии встроенного ПО.

Промышленный управляемый коммутатор IGS-5225-8P2T4S предназначен для построения Ethernet‑сетей L2+ и может использоваться не только в составе АСУ ТП, но и в других корпоративных системах (например, в системах видеонаблюдения — для взаимодействия с IP‑камерами либо для их питания по технологии PoE). Устройство выполнено в прочном металлическом корпусе, устанавливается в промышленных шкафах, в том числе на улице, и рассчитано на работу при температуре от –40 до 75 градусов Цельсия.

Коммутатор также поддерживает обмен информацией со SCADA-системами² по протоколу Modbus TCP. В технологических сетях устройство обеспечивает передачу данных между программируемыми логическими контроллерами (ПЛК)³, SCADA-системой и другими компонентами АСУ ТП. От его стабильной работы зависит своевременное поступление данных о ходе технологического процесса и состоянии оборудования на АРМ⁴ операторов и диспетчеров, а также передача команд управления.

Уязвимые компоненты были обнаружены как в первой версии промышленного коммутатора с прошивками ниже v1.2412b260707 и точечно в v1.440b210519, так и во второй версии устройства с прошивками ниже v2.2412b260519. Недостатки безопасности PT-2026-95413–PT-2026-95457 (CVE-2026-81942–CVE-2026-81946; BDU:2026-06772–BDU:2026-06776) получили от 6,7 до 8,7 балла из 10 по шкале CVSS 4.0. Их выявили эксперты Positive Technologies Илья Бублий, Максим Грузин⁵, Арсений Григорьев, Алексей Каримов, Иван Курнаков, Владимир Назаров, Илья Рогачев и Иван Тараканов.

Все пять исправленных уязвимостей могли эксплуатироваться независимо друг от друга и не образовывали единую цепочку. Три недостатка безопасности — PT-2026-95413 (CVE-2026-81942; BDU:2026-06772), PT-2026-95415 (CVE-2026-81944; BDU:2026-06774) и PT-2026-95416 (CVE-2026-81945; BDU:2026-06775) — содержались в веб-сервисе коммутатора. Первый позволял получить полный административный доступ к ОС устройства. Еще две уязвимости были связаны с переполнением стекового буфера и могли привести к отказу в обслуживании, то есть нарушить штатную работу коммутатора.

Для эксплуатации описанных недостатков злоумышленнику потребовались бы сетевой доступ к веб-сервису устройства по протоколу HTTP или HTTPS и действующая учетная запись коммутатора, которую ему предварительно было бы необходимо скомпрометировать. Для уязвимостей PT-2026-95413 и PT-2026-95415 было бы достаточно непривилегированной учетной записи пользователя, а для PT-2026-95416 потребовалась бы учетная запись администратора.

Две другие уязвимости затрагивали отдельные механизмы управления учетными данными пользователей оборудования и их хранения. PT-2026-95414 (CVE-2026-81943; BDU:2026-06773) была обусловлена наличием недокументированной команды режима отладки в CLI⁶ коммутатора. Ее успешное применение позволило бы получить полный административный доступ к ОС устройства. Для совершения этой атаки злоумышленник дополнительно использовал бы учетную запись администратора и сетевой доступ к CLI по специализированным сетевым протоколам.

Недостаток PT-2026-95457 (CVE-2026-81946; BDU:2026-06776) был связан с применением недостаточно современного алгоритма хеширования для защиты паролей. Если бы злоумышленник получил такое хеш-значение, например из файла резервной копии, ему было бы проще подобрать пароль и получить доступ к устройству.

Первая версия коммутатора IGS-5225-8P2T4S больше не поддерживается (EOL⁷), поэтому уязвимости уже не устраняют. Однако по рекомендациям специалистов Positive Technologies из-за высокого риска кибератак вендор выпустил для нее обновление встроенного ПО — v1.2412b260707. Владельцам второй версии коммутатора необходимо загрузить v2.2412b260519 или выше. Если установить новую прошивку пока не удается, то, по словам экспертов Positive Technologies, следует ограничить доступ к веб-сервису и CLI коммутатора из внешней и корпоративной сетей и отказаться от использования протокола Telnet.

Попытки эксплуатации описанных уязвимостей могут быть зафиксированы с помощью системы обеспечения киберустойчивости промышленных инфраструктур PT Industrial Security Incident Manager (PT ISIM). Кроме того, подобную активность эффективно обнаруживают продвинутые продукты классов NTA (NDR), такие как PT Network Attack Discovery (PT NAD), а продукты класса NGFW, например PT NGFW, еще и блокируют ее.

Быть в курсе актуальных недостатков безопасности можно на портале dbugs, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира, а также рекомендации вендоров по их устранению.