Schneider Electric закрыла уязвимости в ПО для построения систем SCADA и HMI на критически важных объектах

Компания Schneider Electric в начале апреля выпустила несколько обновлений и патчей, закрывающих уязвимости в программном обеспечении, которое используется для построения систем SCADA и HMI на атомных электростанциях, химических заводах и других критически важных объектах. Как сообщили CNews в пресс-службе форума PHDays 2015, под угрозой оказались InTouch Machine Edition 2014 версии 7.1.3.2 и InduSoft Web Studio 7.1.3.2, а также предыдущие версии этих продуктов. Среди исправленных ошибок: возможность исполнения произвольного кода, хранение и передача конфиденциальных данных в незашифрованном виде. Воспользоваться этими уязвимостями для совершения атаки может даже начинающий хакер. Производитель рекомендует пользователям как можно скорее установить выпущенные патчи. Уязвимости обнаружили исследователи Positive Technologies Илья Карпов и Кирилл Нестеров в ходе работ по оценке уровня защищенности промышленных систем. Кроме того, большое количество ошибок в этих же программных продуктах нашли участники конкурса Critical Infrastructure Attack, который проходил на международной конференции по безопасности Positive Hack Days IV. За найденные уязвимости Schneider Electric поблагодарила победительницу конкурса Алису Шевченко (Esage Lab). Правда, некоторые уязвимости компания не упомянула в бюллетене и не создала для них CVE-записей. Ссылка на источник