USA warnen vor weiteren Scada-Lecks

Das amerikanische ICS-CERT (Industrial Control System Computer Emergency Response Team) hat mehrere Warnungen vor weiteren Schwachstellen in Scada-Software ausgegeben. Scada-Systeme dienen dazu, Sensoren sowie Vorgänge in kritischen Infrastrukturen zu steuern und zu kontrollieren.

Die aktuellste Warnung (PDF) bezieht sich auf eine SQL-Lücke in Ecava IntegraX. Darüber könnte ein Angreifer Daten ausspähen oder manipulieren. Auch das Ausführen von Schadcode auf dem Backend-Host ist möglich. Ecava hat einen Patch veröffentlicht.

Eine weitere Schwachstelle fand sich in einem ActiveX-Steuerelement in WellinTechs HMI-Software KingView V6.53. Sie wird in der Energie- und Wasserversorgung sowie Luftfahrt eingesetzt – hauptsächlich in China.

Das ICS-CERT veröffentlichte einen Exploit, der die Anfälligkeit ausnutzt. Der Hersteller hat bereits ein Update veröffentlicht, das das Problem behebt. Eine dritte Lücke, die ebenfalls schon gepatcht ist, steckte in der HMI-Software Movicon 11 von Progea, die großteils in Italien genutzt wird.

Eine russische Sicherheitsfirma brachte ebenfalls Eploits heraus, die elf Zero-Day-Lücken in verschiedenen Scada-Produkten ausnützen. Der Code wurde zuerst von The Register entdeckt.

Der spanische Sicherheitsforscher Ruben Santamarta informierte die Mailingliste BugTraq über Anfälligkeiten in BroadWin WebAcess, ein browserbasiertes HMI-Produkt von Advantech, das dem ICS-CERT zufolge in der Energieversorgung in Nordamerika, Asien und dem Nahen Osten zum Einsatz kommt. Santamarta veröffentlichte Details zur Lücke sowie einen Exploit. Auch das ICS-CERT gab eine Warnung (PDF) aus.

Ein italienischer Sicherheitsforscher hatte Anfang der Woche Informationen über Dutzende Schwachstellen in vier Produkten samt Exploits veröffentlicht.

„Was ist ein tolerables Sicherheitsniveau, wenn es um Branchenkontrollsysteme geht?“, fragte Mike Ahmadi, Mitgründer der Beratungsfirma GraniteKey, im Gespräch mit ZDNet. „Solche Systeme sind bisher von der Außenwelt abgeschirmt worden. Derzeit machen wir eine signifikante Veränderung durch.“

Die Berichte über Bugs in Scada-Software häufen sich, aber noch ist unklar, ob die Lücken auch ausgenutzt worden sind. Stuxnet hat jedoch gezeigt, dass Angriffe auf abgeschirmte Systeme durchaus möglich sind.