La società cinese di sicurezza informatica NSFOCUS ha individuato 11 falle di sicurezza critiche nel software di automazione CoDeSys.Secondo un avviso degli esperti di sicurezza, le vulnerabilità potrebbero essere sfruttate per ottenere l'accesso non autorizzato alle risorse aziendali o per eseguire attacchi denial-of-service (DoS)."Queste vulnerabilità sono semplici da sfruttare e possono essere sfruttate con successo per causare conseguenze come perdita di informazioni sensibili, [controllori logici programmabili] (PLC) che entrano in uno stato di errore grave ed esecuzione arbitraria di codice", si legge nel documento."In combinazione con scenari industriali [sul] campo, queste vulnerabilità potrebbero esporre la produzione industriale a stagnazione, danni alle apparecchiature, ecc."NSFOCUS ha affermato di aver rivelato per la prima volta i difetti a CoDeSys tra settembre 2021 e gennaio 2022. CoDeSys ha quindi rilasciato una patch la scorsa settimana, descritta in due avvisi separati.Degli 11 difetti rilevati da NSFOCUS, gli avvisi rilasciati dall'azienda ne valutano due come Critici, sette come Alto e due come Medio in termini di gravità.Per contesto, i due difetti critici menzionati nel documento hanno un sistema di punteggio di vulnerabilità (CVSS) comune di 9,8.Il primo si riferisce all'utilizzo in chiaro delle password utilizzate per autenticarsi prima di eseguire operazioni sui PLC, mentre il secondo descrive la mancata attivazione della protezione tramite password come opzione predefinita nel sistema di runtime di CoDeSys Control.Lo sfruttamento di questi due difetti può consentire ad attori malintenzionati di ottenere il controllo del dispositivo PLC di destinazione o di scaricare un progetto canaglia su un PLC e quindi eseguire codice arbitrario.Gli altri difetti scoperti da NSFOCUS possono portare principalmente a condizioni DoS.Sebbene CoDeSys abbia rilasciato patch per tutte queste vulnerabilità, NSFOCUS ha affermato che molti fornitori che utilizzano il runtime di CoDeSys V2 non hanno ancora aggiornato il proprio software all'ultima versione."Le fabbriche che utilizzano questi prodotti interessati sono ancora [a] grave rischio", ha scritto NSFOCUS.Questa non è la prima volta che vengono rilevate vulnerabilità nel software CoDeSys.Un decennio fa, nel software è stata trovata una backdoor che garantiva l'accesso alla shell dei comandi a chiunque conoscesse la sintassi corretta