Kritische Schwachstelle in Inea Remote Terminal Unit – Critical Vulnerability in Inea Remote Terminal Unit

In der Nacht zum 21.4.2023 hat die US-Sicherheitsbehörde CISA einen Sicherheitshinweis mit dem Schweregrad CVSS 10.0 veröffentlicht.

 Er betrifft die INEA ME Remote Terminal Unit (RTU), die zur Verbindung und Überwachung von industriellen Steuerungssystemen, SCADA-Anwendungen und kritischen Infrastrukturen eingesetzt wird. Diese RTU enthält auch ein vollständiges Modem für Fernverbindungen mit den Kontrollsystemen. Die Schwachstelle ermöglicht die Ausführung von Remote-Code und ist einfach zu beheben, so dass eine schnellstmögliche Aktualisierung empfohlen wird.

Qualys Chief Technical Security Officer, Paul Baird, äußert sich dazu: „Diese Schwachstelle ist auf dem höchsten Schweregrad für CVSS, 10.0, eingestuft, da sie sich auf Installationen auswirken könnte. Die Schwachstelle ist aus der Ferne ausnutzbar und könnte die Ausführung von beliebigem Code ermöglichen, so dass sie ein ernsthaftes Risiko für diejenigen darstellt, die diese Geräte installiert haben.

RTUs werden in betrieblichen Netzwerken eingesetzt, um verschiedene Geräte miteinander zu verbinden und diese Geräte mit größeren Netzwerken zu verbinden. Bei dieser speziellen RTU können sie sich auch mit dem breiteren Telekommunikationsnetz verbinden. Dem Gutachten zufolge ist das System mehrfach bei Anbietern kritischer Infrastrukturen in den Bereichen Energieversorgung, Abwasserentsorgung und Verkehr im Einsatz, so dass ein Angriff schwerwiegende Folgen haben könnte.

Dies zeigt auch, wie viel Aufmerksamkeit die Betriebstechnologie in Bezug auf Sicherheitsschwachstellen erhält, und wie viele Probleme jetzt in die CISA ICS Advisory List und den Known Exploited Vulnerabilities Catalogue aufgenommen werden. Im Jahr 2023 hat die CISA bisher 121 Hinweise veröffentlicht, und diese Probleme betrafen eine ganze Reihe von OT-Anlagen.

Dies ist die dritte Meldung, die in diesem Jahr mit 10 Punkten bewertet wurde. Die Betrachtung von IT- und OT-Sicherheitsproblemen im Kontext zueinander wird einer der großen Trends für Unternehmen in diesem Jahr sein, da IT-Sicherheitsteams und OT-Netzwerkexperten daran arbeiten, die Prioritäten, Zeitpläne und Anforderungen des jeweils anderen zu verstehen“.

It affects the INEA ME Remote Terminal Unit (RTU), which is used to connect and monitor industrial control systems, SCADA applications and critical infrastructure. This RTU also contains a full modem for remote connections to the control systems. The vulnerability allows remote code execution and is easy to fix, so updating as soon as possible is recommended.

 Qualys Chief Technical Security Officer, Paul Baird, commented, „This vulnerability is rated at the highest severity level for CVSS, 10.0, as it could impact installations. The vulnerability is remotely exploitable and could allow the execution of arbitrary code, posing a serious risk to those who have installed these devices.

RTUs are used in operational networks to connect different devices together and connect those devices to larger networks. In this particular RTU, they can also connect to the broader telecommunications network. According to the report, the system has been used multiple times by critical infrastructure providers in the energy, wastewater and transportation sectors, so an attack could have serious consequences.

This also shows how much attention the operational technology is getting in terms of security vulnerabilities, and how many issues are now being included in the CISA ICS Advisory List and Known Exploited Vulnerabilities Catalogue. So far in 2023, CISA has published 121 advisories, and these issues have affected a wide range of OT assets.

This is the third advisory to score a 10 this year. Looking at IT and OT security issues in context with each other will be one of the big trends for organizations this year, as IT security teams and OT network professionals work to understand each other’s priorities, timelines and requirements.“