Уязвимости маршрутизаторов InHand ставят под угрозу тысячи устройств по всему миру

• 19 января, 2023
• 03:30

Ряд уязвимостей, затрагивающих промышленные маршрутизаторы InHand — это компания, которая разрабатывает и производит маршрутизаторы (устройства для передачи данных между сетями и подключения различных устройств к Интернету).
InHand предлагает различные модели маршрутизаторов, специализирующиеся на использовании в различных отраслях: промышленность, транспорт, медицина, образование и т.д.

» data-html=»true» data-original-title=»InHand»>InHand Networks, позволяют хакерам обойти системы безопасности и получить доступ к внутренним сетям оперативного технологического управления (Internal OT Networks) прямо из Интернета.

Агентство США по кибербезопасности и безопасности инфраструктуры (Cybersecurity and Infrastructure Security Agency, Cybersecurity and Infrastructure Security Agency (CISA) — это агентство, которое отвечает за защиту критической инфраструктуры США от киберугроз. Оно осуществляет мониторинг и анализ угроз, разрабатывает рекомендации по защите и обеспечивает техническую и информационную поддержку для организаций в этой отрасли. CISA также сотрудничает с другими правительственными агентствами и частным сектором для улучшения кибербезопасности в стране.

» data-html=»true» data-original-title=»CISA»>CISA) на прошлой неделе опубликовало памятку для информирования организаций о пяти уязвимостях, обнаруженных исследователем из компании Otorio — это компания, которая занимается кибербезопасностью. Она предлагает решения для защиты от киберугроз, в том числе автоматизированное сканирование и мониторинг, анализ и реагирование на разного рода уязвимости.
Компания также предоставляет консультационные услуги по кибербезопасности.

» data-html=»true» data-original-title=»Otorio»>Otorio в промышленных маршрутизаторах InHand InRouter302 и InRouter615.

По данным CISA, большинство уязвимостей связаны с протоколом для передачи последовательности сообщений с телеметрическими данными (Message Queuing Telemetry Transport, Message Queuing Telemetry Transport (MQTT) — это протокол связи для Интернета вещей (Internet of Things, IoT) и межмашинного взаимодействия (M2M).
Он был разработан как легковесный и надежный протокол для использования в условиях низкой пропускной способности сети и ограниченной мощности устройств.
MQTT использует клиент-серверную архитектуру и позволяет устройствам обмениваться данными посредством очередей сообщений.
Протокол поддерживает использование нескольких топиков для обмена данными, а так же обеспечивает надежность доставки сообщений и продвинутые механизмы управления качеством связи.

» data-html=»true» data-original-title=»MQTT»>MQTT). Использование такой уязвимости может привести к выполнению команд злоумышленника и раскрытию информации.

Пять найденных «дыр в безопасности» классифицировали следующим образом: одной был присвоен критическая степень серьезности, ещё двум — высокая, и двум оставшимся — средняя степень серьезности.

Матан Добрушин, вице-президент по исследованиям в Otorio, сообщил, что уязвимости затрагивают как платформу облачного управления, так и программное обеспечение устройства.

«Одновременное использование этих уязвимостей может позволить злоумышленнику удаленно выполнять код от имени пользователя root на всех подключенных устройствах InRouter302 и InRouter615 непосредственно из Интернета», — пояснил Добрушин.

Затронутые устройства используются для работы промышленных роботов, нефтяных скважин, лифтов, медицинского оборудования, станций зарядки электромобилей и интеллектуальных счетчиков. Критически важные сферы промышленности подверглись серьёзной угрозе.

«Этим уязвимостям подвержены десятки тысяч устройств, затрагивающих множества инфраструктур по всему миру», — предупредил Добрушин.

Рони Гаврилов, исследователь из Оторио, которому приписывают обнаружение этих уязвимостей, предоставил дополнительную информацию об их влиянии в посте на LinkedIn — это социальная сеть для профессионалов, где они могут общаться, делиться информацией и учиться. Запрещена в РФ за неоднократное нарушение закона о персональных данных.