Italiano
English
Français
Deutsch
Español
Português
日本語
한국어
Русский
Casa
Jun 10, 2023
Le vulnerabilità critiche espongono il sistema di gestione dei parcheggi agli attacchi degli hacker
Nearly a dozen vulnerabilities have been found in a car parking management
Quasi una dozzina di vulnerabilità sono state trovate in un sistema di gestione dei parcheggi realizzato dall'azienda italiana Carlo Gavazzi, che produce componenti di controllo elettronico per l'automazione edile e industriale.
Di
Quasi una dozzina di vulnerabilità sono state trovate in un sistema di gestione dei parcheggi realizzato dall'azienda italiana Carlo Gavazzi, che produce componenti di controllo elettronico per l'automazione edile e industriale.
I difetti sono stati scoperti dai ricercatori della società di sicurezza informatica industriale Claroty nel CPY Car Park Server di Carlo Gavazzi e nei prodotti gateway e controller di monitoraggio UWP 3.0. Il fornitore ha rilasciato le patch per i prodotti interessati all'inizio di quest'anno.
L'[email protected] con sede in Germania, che coordina la divulgazione delle vulnerabilità che incidono sui prodotti del sistema di controllo industriale (ICS) e della tecnologia operativa (OT) dei fornitori europei, ha pubblicato un avviso che descrive i problemi di Carlo Gavazzi. L'avviso di [email protected] descrive 11 vulnerabilità e l'agenzia avverte che un utente malintenzionato potrebbe sfruttarle per "ottenere pieno accesso ai dispositivi interessati".
Vera Mens, la ricercatrice sulla sicurezza di Claroty accreditata da [email protected] per aver segnalato le vulnerabilità, ha dichiarato a SecurityWeek che il prodotto UWP interessato è un'applicazione basata sul Web progettata per la gestione remota dell'automazione degli edifici, della gestione energetica e dei sistemi di guida ai parcheggi, che forniscono ai conducenti con informazioni sulla disponibilità dei posti auto all'interno dei parcheggi.
"Il gateway di monitoraggio UWP è un dispositivo multiuso in grado di eseguire una varietà di server di monitoraggio, ciascuno destinato a uno scopo diverso", ha spiegato Mens. "Ad esempio, il CPY Car Park Server è una funzione del dispositivo UWP 3.0 dedicata a monitorare e controllare altri dispositivi in un parcheggio che tengono traccia dei posti auto disponibili. In questo esempio, ci sono sensori in ogni posto auto che rilevano se c'è un'auto. I sensori riferiscono al server CPY Car Park che aggrega i dati, fornisce analisi (ad esempio capacità nel tempo) e orchestra l'intera operazione."
È stato riscontrato che questi prodotti sono affetti da vulnerabilità critiche relative a credenziali hardcoded, SQL injection, autenticazione mancante, convalida errata dell'input e attraversamenti del percorso, nonché numerosi problemi di elevata gravità. Queste falle di sicurezza possono essere sfruttate per aggirare l'autenticazione, ottenere informazioni ed eseguire comandi, consentendo a un utente malintenzionato di assumere il pieno controllo del sistema preso di mira.
Fortunatamente, Mens ha affermato che Claroty non è a conoscenza di alcun dispositivo UWP esposto su Internet, il che significa che un utente malintenzionato dovrebbe ottenere l’accesso alla rete presa di mira per sfruttare le vulnerabilità.
Tuttavia, un utente malintenzionato che riesce ad accedere alla rete presa di mira potrebbe sfruttare le vulnerabilità per condurre varie attività.
"Le vulnerabilità sono sfruttabili e possono portare a vari scenari di attacco, incluso lo sfruttamento del dispositivo di monitoraggio e la falsificazione dei dati di monitoraggio, il controllo di dispositivi annidati come telecomandi e sensori per interrompere un processo fisico e altro ancora", ha spiegato Mens.
Il ricercatore ha affermato che il fornitore ha risolto rapidamente tutte le vulnerabilità. Secondo [email protected], UWP3.0 versione 8.5.0.3 e successive e CPY Car Park Server versione 2.8.3 e successive risolvono i difetti. L’agenzia per la sicurezza informatica ha anche condiviso alcune raccomandazioni generali per prevenire questo tipo di attacchi.
Correlato: Nuove vulnerabilità consentono attacchi in stile Stuxnet contro i PLC Rockwell
Correlato: Vulnerabilità critiche riscontrate nel prodotto AUVESY utilizzato dalle principali aziende industriali
Correlato: 1.000 organizzazioni esposte ad attacchi remoti da vulnerabilità MDM FileWave
Eduard Kovacs (@EduardKovacs) è un redattore collaboratore di SecurityWeek. Ha lavorato come insegnante di informatica al liceo per due anni prima di iniziare una carriera nel giornalismo come reporter di notizie sulla sicurezza di Softpedia. Eduard ha conseguito una laurea in informatica industriale e un master in tecniche informatiche applicate all'ingegneria elettrica.