Ocena 8.2 w skali CVSS (Common Vulnerability Scoring System — skala 0-10 oceniająca powagę luki) została przypisana luce w oprogramowaniu serwera webowego turbin wiatrowych. Podatność oznaczona jako CVE-2018-25333 dotyczy modelu turbiny Nordex N149/4.0-4.5 1. Luka umożliwia zdalne ominięcie uwierzytelniania i wykonanie dowolnych operacji na bazie danych systemu zarządzającego turbiną 2 3. Problem dotyczy systemów OT (Operational Technology), których kompromitacja może mieć konsekwencje wykraczające poza świat cyfrowy.

TL;DR

  • Produkt: Nordex N149/4.0-4.5 Wind Turbine Web Server w wersji 4.0 1.
  • Wektor: Nieautoryzowane SQL Injection (wstrzyknięcie zapytań SQL) w formularzu logowania 1.
  • CVE-ID: CVE-2018-25333, z oceną CVSS 8.2 (High) [cve].
  • Wskaźniki kompromitacji: Nietypowe żądania typu POST wysyłane do pliku login.php, zawierające składnię SQL w parametrze login 4 5.
  • Kogo dotyczy: Operatorzy farm wiatrowych, w tym w Polsce, wykorzystujący podatne modele turbin Nordex z publicznie dostępnym interfejsem webowym.
  • Pierwszy ruch reagowania: Natychmiastowa weryfikacja i izolacja interfejsów webowych systemów zarządzania turbinami od publicznego internetu.

Wektor ataku

Podatność należy do klasycznego typu SQL Injection. Atakujący nie potrzebuje żadnych danych uwierzytelniających, aby ją wykorzystać. Wektor polega na wysłaniu specjalnie spreparowanego żądania HTTP POST do pliku login.php na serwerze webowym turbiny 5.

Analiza pokazuje, że pole login w formularzu logowania nie jest odpowiednio filtrowane przed przekazaniem go do zapytania do bazy danych 4. Pozwala to atakującemu na wstrzyknięcie własnego kodu SQL. Przykładowo, zamiast nazwy użytkownika, atakujący może wysłać fragment zapytania, który zawsze zwraca prawdę (np. ' OR '1'='1'). Taka operacja może spowodować, że system zaloguje atakującego bez znajomości hasła 3.

Telemetria wskazuje, że celem takiego ataku jest wykonanie dwóch głównych działań:

  1. Ominięcie uwierzytelniania: Atakujący może uzyskać dostęp do panelu administracyjnego systemu, do którego normalnie wymagane jest hasło 3.
  2. Wydobycie danych: Poprzez bardziej złożone zapytania SQL, atakujący może odczytać wrażliwe informacje z bazy danych systemu 3. Mogą to być dane konfiguracyjne, logi operacyjne turbiny, a potencjalnie również dane uwierzytelniające innych użytkowników.

Konsekwencje udanego ataku na systemy OT, takie jak sterowniki turbin wiatrowych, są poważne. Uzyskanie dostępu do panelu zarządzania może w skrajnych przypadkach pozwolić na manipulację pracą turbiny, jej wyłączenie lub uszkodzenie. Jest to istotne ryzyko dla polskiego sektora energetyki odnawialnej, który dynamicznie się rozwija.

Wskaźniki kompromitacji

Nie zidentyfikowano konkretnych adresów IP ani domen powiązanych z kampanią wykorzystującą tę lukę. Wskaźniki kompromitacji (IoC — Indicators of Compromise) mają w tym przypadku charakter behawioralny. Administratorzy powinni szukać w logach serwera webowego anomalii w żądaniach kierowanych do pliku login.php.

Kluczowym wskaźnikiem jest obecność składni SQL w ciele żądania POST w parametrze login. Poniżej przedstawiono poglądowy przykład, jak może wyglądać podejrzany wpis w logu dostępowym serwera:

198.51.100.10 - - [10/Oct/2023:13:55:36 +0000] "POST /login.php HTTP/1.1" 200 528 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.0.0 Safari/537.36" "login=' OR '1'='1'-- &password=randompass"

Należy zwrócić uwagę na fragment „’ OR ‘1’=‘1’—” w parametrze login. Każda obecność znaków specjalnych SQL, takich jak apostrofy („’”), myślniki („—”), średniki (”;”) czy słów kluczowych („OR”, „SELECT”, „UNION”), jest sygnałem alarmowym i wymaga natychmiastowej analizy.

Co zrobić w 24-48h

Zalecane podejście zakłada natychmiastowe działania w celu ograniczenia ryzyka. Poniższe kroki nie zastępują pełnej konsultacji bezpieczeństwa, ale stanowią pierwszą linię obrony.

  1. Identyfikacja i weryfikacja zasobów: Należy niezwłocznie sprawdzić, czy w infrastrukturze firmy znajdują się turbiny Nordex N149/4.0-4.5 z oprogramowaniem serwera webowego w wersji 4.0 1. Dotyczy to zwłaszcza operatorów farm wiatrowych w Polsce.

  2. Izolacja sieciowa: Podstawową zasadą bezpieczeństwa systemów OT jest brak bezpośredniej ekspozycji na publiczny internet. Interfejsy zarządzania turbinami powinny być dostępne wyłącznie z zaufanej, segmentowanej sieci wewnętrznej, najlepiej za pośrednictwem VPN (Virtual Private Network — szyfrowane połączenie do internetu). Należy natychmiast zablokować wszelki publiczny dostęp do portów HTTP/HTTPS serwerów webowych turbin. 3. Analiza logów: Zespoły SOC (Security Operations Center — zespół monitoringu bezpieczeństwa) lub administratorzy powinni przeanalizować historyczne logi serwerów webowych pod kątem wskaźników kompromitacji opisanych powyżej. Poszukiwanie prób ataków SQL Injection może ujawnić, czy systemy były już celem.

  3. Kontakt z dostawcą: Należy skontaktować się z firmą Nordex w celu uzyskania informacji o dostępności aktualizacji oprogramowania lub oficjalnych zaleceń dotyczących mitygacji tej luki. 5. Zgłoszenie incydentu: W przypadku zidentyfikowania udanej kompromitacji, polskie podmioty, zwłaszcza te podlegające pod ustawę o krajowym systemie cyberbezpieczeństwa (operatorzy usług kluczowych), powinny rozważyć zgłoszenie incydentu do właściwego zespołu CSIRT, np. CSIRT NASK (CERT Polska).

Źródła

Zobacz też

Footnotes

  1. Nordex N149/4.0-4.5 Wind Turbine Web Server 4.0 zawiera lukę typu SQL injection. — https://nvd.nist.gov/vuln/detail/CVE-2018-25333 ↩ ↩2 ↩3 ↩4

  2. Luka umożliwia nieautoryzowanym atakującym wykonywanie dowolnych zapytań SQL. — https://nvd.nist.gov/vuln/detail/CVE-2018-25333 ↩

  3. Celem ataku jest wydobycie wrażliwych informacji z bazy danych i ominięcie mechanizmów uwierzytelniania. — https://nvd.nist.gov/vuln/detail/CVE-2018-25333 ↩ ↩2 ↩3 ↩4

  4. Atakujący mogą wstrzykiwać złośliwy kod poprzez parametr ‘login’ w pliku ‘login.php’. — https://nvd.nist.gov/vuln/detail/CVE-2018-25333 ↩ ↩2

  5. Atakujący mogą przesyłać spreparowane żądania POST z ładunkami SQL injection w polu ‘login’. — https://nvd.nist.gov/vuln/detail/CVE-2018-25333 ↩ ↩2