Erneut warnt das auf Kontrollsysteme spezialisierte ICS-CERT vor einer kritischen Lücke im webbasierten SCADA-Prozessleitsystem Genesis von Iconics. Angreifer können durch die Buffer-Overflow-Lücke im ActiveX-Control (GenVersion.dll) Schadcode in den Steuerrechner einschleusen. Dazu genügt es, den Nutzer des Rechners auf eine verseuchte Webseite zu locken. Der Angreifer kann unter Umständen die Kontrolle über die mit Genesis gesteuerten Industrieanlagen gewinnen, wenn der Steuerrechner erst einmal infiziert ist.

Die Lücke wurde Ende vergangenen Monats durch die Sicherheitsforscher von Security Assessment entdeckt, die daraufhin ein Advisory sowie einen Exploit auf Basis von JavaScript veröffentlichten. Mit dem Update WebHMI V9.21 hat der Hersteller die Schwachstelle inzwischen geschlossen. Das Update sollten auch Nutzer der Auswertungssoftware BizViz des gleichen Hersteller installieren, da BizViz ebenfalls das verwundbare ActiveX-Control mitbringt. Das amerikanische ICS-CERT warnte erst vor zwei Monaten eindringlich vor insgesamt 35 Lücken in SCADA-Systemen. Iconics Genesis war auch damals betroffen.

(ez, hannover)

(siehe auch Heise News-Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE