Уязвимость в системе IBM Maximo Asset Management[1], обнаруженная экспертами Positive Technologies Арсением Шароглазовым и Андреем Медовым, может упростить злоумышленникам проникновение во внутреннюю сеть крупных компаний. Эта система класса CMMS[2] используется для управления техническим обслуживанием и ремонтом производственных активов в крупнейших фармацевтических, нефтегазовых, автомобилестроительных, аэрокосмических, железнодорожных компаниях, в аэропортах, на атомных электростанциях и в других сферах.
Уязвимость CVE-2020-4529, обнаруженная в версиях 7.6.0 и 7.6.1 IBM Maximo Asset Management, связана с возможностью подделки запросов со стороны сервера (SSRF) и имеет высокий уровень опасности (7,3 балла по шкале CVSS). Она может позволить аутентифицированному злоумышленнику с низкими привилегиями отправить нелегитимный запрос из системы для сканирования сети или для развития других атак.
«IBM Maximo Asset Management используется на больших системообразующих предприятиях, и уязвимости в ней могут привлечь APT-группировки, которые хотят получить доступ во внутреннюю сеть, — рассказывает Арсений Шароглазов. — Атакующим с низкими привилегиями может быть, например, кладовщик, который удаленно подключается к системе и заносит позиции в базу; или источником угрозы может выступать его рабочая станция, зараженная вирусом. Веб-интерфейсы IBM Maximo, как правило, доступны со всех складов компании, а склады могут быть размещены в разных регионах и даже в разных странах. Если условный кладовщик подключается через правильно настроенную VPN, его доступ внутри корпоративной сети ограничен, например, этой системой и почтой. Обнаруженная нами уязвимость позволяет преодолеть это ограничение и обратиться к другим системам, где можно попробовать получить, например, возможность удаленного выполнения кода, а при развитии атаки — доступ ко всем системам, чертежам, бухгалтерским документам, к сети АСУ ТП. Иногда сотрудники могут подключаться к IBM Maximo и напрямую из интернета, без VPN, используя простые пароли, что упрощает атаку».
Уязвимость затрагивает также специализированные отраслевые решения Maximo for Aviation, Maximo for Life Sciences, Maximo for Nuclear Power, Maximo for Oil and Gas, Maximo for Transportation, Maximo for Utilities, а также продукты SmartCloud Control Desk, IBM Control Desk и Tivoli Integration Composer.
Для устранения уязвимости необходимо обновить IBM Maximo Asset Management и связанные с этой системой решения и продукты до последних версий. Эксперты Positive Technologies рекомендуют применять межсетевые экраны уровня приложений (например, PT Application Firewall) для защиты от атак через веб-узвимости, регулярно проводить работы по тестированию на проникновение и предоставлять доступ к системам для внутреннего пользования только с помощью сертификатов или через VPN. Кроме того, своевременно выявить веб-уязвимости в инфраструктуре помогут автоматизированные системы анализа защищенности и соответствия стандартам, в частности MaxPatrol 8.
[1] Система enterprise asset management (EAM-система) ― программное обеспечение, предназначенное для управления активами предприятия. Такое ПО позволяет компаниям из разных отраслей управлять своими физическими активами; основная задача ― контроль и измерение производительности активов и, следовательно, оптимизация рабочих процессов и затрат на обслуживание активов. IDC MarketScape и Gartner Magic Quadrant считают IBM мировым лидером рынка EAM.
[2] Computerized maintenance management system (CMMS) — компьютеризированная система управления техническим обслуживанием.
