Các nhóm nghiên cứu tại các hãng bảo mật Positive Technologies, Kaspersky Lab và Biznet Bilisim đã phát hiện và báo cáo 54 lỗ hổng trong máy chủ ứng dụng SPPA-T3000, đảm nhận việc quản lý các hệ thống điều khiển của nhà máy điện.

Theo Siemens, hệ thống điều khiển chủ yếu được sử dụng trong các nhà máy điện tái tạo và hóa thạch quy mô lớn. Các thành phần dễ bị tấn công thường được bảo vệ bởi tường lửa, nghĩa là tin tặc phải thâm nhập được vào mạng nội bộ để khai thác các lỗ hổng. Điều quan trọng là tin tặc cần quyền truy cập vào một thành phần được gọi là đường cao tốc (highway) phía sau tường lửa trước khi chúng có thể tấn công máy chủ ứng dụng.

"Việc khai thác các lỗ hổng được mô tả trong tư vấn bảo mật đòi hỏi phải có quyền truy cập vào highway hoặc tự động hoá (Automation)", Siemens giải thích. Cả hai thành phần này được coi là đã được bảo vệ nếu môi trường đã được thiết lập theo cấu hình được đề xuất trong hướng dẫn bảo mật Siemens SPPA-T3000. Tuy nhiên, việc Bộ An ninh Nội địa Hoa Kỳ cáo buộc các tin tặc của chính phủ Nga thâm nhập hệ thống hạ tầng trọng yếu của Hoa Kỳ hồi năm 2018 cho thấy, tin tặc có thể làm được điều đó.

Trong số các lỗ hổng, nghiêm trọng nhất là CVE-2019-18283 và CVE-2019-18284. Đây là các lỗ hổng không yêu cầu bất kỳ xác thực nào để có thể khai thác. Siemens miêu tả về những lỗ hổng này: "AdminService có thể sử dụng mà không cần xác thực trên máy chủ ứng dụng. Kẻ tấn công có thể lấy được quyền thực thi mã từ xa bằng cách gửi các đối tượng tự tạo đến một trong các chức năng của nó."

Các lỗ hổng khác bao gồm hai lỗ hổng từ chối dịch vụ CVE-2018-4832, CVE-2019-18289 và lỗ hổng thực thi mã CVE-2019-18288 liên quan đến việc xử lý không an toàn tập tin tải lên.

"Bằng cách khai thác các lỗ hổng này, tin tặc có thể thực thi mã tùy ý trên máy chủ ứng dụng - một trong những thành phần chính của hệ thống điều khiển phân tán SPPA-T3000", Vladimir Nazarov - người đứng đầu bộ phận Hệ thống điều khiển công nghiệp (ICS) của Positive Technologies, nơi phát hiện và báo cáo 17 lỗ hổng nhận định.

Theo ông, tin tặc có thể kiểm soát và làm gián đoạn các hoạt động. Điều này có thể ngăn chặn việc phát điện và gây ra sự cố tại các nhà máy điện, nơi lắp đặt các hệ thống dễ bị tấn công.

Cho đến nay, Siemens cho biết họ chỉ có thể vá ba trong số các lỗ hổng đã bị phát hiện. Siemens khuyến nghị các quản trị viên khóa máy chủ và từ chối mọi truy cập mạng bên ngoài.