Специалисты «Ростелеком-Солар» (структура «Ростелекома») обнаружили уязвимости, в том числе критические, в промышленном оборудовании компании Schneider Electric, используемом для управления энергосистемами. Об этом “Ъ” рассказали в пресс-службе «Ростелеком-Солар», информацию подтвердили в пресс-службе Schneider Electric в России.
Эксперты проверили защищенность встроенного программного обеспечения контроллера для автоматизации трансформаторных подстанций Schneider Electric Easergy T300 и поставляемого отдельно программного обеспечения Schneider Electric Easergy Builder, которое используется для настройки конфигурации такого оборудования. По данным специалистов, веб-сервер Easergy T300 оказался уязвим к атаке межсайтовой подмены запросов, что может привести к некорректной конфигурации контроллера и, как следствие, к авариям. Помимо этого, контроллер подвержен отказу в обслуживании из-за уязвимости. Также обнаружены проблемы с шифрованием на устройстве, что выражается в возможности получения закрытых ключей шифрования, доступа к учетным записям пользователей и получения контроля над устройством.
Schneider Electric «тесно сотрудничала» с исследователями для устранения уязвимостей, сообщили в ее пресс-службе. Уязвимости были устранены с помощью бесплатного обновления, которое можно сразу же получить, связавшись с центром обслуживания клиентов Schneider Electric, добавили в компании.
Собеседники “Ъ” из числа российских клиентов Schneider Electric указывают, что обозначенные проблемы могли затронуть в первую очередь сетевые компании. В самой Schneider Electric информацию о клиентах, которые потенциально могли пострадать, раскрывать не стали.
После публикации новости в Schneider Electric подтвердили, что оборудование, в котором были найдены уязвимости, обычно используется сетевыми компаниями.