Vulnerabilidades en múltiples robots industriales

Un atacante que aproveche las vulnerabilidades descritas en este aviso podría realizar las siguientes acciones:

• uso de credenciales en texto claro,
• exposición de recursos en un entorno inapropiado,
• falta de autenticación para función crítica,
• falta de cifrado de información sensible,
• exposición de información sensible a un usuario no autorizado,
• cifrado débil para contraseñas,
• desbordamiento de búfer de enteros,
• validación incorrecta de datos de entrada,
• fallo en la gestión de un elemento incompleto,
• permisos por defecto incorrectos,
• confianza en la seguridad a través de la falta de información,
• control de acceso inadecuado.

Las vulnerabilidades con severidad crítica se describen a continuación:

• Se puede acceder al panel de control de varios productos de MiR (Mobile Industrial Robots) utilizando una dirección IP en texto claro, lo que permitiría a un atacante tomar el control del robot de forma remota, utilizar las interfaces de usuario predeterminadas que MiR haya creado, borrar la autenticación y enviar solicitudes de red directamente. Se ha asignado el identificador CVE-2020-10270 para esta vulnerabilidad.
• La contraseña para el PLC de seguridad es la predeterminada, lo que permitiría que un programa manipulado se cargue en dicho PLC, deshabilitando la parada de emergencia en caso de que un objeto esté demasiado cerca del robot. La configuración del escáner láser también podría verse afectada. Se ha asignado el identificador CVE-2020-10276 para esta vulnerabilidad.
• Los tokens de acceso para la API REST se derivan directamente de las credenciales predeterminadas disponibles públicamente para la interfaz web. Un atacante no autorizado dentro de la red podría usar esas credenciales para calcular el token e interactuar con la API REST para filtrar, añadir o eliminar datos. Se ha asignado el identificador CVE-2020-10275 para esta vulnerabilidad.
• Algunos productos de la flota de MiR están preconfigurados en modo WiFi Master (Access Point), con unas credenciales (SSID y contraseña) bien conocidas y ampliamente difundidas, incluyendo en guías de usuario y manuales antiguos. Se ha asignado el identificador CVE-2020-10269 para esta vulnerabilidad.
• Algunos robots de MiR usan los paquetes predeterminados del ROS (Robot Operating System) que exponen el gráfico computacional sin ningún tipo de autenticación. Esto permitiría a los atacantes con acceso a las redes inalámbricas y cableadas internas tomar el control del robot sin problemas. En combinación con las vulnerabilidades CVE-2020-10269 y CVE-2020-10271, este fallo permite que los actores maliciosos comanden el robot a su antojo. Se ha asignado el identificador CVE-2020-10272 para esta vulnerabilidad.
• Varios robots de MiR usan los paquetes predeterminados del ROS (Robot Operating System) que exponen el gráfico computacional a todas las interfaces de red, inalámbricas y cableadas. En combinación con otros defectos como CVE-2020-10269, el gráfico de cálculo también se puede obtener e interactuar desde redes inalámbricas. Esto permite que un operador malintencionado tome el control de la lógica ROS y, en consecuencia, del robot completo. Se ha asignado el identificador CVE-2020-10271 para esta vulnerabilidad.
• Los controladores de robot MiR (unidad central de cómputo) utilizan Ubuntu 16.04.2 como sistema operativo, que contiene fallos de seguridad, como una forma para que los usuarios escalen su acceso más allá de lo que se les otorgó, a través de la creación de archivos, condiciones de carrera de acceso, configuraciones inseguras del directorio de inicio y valores predeterminados que facilitan los ataques de Denegación de Servicio (DoS). Se ha asignado el identificador CVE-2020-10279 a esta vulnerabilidad.

Para las vulnerabilidades de severidad alta y media se han asignado los identificadores: CVE-2020-10273, CVE-2020-10274, CVE-2017-18255, CVE-2017-7184, CVE-2020-10280, CVE-2020-10277 y CVE-2020-10278.