Il Socomec DIRIS Digiware M-70 è un gateway utilizzato per la centralizzazione del monitoraggio e della misurazione delle installazioni elettriche. Questi dispositivi sono componenti critici negli ambienti di tecnologia operativa (OT), come impianti industriali, data center e altre infrastrutture critiche, fornendo una visibilità essenziale sui consumi energetici e sulla qualità dell’energia.

È stata identificata una vulnerabilità a rischio elevato che consente a un attaccante non autenticato sulla rete di causare un Denial of Service (DoS) completo, rendendo il dispositivo non responsivo. Il rischio principale è l’interruzione operativa: un attacco potrebbe oscurare eventi critici sull’alimentazione elettrica, mascherare altre attività malevole o ostacolare la gestione dell’impianto, con conseguenti tempi di inattività costosi.

Questa vulnerabilità non è attualmente elencata nel catalogo KEV (Known Exploited Vulnerabilities) di CISA, e non ci sono segnalazioni pubbliche di un suo sfruttamento attivo. Tuttavia, l’attacco è semplice da eseguire, richiedendo solo un singolo pacchetto di rete appositamente creato, abbassando la barriera per gli attori malevoli che intendano sviluppare e distribuire un exploit. Qualsiasi gateway M-70 con la porta Modbus TCP accessibile è a rischio.

Riassunto tecnico

La vulnerabilità risiede nello stack Modbus TCP del gateway Socomec DIRIS Digiware M-70. La causa principale è una gestione impropria dei pacchetti malformati inviati al servizio Modbus, un problema comune classificato come CWE-20: Improper Input Validation. Il dispositivo non convalida correttamente la struttura di un pacchetto in ingresso prima della sua elaborazione, portando a uno stato che causa l’arresto del servizio e, successivamente, dell’intero dispositivo.

L’attacco si sviluppa come segue:

1. Un attaccante identifica un dispositivo DIRIS Digiware M-70 con la porta Modbus TCP (tipicamente 502/TCP) accessibile sulla rete.
2. L’attaccante crea un singolo pacchetto Modbus TCP malevolo progettato per sfruttare la vulnerabilità di parsing nel firmware del dispositivo.
3. Alla ricezione e all’elaborazione del pacchetto malformato, il firmware entra in uno stato di errore irreversibile, causando un denial of service totale. Il gateway cessa tutte le funzioni di monitoraggio e comunicazione fino a quando non viene riavviato manualmente.

• Versione interessata: La versione del firmware 1.6.9 è confermata come vulnerabile.
• Disponibilità della correzione: Non è stata annunciata alcuna versione corretta specifica. Gli utenti dovrebbero contattare il fornitore per ricevere indicazioni e aggiornamenti del firmware.

Un attaccante remoto non autenticato può interrompere le operazioni di monitoraggio dell’alimentazione, generando di fatto uno scenario di “perdita di visibilità” per gli operatori delle infrastrutture critiche.

// Conceptual Logic of the Flaw
// The device's Modbus TCP handler lacks robust error checking.
void modbus_tcp_handler(Packet* packet) {
    // A malformed packet might specify an invalid data length or function code.
    int data_length = packet->get_length();

    // VULNERABILITY: No check to see if 'data_length' is within a valid range.
    // An attacker can provide a value that causes a crash when the buffer
    // is processed based on this faulty length.
    process_buffer(packet->data, data_length); // This call triggers the crash.
}

Raccomandazioni

• Aggiornare immediatamente: Contattare Socomec per ottenere informazioni sugli aggiornamenti firmware che risolvono la CVE-2024-48882 e applicarli non appena disponibili.
• Mitigazioni:
  • Limitare l’accesso di rete al servizio Modbus TCP (porta 502) sui gateway DIRIS Digiware M-70.
  • Implementare una segmentazione di rete rigorosa per garantire che i dispositivi OT come l’M-70 non siano accessibili da internet o da reti aziendali non fidate. L’accesso dovrebbe essere limitato a una rete di gestione dedicata e fidata.
  • Utilizzare liste di controllo degli accessi (ACL) del firewall o soluzioni simili per applicare il principio del privilegio minimo, consentendo solo ai sistemi autorizzati di comunicare con il dispositivo.
• Ricerca e monitoraggio:
  • Monitorare i log di rete alla ricerca di traffico inatteso o anomalo rivolto alla porta 502/TCP su asset OT sensibili.
  • Monitorare i tentativi di connessione provenienti da intervalli IP o subnet non autorizzati.
  • Impostare avvisi nei sistemi di gestione degli asset per rilevare quando un gateway DIRIS Digiware M-70 diventa non responsivo o richiede un riavvio non pianificato.
• Risposta agli incidenti:
  • Se un dispositivo risulta non responsivo, isolarlo immediatamente dalla rete per prevenire ulteriori interazioni.
  • Eseguire un ciclo di spegnimento/riaccensione controllato per ripristinarne il funzionamento.
  • Prima di riconnettere il dispositivo, assicurarsi che siano in atto i controlli di rete mitigativi per bloccare il vettore d’attacco.
• Difesa a strati:
  • Mantenere un inventario completo e aggiornato di tutti gli asset OT/ICS e delle relative versioni firmware.
  • Sviluppare e testare un piano di risposta agli incidenti che affronti specificamente gli ambienti di tecnologia operativa.