6 февраля 2007 
smart Удаленное управление
Специалисты по безопасности нашли важную уязвимость в программном сервере, установленном на опытную посудомоечную машину Miele Professional PG 8528. Производитель был уведомлен о проблеме, но никакой реакции с его стороны нет с осени 2016 г.
Компания Miele создаёт дорогостоящую кухонную и медицинскую технику. Совокупность Miele Professional PG 8528, к примеру, является дезинфекционный аппарат и посудомоечную машину, рассчитанный на применение в медицинских учреждениях.
Производитель оснастил эту машину веб-сервером PST10, дабы ей возможно было руководить удаленно — через веб-браузер.
Специалист по кибербезопасности Йенс Регель (Jens Regel) из консалтинговой компании SchneiderWulf нашёл в этом сервере брешь средней степени опасности:
«Встроенный веб-сервер PST10 WebServer обыкновенно слушает порт 80 и уязвим перед атакой класса directory traversal, что свидетельствует, что неавторизованный преступник может применять эту проблему для получения значимой информации, благодаря которой вероятно осуществление последующих атак», — говорится в описании неприятности.
Точка входа
Сущность атаки Directory Traversal содержится в получении нелегитимного доступа к нужному файлу на сервере, применяя неточности совокупностей безопасности и методом подмены пути к файлу.
Медицинская посудомоечная машина Miele Professional PG 8528
Благодаря распознанной уязвимости преступник может получить доступ к значимой информации на сервере либо внедрить собственный исполняемый код.
Йенс Регель говорит, что посредством достаточно несложного эксплойта ему удалось привести к файлу/etc/shadow, что должен быть доступен лишь пользователю с root-правами (в этом файле находятся «теневые пароли», включая root-пароль). Вероятно получения доступа и к вторым ресурсам на том же сервере.
В теории, такая посудомоечная машина может стать «точкой входа» в сеть предприятия, при условии, что она не изолирована от вторых сегментов внутренней сети и дешева через интернет напрямую.
Отсутствие реакции
Регель говорит, что уведомил Miele о существующей проблеме еще в ноябре 2016 г. По окончании того, как представителям Miele были переданы все информацию об уязвимости, они прекратили отвечать на запросы специалиста.
В следствии тот опубликовал все данные вместе с экспериментальным эксплойтом. Сведений о выпуске исправлений для уязвимого компонента сейчас нет.
«К сожалению, это уже достаточно обычная обстановка: производители оборудования, которое прежде не подразумевало подключения к интернету, — от промышленных совокупностей до кофеварок и автомобилей, — начинают оснащать собственные изделия сетевыми модулями, наряду с этим не уделяя должного внимания их безопасности, — комментирует Дмитрий Гвоздев, председатель совета директоров компании «Монитор безопасности». – В следствии мы замечаем угрожающе низкий уровень защищенности промышленных совокупностей, недопустимые неточности в бортовых совокупностях «умных» машин, холодильники, распространяющие спам, и посудомоечные машины, контроль над которыми возможно без особенного труда захватить удаленно. Надежность любой совокупности определяется надежностью его самого не сильный звена. До тех пор пока производители для того чтобы оборудования, подключаемого к Сети, не осознают, что к сетевым компонентам нельзя относиться как к чему-то второстепенному, обстановка вряд ли изменится».
Увлекательные записи:
- Вендоры настаивают: ноутбук должен стоить $100
- Вендоры плазменных тв уходят с рынка
- Vertu привезла в россию смартфон за ?21 тыс
Рубрика: 
Метки: 
