Kritische Lücken im Automatisierungs-Baustein Siemens LOGO!

LOGO! Support

Zu dem im "Heise online" Artikel vom 31.05.2019 genannten Security Aspekten gibt es seitens Siemens eine offiziele CERT Meldung bereits vom 14.05.2019:

https://cert-portal.siemens.com/productcert/pdf/ssa-542701.pdf

Muss der Endanwender sich jetzt erst durch alle möglichen Meldungen auf den verschiedensten internationalen Seiten durcharbeiten, in diesem Fall auch noch übersetzen, um informiert zu sein ?

Was mich stört, ist der Umgang mit den Passwörtern, die anscheinend unverschlüsselt übertragen werden. Sowas könnte man auch vorher schon wissen und nicht erst, wenn Heise darauf aufmerksam macht.

LOGO! Support

Wir empfehlen, sich an die Sicherheitshinweise, die im LOGO! Systemhandbuch (in Kapitel 10.1) beschreiben sind, zu halten.

Stimmt schon, die Einhaltung aller Sicherheitshinweise bringt den nötigen Schutz. Man könnte an der Logo auch die LAN-Schnittstelle weglassen oder einfach nichts mehr daran anschließen, das bringt auch umfänglichen Schutz. Dann ist die Logo aber bestimmt nicht mehr sinnvoll einsetzbar.

LOGO! Support

Grundsätzlich arbeiten wir laufend daran, entdeckte Schwachstellen zu verifizieren und in der Weiterentwicklung unserer Produkte zu berücksichtigen.

Ich behaupte mal, dass die Schwachstellen nicht das primäre Ziel einer Weiterentwicklung ist. Das wurde in der Vergangenheit schon oft genug gezeigt, wie man z.B. mit Software- oder Firmwarefehlern umgeht. Solange Siemens keine ausführlichen Versionshistorien für Soft- und Hardwarestände veröffentlicht, kann man doch nur davon ausgehen, dass fehlerbehaftete Ware, bei der die Fehler nur in bestimmten Konfigurationen auftreten, stillschweigend weiter verkauft wird, um den Profit nicht zu schmälern. Wenn das nicht mal irgendwann in die Hose geht.

M.f.G. Scorp

Scorp

 

Was mich stört, ist der Umgang mit den Passwörtern, die anscheinend unverschlüsselt übertragen werden. Sowas könnte man auch vorher schon wissen und nicht erst, wenn Heise darauf aufmerksam macht.

Hallo,

die Passwörter werden nicht unverschlüsselt übertragen, das war früher mal der Fall.

Bei der Logo 0BA6 und OBA7 kann ich die über einen Port Sniffer mitlesen. ( Habe ich schon gemacht :-) )

Aktuelle werden die Passwörter mit einem festen Schlüssel übertragen und dieser ist über den Port zu lesen, wenn eine GetRequest ausgelöst wird, so wie ich das verstanden habe.

Die Software mit der die Sicherheitslücke festgestellt wurde ist frei verfügbar, aber das Script was verwendet wurde ist  nicht veröffentlicht worden.

Also dürfte es für den Normalanwender nicht so einfach sein, bis evtl. jemand ein Programm dafür schreibt oder das Script veröffentlicht.

Bedeutet aber auch, das der Passwortschutz kein Schutz ist  :-)

mfg.

Liebe Nutzer des Technical Forums,

nachfolgende eine Information von Siemens ProductCERT: 

Siemens ProductCERT

Vielen Dank für die Rückmeldung zu diesem Thema.

Grundsätzlich werden alle Meldungen zu bekannten möglichen Bedrohungen, inklusive unserer Empfehlungen zur Vermeidung, zentral auf einer Seite zur Verfügung gestellt. Dies soll es unseren Kunden einfacher machen über alle diese Themen informiert zu sein.

Bitte nutzen Sie die Webseite von Siemens ProductCERT <https://www.siemens.com/cert/advisories> und abonnieren Sie  die Advisories <https://www.siemens.com/cert#Subscriptions> um immer auf dem aktuellen Stand zu sein.

 Gruß vom CS Moderator