Энергомера: СЕ-серия Устройства сбора и передачи данных (УСПД)

Основная статья: Автоматизированная Система Коммерческого Учёта Энергии и мощности (АСКУЭ)

2023: Выявление трех уязвимостей

Эксперт Positive Technologies Антон Бояркин выявил три уязвимости в УСПД СЕ805М производства компании «Энергомера» — устройствах для сбора данных с приборов учета энергоресурсов и передачи полученной информации на верхний уровень систем АСКУЭ, а также для управления и контроля состояния объекта автоматизации. Такое оборудование применяется на подстанциях, в распределительных щитах промышленных предприятий, жилых и офисных зданий. Об этом Positive Technologies сообщили 28 декабря 2023 года.

Согласно данным мониторинга, больше всего потенциально уязвимых устройств находятся в России (51%) и Азербайджане (28%). Они также встречаются в Белоруссии (2%), Германии (2%) и Казахстане (1%).

К одному такому устройству могут быть подключены сотни счетчиков. Используя уязвимый УСПД как шлюз, атакующий мог не только получить к ним доступ и нарушить работу системы учета на этом участке, но и отключить подачу электроэнергии, — отметил Антон Бояркин, руководитель группы отдела безопасности промышленных систем управления Positive Technologies. — Устройство применяется в составе систем АСКУЭ электросетевыми компаниями и представлено у нас на полигоне Standoff 365, где оно собирает данные с умных счетчиков (как в многоквартирных жилых домах) с возможностью дистанционного управления нагрузкой.

Первая обнаруженная уязвимость относится к критическому уровню опасности, а две другие — к высокому. Уязвимость BDU:2023-04841, получившая почти максимальную оценку по шкале CVSS 3.0 (9,8), позволяла менять параметры оборудования. Вторая уязвимость — BDU:2023-04842 — давала возможность нарушить целостность базы данных или вызвать отказ в обслуживании (оценка 8,1), а третья — BDU:2023-04843 — позволяла атакующему модифицировать параметр устройства таким образом, чтобы вставить команды ОС, которые будут выполнены при запуске автоматического обновления прикладного ПО (оценка 8,8).

Производитель рекомендует обновить встроенное ПО устройства до версии 4.13. В дополнение эксперты Positive Technologies рекомендуют по возможности ограничить или запретить доступ к сетевому порту, предназначенному для удаленной настройки УСПД.