Siemens heeft een beveiligingslek in de SIMATEC software waar bijna alle klanten mee te maken hebben voor een journalist verzwegen en tevens de ontdekker van het probleem geschoffeerd. Google-onderzoeker Billy Rios ontdekte dit jaar een kwetsbaarheid in de software van het Duitse bedrijf, waardoor aanvallers de authenticatie konden omzeilen en zo zonder gebruikersnaam en wachtwoord toegang kunnen krijgen. De software wordt gebruikt voor het beheren van Industriële Controlesystemen (ICS) en kritieke infrastructuur. Rios rapporteerde het lek in mei van dit jaar en wachtte nog steeds op een oplossing

Een verslaggever van Reuters benaderde Siemens, en hoorde van een woordvoerder dat er geen openstaande beveiligingsproblemen waren. "Voor alle leveranciers, gebruik dit als een les hoe je niet met beveiligingsonderzoekers omgaat die je gratis beveiligingsadvies geven en een half jaar lang hun mond houden over een authenticatie-lek in je producten", aldus een getergde Rios op zijn eigen weblog.

Aangezien Siemens stelt dat er geen openstaande problemen zijn, besloot de onderzoeker het lek te openbaren. "Of Siemens heeft keihard tegen de pers gelogen over het bestaan van het beveiligingslek waarmee kritieke infrastructuur is te beschadigen, maar Siemens zou toch niet liegen, dus ik denk dat er geen authenticatie-lek is."

Wachtwoord
Rios ontdekt dat het standaard wachtwoord voor Siemens SIMATIC "100" is. "Er zijn drie verschillende diensten die zijn blootgesteld als Siemens SIMATIC geïnstalleerd is: web, VNC en Telnet." De standaard inlog voor de webinterface is "Administrator:100" en de VNC service vereist alleen het wachtwoord "100", zonder gebruikersnaam. De onderzoeker vermoedt dat dit het lek dat een andere hacker gebruikte om een rioolsysteem binnen te dringen. Verder ontdekte Rios dat als de gebruiker het wachtwoord wijzigt en een vreemd karakter toevoegt, het wachtwoord automatisch in "100" wordt veranderd.

Een nog veel groter probleem is dat het session-cookie voor een ingelogde beheerder niet echt willekeurig is. Een aanvaller kan hiermee op afstand een SIMATIC HMI overnemen, dat de controlesystemen en kritieke infrastructuur over de hele wereld aanstuurt, zonder gebruikersnaam of wachtwoord te weten, aangezien de waarde voor de sessie volledig voorspelbaar is.