Een leverancier van beheersystemen voor watertanks laat een kritieke kwetsbaarheid, waardoor een aanvaller eenvoudig op afstand de instellingen kan aanpassen, ongemoeid. Daarvoor waarschuwt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security.
Het gaat om het TMS300 CS watertankbeheersysteem van Kingspan. Via dit systeem is het mogelijk om tot achttien watertanks te beheren. Het systeem, dat wereldwijd wordt gebruikt, is via een simkaart remote toegankelijk, maar kan ook op andere manieren worden aangesloten en gemonitord. Beveiligingsonderzoeker Maxim Rupp ontdekte dat het mogelijk is voor een aanvaller om zonder inloggegevens de instellingen van het systeem te bekijken en aan te passen. Hiervoor hoeft de aanvaller alleen een specifieke url te kennen.
Vanwege de eenvoud waarmee de kwetsbaarheid (CVE-2022-2757) is te misbruiken en de gevolgen die het kan hebben is de impact op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Het CISA waarschuwde Kingspan voor de kwetsbaarheid, maar volgens de Amerikaanse overheidsinstantie heeft het bedrijf geen reactie gegeven om het probleem te verhelpen. Bedrijven die van het systeem gebruikmaken wordt dan ook aangeraden om de toegang ertoe zoveel mogelijk te beperken, bijvoorbeeld door gebruik te maken van een vpn of firewall.
Deze posting is gelocked. Reageren is niet meer mogelijk.