Консорциум OPC Foundation комментирует отчет «Лаборатории Касперского» об исследовании безопасности OPC UA

Теги по теме

OPC Foundation

уязвимости

Отчет «Лаборатории Касперского», выпущенный 10 мая 2018 года, привлек большое внимание со стороны средств массовой информации в связи с заявлением о выявлении 17 проблем безопасности в продуктах OPC Foundation и в коммерческих приложениях, которые их используют. Информация обо всех найденных в процессе исследования уязвимостях незамедлительно передавалась разработчикам уязвимого ПО.

Консорциум OPC Foundation провел детальный анализ отчета и опубликовал официальные комментарии и разъяснения по проблеме. Согласно им, из 17 уязвимостей, рассмотренных в отчете:

1. Восемь уязвимостей связаны с сервером, использующим UA ANSI C Stack, пример которого содержался в открытым коде, размещенном в репозитории OPC Foundation на GitHub. Эти проблемы не влияют на сам ANSI C Stack или на продукты, основанные на коммерческих SDK. Тем не менее, все уязвимости исправлены.
2. Шесть уязвимостей связаны с компонентом OPC server enumerator (службы Local Discovery Services). Они были выявлены и исправлены в 2017 году, а также опубликованы соответствующие сведения (CVE-2017-12069). Кроме того, отмечается, что эти уязвимости не могут эксплуатироваться удаленно.
3. Три уязвимости затрагивают отдельные коммерческие продукты разных производителей:

• Информация об одной из них была раскрыта в 2016 году.
• Над исправлением второй уязвимости в настоящее время работает производитель.
• А третья уязвимость связана с устаревшим .NET-стеком. Она была оперативно исправлена OPC Foundation в 2017 году, и пользователи OPC своевременно уведомлены об этой проблеме.

В заявлении консорциума OPC Foundation также подчеркивается, что программное обеспечение OPC UA основывается на решениях от нескольких коммерческих OPC UA SDK/Toolkits поставщиков, и на большинство этих продуктов не влияют уязвимости в примере кода серверного приложения ANSI C, опубликованного на GitHub. Кроме того, OPC Foundation ведет работу по привлечению внешних организаций для проведения тестирования безопасности базы с открытым исходным кодом и публикации результатов в GitHub.

Источник: OPC Foundation