Cảnh báo CVE mới trên nền tảng CODESYS Control runtime cho thấy một chuỗi lỗ hổng CVE có thể bị khai thác để thay thế ứng dụng điều khiển hợp lệ bằng phiên bản đã bị chỉnh sửa, từ đó nâng quyền lên full administrative control trên thiết bị mục tiêu. Đây là rủi ro bảo mật đáng chú ý với các hệ thống Soft PLC trong an ninh mạng công nghiệp.
Lỗ hổng CVE trong CODESYS Control runtime
CODESYS là nền tảng Soft PLC được dùng rộng rãi trong nhiều lĩnh vực công nghiệp, bao gồm xử lý nước, lưới điện và dây chuyền sản xuất tự động. Do PLC trực tiếp điều khiển quy trình vật lý, một lỗ hổng CVE bị khai thác có thể dẫn tới dừng sản xuất, hư hỏng thiết bị hoặc tạo ra điều kiện vận hành nguy hiểm.
Các lỗ hổng mới được phát hiện ảnh hưởng đến cách runtime xử lý quyền truy cập tệp và khôi phục bản sao lưu. Theo mô tả kỹ thuật, chuỗi khai thác cho phép kẻ tấn công đã xác thực thay thế một ứng dụng công nghiệp bằng biến thể có backdoor, sau đó kiểm soát các hành vi vận hành của hệ thống.
Chi tiết các lỗ hổng CVE
- CVE-2025-41658 – CVSS 5.5 (Medium): Quyền mặc định không chính xác cho phép người dùng cục bộ đọc CODESYS password hashes.
- CVE-2025-41659 – CVSS 8.3 (High): Phân quyền không đúng cho phép người dùng đặc quyền thấp truy cập dữ liệu mật mã nhạy cảm.
- CVE-2025-41660 – CVSS 8.8 (High): Lỗi chuyển giao tài nguyên cho phép khôi phục một boot application đã bị sửa đổi.
Thông tin đối chiếu có thể xem thêm trên NVD.
Điều kiện để khai thác lỗ hổng CVE
Để thực hiện tấn công, tác nhân đe dọa trước hết cần Service-level credentials hợp lệ. Trong môi trường triển khai thực tế, cơ chế kiểm soát tiêu chuẩn thường ngăn chặn truy cập trái phép, nhưng kẻ tấn công có thể lấy được thông tin xác thực qua mật khẩu mặc định, một máy trạm kỹ sư đã bị xâm nhập, hoặc khai thác CVE-2025-41658 để trích xuất hash.
Sau khi xác thực thành công, lỗ hổng CVE có thể bị xâu chuỗi để can thiệp vào ứng dụng điều khiển. Mục tiêu cuối cùng là thay đổi logic điều khiển, đưa phiên bản ứng dụng bị backdoor vào hệ thống và duy trì quyền kiểm soát ở mức quản trị.
Chuỗi tấn công và tác động hệ thống
Khi một Soft PLC bị xâm nhập, kẻ tấn công có thể thay đổi hành vi của cơ cấu chấp hành, chỉnh các giá trị an toàn, hoặc vô hiệu hóa các interlock quan trọng. Đây là dạng tấn công mạng có thể ảnh hưởng trực tiếp đến quy trình vận hành công nghiệp.
Các kỹ thuật này tương ứng với một số mục trong MITRE ATT&CK for ICS, gồm Manipulation of Control (T0831), Module Firmware Modification (T0839), và Theft of Operational Information (T0882). Các chỉ dấu chính cần quan tâm trong phát hiện xâm nhập bao gồm thay đổi tệp ứng dụng PLC, hoạt động khôi phục boot application bất thường và truy cập dữ liệu mật mã từ tài khoản đặc quyền thấp.
Biện pháp giảm thiểu cho lỗ hổng CVE
CODESYS Group đã khắc phục các vấn đề này trong CODESYS Control Runtime version 4.21.0.0 và Toolkit version 3.5.22.0. Đây là bản vá bảo mật quan trọng đối với bất kỳ hệ thống nào đang chạy runtime bị ảnh hưởng.
Để giảm rủi ro bảo mật, quản trị viên cần triển khai cập nhật ngay, phân đoạn mạng nghiêm ngặt và giám sát liên tục lưu lượng mạng công nghiệp để phát hiện hành vi bất thường. Trong bối cảnh lỗ hổng CVE tác động đến PLC, việc kiểm soát thay đổi cấu hình và xác thực nguồn gốc ứng dụng điều khiển là bắt buộc.
Theo khuyến nghị kỹ thuật, CODESYS đã đặt code signing ở trạng thái bắt buộc theo mặc định đối với toàn bộ mã PLC trước khi được triển khai hoặc thực thi. Điều này làm giảm khả năng nạp ứng dụng đã bị sửa đổi vào hệ thống.
Khuyến nghị kiểm tra và giám sát
- Xác minh phiên bản CODESYS Control Runtime và Toolkit đang triển khai.
- Rà soát tài khoản có quyền Service-level và thay đổi mật khẩu mặc định.
- Kiểm tra các lần khôi phục boot application hoặc thay đổi ứng dụng PLC ngoài quy trình chuẩn.
- Giám sát truy cập tới dữ liệu mật mã và các tệp hash liên quan đến runtime.
- Áp dụng cập nhật bản vá và giới hạn lưu lượng quản trị giữa các vùng mạng.
Lỗ hổng CVE trong môi trường PLC thường không chỉ dừng ở việc truy cập trái phép, mà có thể dẫn đến chiếm quyền điều khiển logic vận hành. Với các hệ thống công nghiệp phụ thuộc vào CODESYS, việc triển khai bản vá bảo mật, bật code signing và theo dõi lưu lượng bất thường là các bước cần ưu tiên để giảm nguy cơ bảo mật.
