اکسپلویت RCE در CVE-2021-31886
اکسپلویت اجرای کد از راه دور (RCE) مورد استفاده پژوهشگران، با کمک هوش مصنوعی Claude برای آسیب‌پذیری CVE-2021-31886 به کار گرفته شد؛ این آسیب‌پذیری یک سرریز بافر مبتنی بر پشته (Stack-Based Buffer Overflow) در نحوه پردازش دستور USER توسط سرور FTP مبتنی بر Nucleus است. این ضعف امنیتی بر اساس امتیازدهی زیمنس(Siemens) ، امتیاز 9.8 را در سیستم امتیازدهی CVSS به خود اختصاص داده و مهاجم می‌تواند پیش از احراز هویت و از طریق پورت TCP شماره 21 از آن سوءاستفاده کند.
مرکز CERT@VDE اعلام کرده است که در حال حاضر برای کنترلرهای WAGO تحت تأثیر این آسیب‌پذیری، هیچ به‌روزرسانی یا اصلاحیه‌ای در دسترس نیست. این مرکز به مالکان تجهیزات توصیه می‌کند:
- FTP را روی پورت 21 غیرفعال یا مسدود کنند.
- با استفاده از بخش‌بندی شبکه (Network Segmentation)، دسترسی به تجهیزات را محدود کنند.
- ترافیک شبکه را برای شناسایی فعالیت‌ها و الگوهای غیرعادی زیر نظر بگیرند.
اجرای فرآیند پورت کردن این اکسپلویت بدون هدایت و مداخله مستمر پژوهشگر امکان‌پذیر نبود. مرحله نهایی توسعه اجرای کد از راه دور (RCE) در یک نشست 8 ساعت و 32 دقیقه‌ای انجام شد و هزینه استفاده از API در این مدت به 535.74 دلار رسید.
در نشست دیگری، تلاش برای توسعه اکسپلویت و تبدیل آن به یک ایمپلنت فرماندهی و کنترل (C2) باعث شد داده‌ها در بخشی از حافظه اختصاص‌یافته به فلش نوشته شوند. این اقدام در نهایت منجر به خرابی دائمی PLC و از دسترس خارج شدن کامل آن شد. شرکت Forescout در ارزیابی این آزمایش اعلام کرد که پژوهشگر می‌توانست بدون استفاده از هوش مصنوعی، اکسپلویت RCE را در مدت زمان کوتاه‌تر و با هزینه کمتری به مدل جدید پورت کند، بدون اینکه در این فرآیند اختلالی در عملکرد PLC ایجاد شود.
پورت اکسپلویت بین دو مدل WAGO با هوش مصنوعی Claude
Vedere Labs پیش‌تر یک اکسپلویت عملیاتی برای اجرای کد از راه دور (RCE) روی کنترلر WAGO 750-852 توسعه داده بود. سپس پژوهشگران، این اکسپلویت را از WAGO 750-852 به کنترلر WAGO 750-831 با فریم‌ور نسخه V01.04.16 پورت کردند.
پژوهشگران برای این آزمایش، اکسپلویت موجود WAGO 750-852، فایل باینری فریم‌ور مربوط به WAGO 750-831 و یک دستگاه فیزیکی WAGO 750-831 را به‌عنوان هدف واقعی آزمایش در اختیار هوش مصنوعی Claude قرار دادند. هر مرحله از آزمایش در یک نشست تعاملی میان پژوهشگر و Claude Code انجام شد. این محیط به ترمینال، ابزار مهندسی معکوس Ghidra و PLC هدف، دسترسی داشت.
این فرآیند ابتدا با Claude Sonnet 4.6 آغاز شد، اما پس از متوقف شدن تلاش‌های اولیه برای دستیابی به اجرای کد از راه دور، پژوهشگران به Claude Opus 4.6 روی آوردند. بررسی عملکرد عادی سرویس FTP روی WAGO 750-831 نشان داد که این سرویس 256 بایت از بافر تحت کنترل مهاجم را صفر می‌کند و در نتیجه، شل‌کد (Shellcode) تزریق‌شده پیش از اجرای آن از بین می‌رود.
Claude برای جلوگیری از پاک شدن بافر، توالی دستورات USER و QUIT مورد استفاده در اکسپلویت WAGO 750-852 را به ترکیب USER و CWD تغییر داد. در ادامه، خاتمه‌دهنده CRLF از دستور حذف شد؛ در نتیجه، مسیر پردازش دیگر طبق روال معمول به پایان نمی‌رسید و محتوای بافر تا زمان اجرای پیلود حفظ می‌شد.
پس از دستیابی به اجرای کد، هوش مصنوعی Claude تنها در 12 دقیقه شل‌کد متشکل از دستورهای NOP (No-Operation) را به دو پیلود کاربردی تبدیل کرد. یکی از این پیلودها درخواست‌های Echo پروتکل ICMP را به یک سامانه تحت کنترل مهاجم ارسال می‌کرد؛ پیلود دیگر نیز یک بسته UDP حاوی عبارت «PWNED» به مقصد موردنظر ارسال می‌کرد.
این اکسپلویت در تابع فراخوانی دریافت داده‌های اترنت (Ethernet Receive Callback) اجرا می‌شود. در این آزمایش، قابلیت اجرای کد با ارسال بسته‌های شبکه به‌عنوان خروجی عملیاتی اکسپلویت به اثبات رسید.
پیامدهای اجرای کد در شبکه‌های OT
Vedere Labs پیش‌تر اعلام کرده بود که دستیابی به اجرای کد از راه دور (RCE) روی یک کنترلر می‌تواند به‌عنوان بخشی از یک زنجیره حمله، زمینه را برای حرکت جانبی (Lateral Movement) گسترده در شبکه‌های فناوری عملیاتی (OT) فراهم کند. در آن پژوهش، مهاجمان با زنجیره‌کردن چندین آسیب‌پذیری در کنترلرهای PLC سری Modicon شرکت Schneider Electric، امکان افزایش دسترسی در شبکه را به دست آورده بودند.
در نخستین نشست آزمایش، هوش مصنوعی Claude یک ضعف احتمالی را در لوپ استخراج دستورات FTP شناسایی کرد که با CVE-2021-31886 ارتباطی نداشت. بررسی دستی این ضعف نشان داد که احتمالاً پژوهشگران با یک آسیب‌پذیری مستقل و پیش‌تر شناسایی‌نشده روبه‌رو هستند. پژوهشگران اعلام کردند که این مورد به‌صورت جداگانه بررسی خواهد شد و تاکنون هیچ شناسه CVE برای آن ثبت نشده است.
بررسی CVE-2021-31886 در گیت‌هاب نیز هیچ مورد مرتبطی را نشان نداد. این آسیب‌پذیری در پایگاه‌های Exploit-DB و Packet Storm نیز ثبت نشده است. البته جست‌وجوی گیت‌هاب بیشتر نام و توضیحات مخازن را بررسی می‌کند و محتوای فایل‌های موجود در آن‌ها را پوشش نمی‌دهد.
Forescout تأکید کرد که نگرانی اصلی در این سناریو، حمله مستقل یک عامل هوش مصنوعی به کنترلر نیست. مسئله زمانی جدی می‌شود که یک عامل هوش مصنوعی دارای مجوز، روی یک سامانه فیزیکی اقدام اشتباهی انجام دهد؛ زیرا چنین اقدامی می‌تواند منجر به خرابی یا اختلال در عملکرد سامانه و در نهایت مشکلات جدی در عملیات شود.
تجهیزات آسیب‌پذیر WAGO بر اساس هشدار CERT@VDE
بر اساس هشدار امنیتی CERT@VDE، مدل‌های زیر در برابر آسیب‌پذیری‌های بررسی‌شده در این هشدار، از جمله CVE-2021-31886، آسیب‌پذیر هستند:
- WAGO 750-829: نسخه فریم‌ور FW16 و قدیمی‌تر
- WAGO 750-831/000-00: نسخه فریم‌ور FW14 و قدیمی‌تر
- WAGO 750-852: نسخه فریم‌ور FW16 و قدیمی‌تر
- WAGO 750-880/0xx-xxx: نسخه فریم‌ور FW16 و قدیمی‌تر
- WAGO 750-881: نسخه فریم‌ور FW16 و قدیمی‌تر
- WAGO 750-882: نسخه فریم‌ور FW16 و قدیمی‌تر
- WAGO 750-885/0xx-xxx: نسخه فریم‌ور FW16 و قدیمی‌تر
- WAGO 750-889: نسخه فریم‌ور FW16 و قدیمی‌تر
- WAGO 750-331: نسخه فریم‌ور FW16 و قدیمی‌تر
- WAGO 750-352/xxx-xxx: نسخه فریم‌ور FW16 و قدیمی‌تر
CERT@VDE اعلام کرده است که کوپلرهای فیلدباس (Fieldbus Coupler) و کنترلرهای PLC فهرست‌شده، بر پایه سیستم‌عامل بلادرنگ Nucleus V1 کار می‌کنند. طبق این هشدار، در حال حاضر هیچ به‌روزرسانی برای این نسخه از Nucleus ارائه نشده است.
وضعیت اصلاح دو مدل 750-882 و 750-885/0xx-xxx در این هشدار مشخص نشده است؛ این دو مدل در بخش اقدامات کاهش ریسک و همچنین جدول وضعیت رفع آسیب‌پذیری نیز درج نشده‌اند.
زیمنس، توسعه‌دهنده و پشتیبان Nucleus، در هشدار امنیتی خود اعلام کرده است که برای Nucleus NET در هیچ‌یک از نسخه‌ها پچ امنیتی ارائه نخواهد شد. در مقابل، آسیب‌پذیری CVE-2021-31886 در نسخه V2013.08.1 و نسخه‌های جدیدتر Nucleus ReadyStart V3 برطرف شده است.
افزایش تهدیدات علیه زیرساخت‌های صنعتی
آسیب‌پذیری CVE-2021-31886 یکی از 13 آسیب‌پذیری بود که Forescout و Medigate در نوامبر 2021 در قالب مجموعه NUCLEUS:13 معرفی کردند. Forescout در پژوهش‌های قبلی خود درباره زنجیره‌کردن اکسپلویت‌های PLC اعلام کرده بود که این آسیب‌پذیری‌ها احتمالاً در زمره اولویت‌های اصلی امنیتی سازمان‌ها قرار نمی‌گیرند. با این حال، پیشرفت‌های هوش مصنوعی و قابلیت‌هایی که هوش مصنوعی Claude در آزمایش‌های اخیر نشان داده است، می‌تواند این ارزیابی را تغییر دهد و سازمان‌ها را به بازنگری در میزان اهمیت و اولویت این آسیب‌پذیری‌ها وادار کند.
این پژوهش در حالی منتشر شده است که در 19 آگوست، آژانس امنیت ملی آمریکا (NSA)، آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA)، اداره تحقیقات فدرال آمریکا (FBI)، وزارت انرژی آمریکا (DOE) و آژانس حفاظت از محیط زیست آمریکا (EPA) در یک هشدار مشترک درباره تهدیدی فعال علیه PLCهای سری Siemens S7 هشدار دادند. این PLCها اتصال مستقیم به اینترنت داشتند و هدف اسکریپت‌های اکسپلویت تولیدشده با کمک هوش مصنوعی قرار گرفته بودند.
بر اساس ارزیابی این نهادها، فعالیت‌های شناسایی‌شده احتمالاً با هدف شناسایی مستمر اهداف و توسعه توانمندی‌های عملیاتی انجام می‌شوند. با این حال، نهادهای مذکور هنوز این فعالیت‌ها را به عامل یا گروه مشخصی نسبت نداده‌اند.
FBI و EPA اعلام کرده‌اند که از 27 جولای، تأسیسات آب و فاضلاب در دست‌کم هفت ایالت آمریکا هدف حمله قرار گرفته‌اند. این حملات در برخی موارد باعث اختلال در فعالیت این تأسیسات شده است. مهاجمان در این حملات، آدرس‌های IP و رمزهای عبور کنترلرهای MicroLogix شرکت Rockwell Automation متصل به اینترنت را تغییر دادند. نکته مهم این است که برای انجام این حملات، نیازی به سوءاستفاده از آسیب‌پذیری یا استفاده از اکسپلویت وجود نداشت.
این نهادها در هشدار مشترک خود تأکید کرده‌اند که استفاده از هوش مصنوعی برای تولید اسکریپت‌های اکسپلویت، توانایی عاملان تهدید را وارد مرحله جدیدی کرده است. هوش مصنوعی می‌تواند زمان و تخصص فنی موردنیاز برای توسعه اسکریپت‌های عملیاتی حمله به سامانه‌های کنترل صنعتی (ICS) و ابزارهای مخرب را به میزان چشمگیری کاهش دهد.
