Критична ранливост заобиколувањето на автентикација во Claroty овозможила напади врз OT системи

CVE-2025-54603 им овозможила на напаѓачите да нарушат критични оперативни технологии (OT) и инфраструктури, како и да украдат податоци од нив.

Ранливостите во технологиите што обезбедуваат пристап до оперативни технолошки средини се особено опасни, бидејќи можат да му овозможат на напаѓачот да ги наруши индустриските системи, да украде чувствителни податоци и да стекне неовластена контрола врз клучната инфраструктура.

Еден пример за таква неодамнешна ранливост е CVE-2025-54603 во Claroty Secure Remote Access (SRA), која производителот веќе ја закрпи. Грешката, која се наоѓала во функцијата OpenID Connect (OIDC) во локалната (on-premises) верзија на Claroty SRA, им овозможувала на напаѓачите да создаваат неовластени корисници со основни привилегии, да се претставуваат како постоечки корисници и да добијат целосна администраторска контрола.

Заобиколување на автентикацијата

Истражувачите од Limes Security ја откриле и пријавиле ранливоста на Claroty порано оваа година, за време на рутински пенетрационен тест кај еден нивен клиент.

Claroty обезбедува технологии што им овозможуваат на организации од индустрискиот, здравствениот, јавниот и комерцијалниот сектор да ги надгледуваат, управуваат и заштитуваат своите OT средини од сајбер закани. Според компанијата, стотици организации ширум светот ја користат Claroty за заштита на критични OT ресурси на илјадници локации.

Claroty SRA овозможува добавувачи, изведувачи, техничари за одржување, внатрешни администратори и други да се поврзат оддалечено со овие OT средини на контролиран и надгледуван начин.

CVE-2025-54603 произлегува од неправилна имплементација на OIDC автентикацискиот процес во Claroty Secure Access кога е конфигуриран OIDC. Според NIST, „неправилен OIDC процес во Claroty Secure Access 3.3.0 до 4.0.2 може да резултира со неовластено создавање на корисници или имитација на постоечки OIDC корисници.“

Такви грешки се случуваат кога производот не ги проверува или не ги применува целосно токените или идентитетските тврдења за време на автентикацијата, овозможувајќи им на напаѓачите да создаваат неовластени сметки или да се претставуваат како валидни корисници.

„Тоа беше рутински пен-тест за проверка на конфигурацијата,“ вели Бенџамин Обердорфер, IT/OT специјалист во Limes Security. „Буквално налетавме на ранливост што беше навистина критична — можеше да се заобиколи механизмот за автентикација и да се добие пристап како администратор или корисник,“ изјави тој за Dark Reading.

Ранливоста им овозможува на напаѓачите да создаваат кориснички сметки без правилна регистрација. Дури и ако е вклучена двофакторска автентикација, напаѓачот може директно да се најави во Claroty SRA и целосно да ја заобиколи заштитата со повеќе фактори.

Единствениот начин да се намали ризикот од CVE-2025-54603 е да се инсталира закрпата што ја објави Claroty. Самото исклучување на OIDC не е доволно, бидејќи ранливоста и понатаму може да се искористи.

Пошироката закана

Феликс Еберсталер, раководител на истражување на ранливости во Claroty, оцени дека експлоатацијата на грешката е релативно лесна штом напаѓачот открие кои вредности треба да се манипулираат за време на автентикацијата.
„Ако знаете кои параметри да ги смените, можете секогаш сигурно да ја искористите ранливоста без никакви тешкотии,“ вели тој.

Според Еберсталер, новата ранливост е значително посериозна од локалната ранливост за ескалација на привилегии што Limes ја откри во 2021 година, која бараше напаѓачот претходно да има одредени привилегии.

Оваа грешка во производот за далечински пристап на Claroty не е изолиран случај. Растечката побарувачка за технологии што овозможуваат далечински пристап до OT и ICS системи доведе до зголемен број на вакви алатки, кои често се имплементираат нерамномерно и без доволна безбедност.

Според студија на Claroty од минатата година, 55% од организациите користеле четири или повеќе алатки за далечински пристап во своите OT системи, а 33% користеле шест или повеќе. Многу од тие алатки не биле на корпоративно ниво и немале поддршка за критични безбедносни функции како управување со привилегии, контрола врз основа на улоги, евиденција на сесии и мултифакторска автентикација.

Поради ваквите ризици, американските федерални власти издадоа предупредување порано годинава дека операторите на ICS и OT мрежи не се доволно подготвени да се одбранат од растечкиот број на сајбер напади.

Извори:

• Darkreading – „Critical Claroty Authentication Bypass Flaw Opened OT to Attack“ Darkreading