12 декабря 2023 г. компания АдАстра сообщила об устранении уязвимостей в МРВ и NLL TRACE MODE 6.10.2, обнаруженных компанией Positive Technologies в рамках технологического сотрудничества в области кибербезопасности. Найденные уязвимости устранены в TRACE MODE 7 всех релизов. Информация об устранении уязвимостей зарегистрирована в Банке данных угроз безопасности информации ФСТЭК.

Уязвимость заключается в хранение хэша пароля и настроек прав пользователя dbb-файла проекта в открытом виде без средств защиты.

Хотя эксплуатация уязвимости возможна только в случае физического доступа злоумышленника к ПК, т.е. при нарушении приказов 31 и 239 ФСТЭК о контроле доступа к программно-аппаратным средствам значимого объекта и его линиям связи (п. 12.3.а), в марте 2023 компания АдАстра приняла меры обеспечения дополнительной безопасности АСУ ТП и устранила данную уязвимость – хэши паролей и данные о пользователях в SCADA TRACE MODE 7 зашифрованы.

Т.к. версия 6 развивалась в период с 2004 по 2017 гг. и имеет десятки тысяч инсталляций, в т.ч. и на объектах критической информационной инфраструктуры (КИИ), то АдАстра рекомендует:

• При использовании SCADA TRACE MODE соблюдать требования действующих нормативно-правовых актов по информационной безопасности, а именно Указов Президента РФ n 166, ФЗ 187, приказов ФСТЭК 31, 239 и др.
• Перевести АСУ ТП с устаревшей версии 6 на современную TRACE MODE 7. Программы TRACE MODE 7 доступны в т.ч. и для российских Linux. Проекты TRACE MODE 6 конвертируются в TRACE MODE 7. Технология перехода описана, в частности, на https://www.tracemode.ru/products/articles/TM6-TM7.
• Если заменить TRACE MODE 6 не представляется возможным, то до тех пор, пока это не сделано, рекомендуется:
  • Ограничить физический доступ к программно-аппаратным средствам и их линиям связи АСУ ТП. Т.к. для подмены dbb-файла, требуется предварительный останов проекта (может фиксироваться Отчетом Тревог TRACE MODE 6), от ограничить доступ к функциям перезагрузки ОС, к электропитанию операторского ПК, использовать автозапуск.
  • Контролировать целостность и/или шифровать dbb-файлы средствами ОС или внешних программ.
  • Использовать клиент-серверные комплексы на базе устаревшей версии TRACE MODE 6 только в пределах демилитаризованной зоны сети.
  • В качестве логинов вместо слов и имен использовать случайные буквенно-цифровые коды.
    

АдАстра выражает благодарность компании Positive Technologies (Москва) и лично исследователю Денису Алимову, обнаружившему уязвимость, за вклад в укрепление информационной безопасности промышленных АСУ и SCADA TRACE MODE.

Программы TRACE MODE 7 с устраненной уязвимостью можно скачать по ссылке https://www.tracemode.ru/dwc/public.