Vulnerabilità nei PLC WAGO: la catena che porta al controllo totale

Una ricerca di sicurezza OT ha analizzato il controllore programmabile WAGO 750-8216/025-001, una piattaforma molto diffusa nell'automazione industriale, e hanno portato alla luce otto vulnerabilità distinte. Prese singolarmente alcune sembrano di gravità contenuta, ma il punto interessante della ricerca è un altro: combinandole in una sequenza precisa, un attaccante che parte da un account a privilegi ridotti può arrivare al controllo completo del dispositivo, con privilegi di root.

Le otto vulnerabilità in sintesi

Le falle si dividono in due famiglie principali: controlli di accesso impropri e attraversamento di percorso (path traversal).

CVE	Tipo	CVSS	Effetto
CVE-2024-41969	Improper Access Control	7.1	Disabilita l'autenticazione CODESYS
CVE-2024-41971	Path Traversal	6.5	Cancellazione file arbitraria
CVE-2024-41973	Path Traversal	6.5	Copia file arbitraria
CVE-2024-41967	Improper Access Control	5.4	Accesso a dati diagnostici
CVE-2024-41968	Improper Access Control	5.4	Modifica impostazioni di sistema
CVE-2024-41974	Improper Access Control	5.4	Accesso a funzioni riservate
CVE-2024-41970	Improper Access Control	5.3	Lettura di informazioni sensibili
CVE-2024-41972	Path Traversal	4.9	Lettura file arbitraria

Come funziona la catena d'attacco

Il valore di questa ricerca sta nella concatenazione. Un utente autenticato ma a basso privilegio sfrutta prima CVE-2024-41969 per disattivare, tramite l'interfaccia web, l'autenticazione del client CODESYS, l'ambiente runtime che esegue la logica di controllo. Una volta caduta quella barriera, le vulnerabilità di path traversal (CVE-2024-41971 e CVE-2024-41973) permettono di scrivere file dannosi in posizioni arbitrarie del filesystem. Il risultato finale è l'esecuzione di codice arbitrario con privilegi root.

In altre parole, un accesso che sulla carta sembrava innocuo diventa la testa di ponte per il pieno compromesso del PLC.

Perché conta per un impianto reale

Un PLC compromesso non è solo un problema informatico. Significa poter:

• manipolare il processo industriale, alterando setpoint, logiche e attuatori;
• modificare le configurazioni di sistema in modo persistente;
• interrompere o danneggiare porzioni di infrastruttura critica;
• introdurre rischi per la sicurezza fisica del personale.

È esattamente il tipo di scenario che la crescente convergenza IT/OT rende più probabile: dispositivi un tempo isolati oggi sono raggiungibili da reti più ampie, e un account di servizio scarsamente protetto può bastare per innescare la catena.

Mitigazioni

WAGO ha rilasciato firmware aggiornato (versione 28 e successive) che risolve le falle. La prima azione è quindi aggiornare i dispositivi interessati. A questa vanno affiancate buone pratiche consolidate: autenticazione robusta, segmentazione di rete, riduzione al minimo dei privilegi e valutazioni di sicurezza periodiche.

Il punto di vista MON5

Applicare una patch su un PLC, però, non è banale come su un server: spesso richiede una finestra di fermo impianto che non è sempre disponibile. Per questo la visibilità diventa il presupposto di qualunque decisione. Senza un inventario accurato degli asset OT è impossibile sapere quanti 750-8216 siano in campo, con quale firmware e con quali esposizioni di rete.

MON5 affronta proprio questo nodo: mappa gli asset industriali in modo passivo, correla le vulnerabilità note con il contesto reale dell'impianto (modello, versione, posizione nella rete) per stabilire una priorità di intervento sensata, e monitora le anomalie di comportamento senza interferire con la produzione. Anche quando una patch non può essere applicata subito, riconoscere in tempo un tentativo di disabilitare l'autenticazione o una scrittura di file anomala su un controllore è ciò che trasforma un incidente potenziale in un alert gestibile.

Analisi e commento a cura di MON5 su ricerca e dati di pubblico dominio del settore OT/ICS.