CVE-2021-3351

El runtime web de OpenPLC almacena lo que sea que escribas en el campo Device Name de la página Add New Device y lo renderiza de vuelta sin neutralizarlo, de modo que una carga útil de script colocada allí persiste y se ejecuta en el navegador de cualquiera que la vea después. Es XSS almacenado, pero el contexto es lo que le da peso: esta es la interfaz web de administración de un runtime de controlador lógico programable, la capa de software que impulsa la lógica de procesos industriales.

Las precondiciones lo mantienen en medio en lugar de más alto. Un atacante necesita al menos una cuenta autenticada con privilegios bajos para agregar un dispositivo, y una víctima con acceso a la interfaz del runtime tiene que ver la entrada envenenada para que la carga útil se dispare. Así que la historia realista es un operador (o una cuenta de bajo nivel comprometida) plantando script que se ejecuta en la sesión de un operador con más privilegios: una forma de pivotar dentro del plano de administración OT, no una toma de control remota del propio PLC. En un contexto ICS, incluso el compromiso de la sesión del navegador de una interfaz de ingeniería es indeseable, pero el listón para alcanzarlo es real.

Nuestro enfoque aquí es el aislamiento de la exposición, porque las interfaces web OT nunca deberían ser accesibles de forma casual. Confirmaríamos que cualquier runtime de OpenPLC esté confinado a una red de control segmentada con acceso estricto, lo que reduce tanto quién puede inyectar como quién puede ser alcanzado. Dado el contexto ICS, tratamos el XSS almacenado como un problema de integridad del plano de administración a corregir en la vía de actualización del runtime, y lo clasificamos según cuán estrechamente esté amurallada la interfaz en lugar de por el 5.4 por sí solo.