CVE-2021-3351

O runtime web do OpenPLC armazena o que quer que você digite no campo Device Name da página Add New Device e o renderiza de volta sem neutralizá-lo, de modo que um payload de script ali colocado persiste e executa no navegador de qualquer um que o visualize depois. É um XSS armazenado, mas é o contexto que lhe dá peso — trata-se da interface web de gerenciamento de um runtime de controlador lógico programável, a camada de software que comanda a lógica de processos industriais.

As pré-condições a mantêm em média, e não em algo maior. Um atacante precisa de ao menos uma conta autenticada de baixo privilégio para adicionar um dispositivo, e uma vítima com acesso à interface do runtime tem de visualizar a entrada envenenada para que o payload dispare. Assim, a história realista é um operador (ou uma conta de nível baixo comprometida) plantando script que roda na sessão de um operador de maior privilégio — uma forma de pivotar dentro do plano de gerenciamento de OT, não uma tomada remota do próprio PLC. Em um contexto de ICS, mesmo o comprometimento da sessão de navegador de uma interface de engenharia é indesejável, mas a barreira para chegar até lá é real.

Nossa abordagem aqui é o isolamento de exposição, porque interfaces web de OT nunca deveriam ser acessíveis casualmente. Confirmaríamos que qualquer runtime OpenPLC está confinado a uma rede de controle segmentada com acesso restrito, o que reduz tanto quem pode injetar quanto quem pode ser atingido. Dado o cenário de ICS, tratamos o XSS armazenado como um problema de integridade do plano de gerenciamento a ser corrigido pelo caminho de atualização do runtime, e o classificamos pelo quão bem isolada está a interface, e não apenas pelo 5.4.