Universal Robots schreibt die Entdeckung und die verantwortungsvolle Offenlegung der Lücke Vera Mens von Claroty Team82 zu. Der Hersteller verweist zudem auf die Koordination über die US-Behörde CISA und die VINCE-Plattform des CERT/CC. CISA hat einen eigenen Sicherheitshinweis zu der Schwachstelle veröffentlicht.
Für eine Ausnutzung aus der Ferne muss laut Universal Robots der Dashboard Server in der Benutzeroberfläche aktiviert und sein Port für den Angreifer erreichbar sein. Die Roboter des Herstellers seien so ausgelegt, dass sie nicht direkt aus dem Internet erreichbar sind; üblicherweise verhinderten Firewalls einen direkten eingehenden Internetzugriff auf OT-Systeme.
Dennoch könne eine Ausnutzung Vertraulichkeit, Integrität und Verfügbarkeit des PolyScope-5-Systems erheblich beeinträchtigen, erklärt Morey Haber, Chief Security Advisor bei BeyondTrust. Angreifer könnten ohne gültige Zugangsdaten administrative Kontrolle über den Robotercontroller erlangen und unentdeckt agieren, auch über längere Zeiträume hinweg. Der Controller sei effektiv ein Linux-basierter Computer, der direkt mit operativer Technik und physischen Maschinen verbunden ist.
Die Folgen reichen nach Habers Einschätzung über die Steuerungssysteme hinaus: In vielen Umgebungen kommunizieren diese Robotersysteme mit speicherprogrammierbaren Steuerungen (PLCs), Manufacturing-Execution-System-Plattformen (MES), ERP-Anwendungen und Fernwartungsinfrastruktur. Das mache die Controller laut den Spezifikationen des Herstellers zu stark vernetzten OT-Komponenten statt zu isolierten Maschinen.
Als mögliche Auswirkungen nennt Haber Produktionsstillstände, Sabotage von Fertigungsabläufen, den Einsatz von Ransomware, die Zerstörung von Betriebs- und Konfigurationsdaten sowie die Manipulation von Präzision und Kalibrierung der Roboter. Weil Industrieroboter die digitale und die physische Welt verbinden, habe die Lücke auch Auswirkungen auf die Sicherheit von Menschen: Wenn Angreifer das Verhalten eines Roboters manipulierten, Schutzfunktionen abschalteten, programmierte Bewegungen veränderten oder die Sicherheitslogik unterbrächen, reichten die Folgen über die Cybersicherheit hinaus. Ein kompromittierter Cobot arbeite möglicherweise nicht mehr vorhersehbar in der Nähe von Beschäftigten, an Fertigungslinien oder im Umgang mit gefährlichen Stoffen.
Bislang ist keine Ausnutzung bekannt. Universal Robots empfiehlt allen Kunden dringend, so bald wie möglich auf Version 5.25.1 oder neuer zu aktualisieren, womit die Schwachstelle auf allen betroffenen Systemen behoben wird.
Ist ein Update nicht sofort möglich, verweist der Hersteller auf Schutzmaßnahmen im Einklang mit den CISA-Vorgaben für Steuerungsgeräte: die Netzwerkanbindung des Roboters minimieren, ihn hinter Firewalls platzieren und von Geschäftsnetzen isolieren. Zudem sollten Administratoren den Dashboard Server in PolyScope vollständig deaktivieren, wenn keine Anwendung ihn benötigt, und den Zugriff im Betriebssystem auf bestimmte vertrauenswürdige Hosts oder Subnetze beschränken. Haber rät grundsätzlich zu einer strikten Segmentierung zwischen IT- und OT-Umgebungen und betont, dass Fernwartungsschnittstellen die Steuerungsebene einer Umgebung bilden und in Industrieumgebungen regelmäßig zu wertvollen Angriffszielen werden.