Immagine illustrativa generata con AI
Rockwell Automation, falla DoS nei controller ControlLogix e CompactLogix
CVE-2021-42260 causa DoS sui controller Rockwell ControlLogix e CompactLogix con fault MNRF. Versioni vulnerabili e update firmware necessari.
Testo generato da intelligenza artificiale, pubblicato senza revisione umana. Trasparenza IA
Una vulnerabilità sfruttabile da remoto può mandare in fault diversi controller industriali Rockwell Automation, interrompendone il normale funzionamento. Il problema, identificato come CVE-2021-42260, interessa specifiche versioni delle famiglie ControlLogix, GuardLogix e CompactLogix.
CISA ha pubblicato l’avviso il 1° settembre 2026, riproponendo l’advisory del produttore. La vulnerabilità ha severità alta e può essere attivata senza autenticazione o interazione dell’utente, attraverso dati corrotti e appositamente costruiti.
L’impatto riguarda soprattutto la disponibilità: un attacco riuscito può causare un Major Non-Recoverable Fault, abbreviato in MNRF. Il ripristino non è immediato e cambia a seconda che il dispositivo svolga o meno funzioni di sicurezza.
Cinque linee di controller coinvolte
Rockwell Automation classifica come vulnerabili cinque famiglie di controller. Le soglie di aggiornamento sono uguali per tutti i modelli, ma devono essere interpretate in base al ramo firmware installato.
| Prodotto | Versioni vulnerabili |
|---|---|
| ControlLogix 5580 | precedenti a 34.015, 35.014, 36.013 e 37.011 |
| GuardLogix 5580 | precedenti a 34.015, 35.014, 36.013 e 37.011 |
| CompactLogix 5380 | precedenti a 34.015, 35.014, 36.013 e 37.011 |
| Compact GuardLogix 5380 | precedenti a 34.015, 35.014, 36.013 e 37.011 |
| CompactLogix 5480 | precedenti a 34.015, 35.014, 36.013 e 37.011 |
In termini operativi, chi utilizza il ramo 34 deve installare almeno la release 34.015. Per i rami successivi, le prime versioni oltre la soglia vulnerabile sono rispettivamente 35.014, 36.013 e 37.011.
Tutti i prodotti elencati risultano classificati come known_affected, quindi l’esposizione non è soltanto ipotizzata sulla base di componenti condivisi. Gli amministratori OT devono verificare modello, ruolo del controller e versione firmware effettivamente in esecuzione.
I dispositivi sono impiegati nel settore della produzione critica e risultano distribuiti a livello mondiale. Rockwell Automation ha sede negli Stati Uniti, ma l’impatto potenziale non è limitato agli impianti nordamericani.
Un ciclo infinito porta il dispositivo al fault
CVE-2021-42260 è associata alla debolezza CWE-835, denominata “Loop with Unreachable Exit Condition”. Il software entra, in sostanza, in un ciclo dal quale non riesce più a uscire perché la condizione necessaria non può essere raggiunta.
La condizione anomala viene provocata fornendo al controller dati corrotti e preparati intenzionalmente. Non sono stati resi noti ulteriori dettagli sul formato dei dati, sul protocollo coinvolto o sulla sequenza precisa necessaria per attivare il difetto.
L’esito può essere un Major Non-Recoverable Fault, cioè un errore grave dal quale il controller non torna autonomamente alla normale operatività. In un ambiente industriale, la conseguenza può tradursi nell’indisponibilità della funzione controllata e nella necessità di un intervento tecnico.
Il processo di recupero dipende dal dispositivo:
- per i controller safety è necessario effettuare nuovamente il download del programma;
- per i controller non safety occorre eseguire un reset di stage 2.
Questa distinzione è rilevante per la pianificazione della risposta. Sui sistemi dedicati alla sicurezza funzionale, il ripristino deve rispettare le procedure interne di validazione e rimessa in servizio, senza trattare il fault come un semplice riavvio.
Attacco remoto, senza credenziali e a bassa complessità
La valutazione CVSS 3.1 assegna alla vulnerabilità un punteggio di 7.5 su 10, con severità HIGH:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Il vettore descrive uno scenario sfruttabile attraverso la rete, con bassa complessità e senza privilegi preventivi. Non è richiesta alcuna azione da parte di un operatore.
L’impatto è concentrato sulla disponibilità. Le metriche relative a riservatezza e integrità sono nulle: l’avviso non descrive il furto di informazioni, la modifica dei programmi industriali o l’alterazione dei dati di processo. Il rischio documentato è il blocco del controller.
Con CVSS 4.0, il punteggio sale a 8.7, sempre con severità alta:
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Anche questa valutazione conferma l’assenza di autenticazione, interazione dell’utente e requisiti aggiuntivi per l’attacco. Non significa, tuttavia, che ogni controller sia raggiungibile dall’esterno: l’effettiva esposizione dipende dall’architettura di rete, dai firewall e dalla segmentazione dell’impianto.
Nessuno sfruttamento pubblico noto e nessuna scadenza KEV
La vulnerabilità è stata segnalata a CISA da Rockwell Automation. Alla pubblicazione dell’avviso non risultavano segnalazioni di sfruttamento pubblico noto rivolto specificamente a CVE-2021-42260.
Non sono stati inoltre forniti indicatori di compromissione specifici, come indirizzi IP, firme di traffico o sequenze di log da ricercare. I team di sicurezza possono comunque monitorare fault MNRF inattesi, traffico anomalo verso i controller e tentativi di comunicazione provenienti da segmenti non autorizzati.
L’avviso non indica l’inserimento della vulnerabilità nel catalogo Known Exploited Vulnerabilities di CISA. Di conseguenza, non è riportata alcuna scadenza KEV per la correzione. La pubblicazione da parte dell’agenzia statunitense non deve quindi essere confusa con una conferma di sfruttamento attivo.
La cronologia riporta come rilascio iniziale il 1° settembre 2026. La revisione 1, contrassegnata dalla stessa data, consiste nella ripubblicazione dell’advisory Rockwell Automation.
Aggiornamento e segmentazione sono le difese principali
La misura prioritaria è installare le release corrette fornite dal produttore, portando ogni controller almeno alla soglia prevista per il proprio ramo firmware. Prima dell’intervento occorre però valutarne l’impatto sul processo industriale, sulle finestre di manutenzione e sulla sicurezza funzionale.
In particolare, le organizzazioni dovrebbero:
- censire i modelli ControlLogix e CompactLogix presenti nelle reti OT;
- verificare il ramo e la versione firmware di ciascun dispositivo;
- programmare l’aggiornamento alle release corrette;
- predisporre backup e procedure di recupero del programma;
- verificare il corretto funzionamento dopo l’installazione.
Dove l’aggiornamento non possa essere applicato immediatamente, CISA raccomanda di ridurre l’esposizione. I controller non devono essere direttamente accessibili da Internet e le reti OT devono essere separate dalle reti aziendali mediante firewall e segmentazione.
L’accesso remoto, quando indispensabile, dovrebbe passare attraverso VPN aggiornate e adeguatamente protette. Una VPN non compensa però un endpoint compromesso: vanno controllati anche i dispositivi autorizzati a collegarsi all’ambiente industriale.
È inoltre opportuno limitare le comunicazioni ai soli sistemi e protocolli necessari, applicando un modello di defense in depth. CISA richiama anche il documento tecnico ICS-TIP-12-146-01B per il rilevamento e la mitigazione delle intrusioni contro sistemi di controllo.
Le raccomandazioni contro phishing e social engineering restano misure complementari: evitare collegamenti e allegati non richiesti riduce la possibilità che un aggressore conquisti una postazione dalla quale raggiungere successivamente la rete OT. Eventuali attività sospette devono essere gestite secondo le procedure interne e segnalate a CISA per consentirne la correlazione con altri eventi.
Fonti
Questo articolo è una rielaborazione originale basata sulle fonti seguenti.