I ricercatori di sicurezza informatica hanno recentemente individuato oltre una dozzina di vulnerabilità di sicurezza che interessano il Tridium Niagara Framework. Queste falle potrebbero permettere a un malintenzionato, presente sulla stessa rete, di compromettere il sistema in specifiche condizioni. Secondo un rapporto di Nozomi Networks Labs, pubblicato la scorsa settimana, “queste vulnerabilità sono completamente sfruttabili se un sistema Niagara è configurato in modo errato, disabilitando così la crittografia su un dispositivo di rete specifico”. Se combinate, queste vulnerabilità potrebbero consentire a un attaccante con accesso alla stessa rete, ad esempio tramite una posizione Man-in-the-Middle (MiTM), di compromettere il sistema Niagara.
Il Niagara Framework, sviluppato da Tridium, una divisione indipendente di Honeywell, è una piattaforma neutrale rispetto ai fornitori, utilizzata per gestire e controllare una vasta gamma di dispositivi di diversi produttori. Questi includono sistemi HVAC, illuminazione, gestione dell’energia e sicurezza, rendendola una soluzione preziosa per la gestione degli edifici, l’automazione industriale e le infrastrutture intelligenti. La piattaforma si compone di due componenti principali: la Stazione, che comunica e controlla i dispositivi e i sistemi connessi, e la Piattaforma, che è l’ambiente software sottostante che fornisce i servizi necessari per creare, gestire ed eseguire le Stazioni.
Le vulnerabilità identificate da Nozomi Networks possono essere sfruttate se un sistema Niagara viene configurato in modo errato, disattivando la crittografia su un dispositivo di rete. Questo apre la porta a movimenti laterali e interruzioni operative più ampie, che possono influire sulla sicurezza, sulla produttività e sulla continuità del servizio. Tra i problemi più gravi troviamo:
- CVE-2025-3936 (punteggio CVSS: 9.8) – Assegnazione di autorizzazione errata per una risorsa critica.
- CVE-23-3937 (punteggio CVSS: 9.8) – Utilizzo di password hash con insufficiente sforzo computazionale.
Fonte: The Hackers News