Amerikanske myndigheter advarer nå om et nytt alvorlig hull i programvare som styrer kritisk infrastruktur verden over.
Bakgrunnen er en stack-overflytsfeil som mer avdekket i de Windows-baserte industristyringssystemene Genesis 32 og BizViz fra selskapet Iconics.
Dette er såkalte SCADA-systemer («supervisory control and data acquisition») som er mye brukt innen olje- og gass, kraftverk, systemer for vann- og avløp, men også i en hel rekke andre sektorer.
Produktet gir sanntids alarmhåndtering, skjermstyring og grafisk historikk.
Utbredelsen av de berørte installasjonene fordeler seg med rundt halvparten i henholdsvis Europa og USA, mens Asia er mindre berørt, ifølge Iconics. Etter det digi.no erfarer er samme løsning i bruk også på norsk sokkel og blant norske kraftselskaper.
USAs departement for innenlands sikkerhet (Department of Homeland Security) opplyser at sårbarheten ligger i en Active X-komponent i biblioteket GenVersion.dll, som er del av begge de nevnte produktene.
Det varsles at hullet kan benyttes for å ta kontroll over en datamaskin ved å lure operatøren til å besøke nettsider med ondsinnet kode.
- Angrepskode er allerede i sirkulasjon, heter det i advarselen (pdf).
Iconics har besvart trusselen ved å utgi en feilretting. Sårbarheten skal etter planen lukes vekk i en kommende versjon 9.22 av programmene. Denne skal utgis i juni.
Det norske IT-sikkerhetsorganet NorCert og Nasjonal sikkerhetsmyndighet opplyser til digi.no at de foreløpig vet veldig lite om saken, utover omtale i pressen. De har heller ingen oversikt over omfanget av disse systemene i Norge.
Bevissthet rundt konsekvensene av hull i SCADA-systemer ble for alvor vekket i fjor sommer, da dataormen Stuxnet ble oppdaget. Ormen var spesielt utformet for å ramme Irans produksjonsanlegg for anriking av uran, og kan ifølge eksperter ha satt programmet flere år tilbake.