Claude được dùng để chuyển khai thác RCE sang PLC WAGO khác
"Researchers used Anthropic Claude to help port a pre-authentication RCE exploit from one WAGO PLC model to another, ultimately achieving code execution on live hardware by adapting the FTP command sequence and payload handling. The exploit targets CVE-2021-31886, a stack-based buffer overflow in Nucleus FTP server USER command processing with CVSS 9.8; no update is available for affected WAGO controllers, so mitigation relies on blocking FTP, segmentation, and traffic monitoring."
Tác động cao do RCE trước xác thực, có thể dẫn tới thực thi mã từ xa trên PLC và làm tăng rủi ro với hệ thống OT. Hiện không có bản vá cho một số thiết bị bị ảnh hưởng.
Có thể gây gián đoạn vận hành, ảnh hưởng thiết bị điều khiển công nghiệp và làm tăng chi phí ứng phó. Việc vô hiệu hóa FTP và phân đoạn mạng có thể cần thay đổi cấu hình hạ tầng.
Các nhà nghiên cứu của Forescout Vedere Labs cho biết họ đã dùng Anthropic Claude để chuyển một khai thác RCE trước xác thực từ một mẫu WAGO PLC sang mẫu khác và chạy thành công trên phần cứng thật. Lỗ hổng được nhắm tới là CVE-2021-31886, một lỗi tràn bộ đệm stack trong xử lý lệnh USER của Nucleus FTP server, với CVSS 9.8 và có thể bị khai thác qua TCP port 21 trước khi đăng nhập.
Trong quá trình thử nghiệm, nhóm nghiên cứu phải điều chỉnh chuỗi lệnh FTP và cách xử lý payload để tránh việc dữ liệu bị ghi đè trước khi shellcode thực thi. Họ cho biết phiên làm việc cuối cùng tiêu tốn $535.74 phí API trong 8 giờ 32 phút. Một thử nghiệm sau đó nhằm mở rộng thành C2 implant đã ghi vào vùng nhớ ánh xạ flash và làm hỏng thiết bị.
CERT@VDE cho biết hiện không có bản cập nhật cho các controller bị ảnh hưởng. Khuyến nghị hiện tại là chặn hoặc vô hiệu hóa FTP, áp dụng phân đoạn mạng, và giám sát lưu lượng để phát hiện bất thường. Các tổ chức đang vận hành PLC cần rà soát mức độ phơi nhiễm, đặc biệt với thiết bị WAGO dùng Nucleus V1 RTOS.