Команда AppSec Research компании Positive Technologies выявила критическую уязвимость в open-source платформе FUXA, предназначенной для создания SCADA и HMI-систем. Ошибка типа CWE-862 позволяла пользователям с гостевым токеном обходить авторизацию и получать доступ к административному интерфейсу Node-RED.
Злоумышленники могли изменять сценарии автоматизации, работать с файлами и выполнять команды в ОС с правами процесса FUXA. Это создавало угрозу для промышленных объектов, использующих протоколы Modbus, MQTT, Siemens S7 и другие. Платформа FUXA насчитывает более 100 000 скачиваний и 5 000 звезд на GitHub.
Для поиска и анализа проблемы специалисты применили собственный ИИ-инструмент, находящийся на стадии тестирования. Система самостоятельно построила модель угроз, подтвердила возможность эксплуатации и подготовила исправление, выполнив полный цикл работы AppSec-аналитика.
Разработчики FUXA устранили уязвимость в версии 1.3.3, ограничив доступ к Node-RED для гостевых токенов. Пользователям рекомендуется обновить ПО или ограничить доступ к компоненту через обратный прокси-сервер до момента установки патча.
