Delta Electronics DOPSoft 2 Out-of-Bounds Write

Falha de escrita fora dos limites (CWE-787) no DOPSoft 2, software de engenharia da Delta Electronics usado para programar IHMs da linha DOP. Um arquivo de projeto malicioso, ao ser aberto pela ferramenta, corrompe memória e pode levar a execução de código no contexto do processo do DOPSoft. Importa menos pelo CVSS 7.8 e mais pelo fato de estar no catálogo KEV da CISA como ação obrigatória: o produto é EOL, não vai receber patch, e a única resposta aceita é desconectar/substituir.

O DOPSoft 2 faz parsing de arquivos de projeto (o formato proprietário usado para configurar as IHMs DOP) sem validar corretamente o tamanho ou o conteúdo de campos controlados pelo usuário. O resultado são 'multiple out-of-bounds write instances' — a Delta e a CISA não detalham qual estrutura específica é sobrescrita nem em qual rotina de parsing, apenas que há mais de um ponto de escrita fora dos limites do buffer alocado.

Essa CVE é uma de três falhas irmãs reportadas no mesmo advisory (ICSA-21-252-02), todas descobertas por pesquisador identificado como 'kimiya' via Trend Micro Zero Day Initiative, todas com o mesmo vetor CVSS e o mesmo mecanismo geral (parsing de arquivo de projeto sem validação): CVE-2021-38402 é um stack-based buffer overflow (CWE-121) especificamente no tratamento de strings de fonte; CVE-2021-38404 é um heap-based buffer overflow (CWE-122); CVE-2021-38406, o objeto desta página, é classificada de forma mais genérica como out-of-bounds write, sem indicação pública de stack ou heap.

O atacante controla o conteúdo do arquivo de projeto — presumivelmente campos internos da estrutura binária/proprietária do formato — mas nem o fornecedor nem a CISA publicaram o layout do arquivo, o offset vulnerável ou o campo exato. Não há PoC público documentado nas fontes disponíveis.

O vetor é local (AV:L) e exige interação do usuário (UI:R): o ataque só ocorre quando alguém abre, dentro do DOPSoft 2, um arquivo de projeto malicioso fornecido pelo atacante. Não há execução remota — a própria CISA declara explicitamente que 'estas vulnerabilidades não são exploráveis remotamente'. Não é necessária autenticação prévia no sistema além do acesso normal de quem já opera a estação de engenharia.

Na prática isso é um ataque de engenharia social contra o engenheiro ou integrador que programa a IHM: enviar o arquivo por e-mail, hospedá-lo em repositório compartilhado, ou entregá-lo via pendrive/mídia removível — vetores típicos em ambientes de integração de sistemas industriais, onde arquivos de projeto circulam entre fornecedores, integradores e plantas. Se a exploração funcionar, o atacante ganha execução de código no contexto do processo do DOPSoft, ou seja, com os privilégios do usuário que abriu o arquivo na estação de engenharia — não diretamente no controlador ou na rede OT.

Há uma divergência relevante entre as fontes: o texto do próprio advisory ICSA-21-252-02 (Update A) afirma 'No known public exploits specifically target these vulnerabilities'. Mesmo assim, a CISA incluiu a CVE no catálogo KEV em 25/08/2022, com prazo de mitigação em 15/09/2022. O campo 'Known To Be Used in Ransomware Campaigns' está marcado como 'Unknown'. Isso sugere que a inclusão no KEV para este item pode refletir critério de risco/EOL de produto ICS mais do que evidência documentada de exploração ativa massiva — trate a etiqueta 'exploração confirmada' com essa ressalva.

Não existe correção: a Delta Electronics declara o DOPSoft 2 como produto em fim de vida (EOL) e não vai emitir patch para esta falha. A recomendação oficial do fornecedor é migrar as IHMs para a família DOP-100 e substituir o software de programação pelo DIAScreen, dentro do DIAStudio versão 1.1.2 ou posterior (acesso mediante login no site do fornecedor).

Como controle compensatório, sem atualização disponível, restam apenas medidas de higiene operacional: usar exclusivamente arquivos de projeto de origem confiável e verificada, não abrir anexos ou links não solicitados relacionados a arquivos de projeto, e isolar a estação de engenharia onde o DOPSoft roda de canais de recebimento de arquivos não controlados (e-mail, mídia removível não verificada). Isso reduz a superfície mas não elimina o risco, já que qualquer arquivo de projeto legítimo mal verificado ainda pode ser vetor.

A ação registrada pela própria CISA no catálogo KEV para esta CVE é direta: 'o produto impactado está em fim de vida e deve ser desconectado se ainda estiver em uso'. Não há flag de configuração, WAF ou mitigação de rede que resolva isso, porque o ataque ocorre no parser de arquivo local — filtragem de rede é irrelevante já que a exploração não é remota.

Não há assinatura pública ou indicador de comprometimento divulgado para esta falha especificamente. Como a exploração depende de abrir um arquivo de projeto malformado dentro do DOPSoft, sinais possíveis incluem falhas/crashes inesperados do processo DOPSoft.exe ao abrir arquivos de projeto vindos de fontes externas, e alterações fora do padrão em arquivos de projeto recebidos por e-mail ou mídia removível — mas nenhuma dessas heurísticas é confirmada pelo fornecedor ou pela CISA como detecção confiável. Na ausência de patch e de PoC público documentado, a defesa prática é controle de origem do arquivo, não detecção baseada em assinatura.