流行框架缺陷导致ICS设备易受攻击

由于德国3S-Smart软件解决方案公司的一款广泛使用的软件中出现严重漏洞，成千上万台工业物联网 (IIoT)和工业控制系统 (ICS) 产品可能遭受攻击。

这些缺陷影响用于开发和工程控制器应用程序的CODESYS自动化软件，尤其是CODESYS WebVisu可视化软件的网络服务器组件。这个问题已被3S-Smart公司修复但专家认为所有易受攻击设备应用补丁还需一段时间。

这些安全漏洞是由工业网络安全初创公司CyberX发现的，它影响CODESYS网络服务器2.3以及之前版本，而它们已通过补丁版本1.1.9.18修复。其中一个漏洞CVE-2017-6027能导致攻击者通过发送一条特别编制请求的方式将任意文件上传到CODESYS网络服务器中。利用这个漏洞会导致任意代码执行。第二个漏洞CVE-2017-6025是一个堆栈溢出漏洞，存在原因是发送给处理XML的函数的字符串大小在复制到内存前未被正确检查。攻击者能够利用这个弱点导致应用程序崩溃或者执行任意代码。

CyberX指出了几个可能的利用场景。例如，攻击者能够通过搜索引擎如Shodan来识别出直接联网的易受攻击设备，随后远程利用漏洞。另外一个攻击场景是攻击者通过USB传播利用这些漏洞的恶意软件。远程攻击者还能攻陷目标组织机构的IT网络并移向OT网络从而访问易受攻击的设备。

研究人员指出，攻击者能够利用这些漏洞安装后门从而执行工业监控、部署勒索软件并干扰生产过程或者引发毁灭性安全问题和环境损失。

CODESYS软件用于数百个PLC以及世界其他企业中。供应商指出每年出售的使用CODESYS软件的设备超过100万台，而且截止2016年年中，公司设备目录中超过一半的产品使用了这个易受攻击的组件。

CyberX指出CODESYS快速发布补丁且CyberX已做过测试和验证。然而，第三方组件中存在的漏洞可能会引发大量问题，因为终端用户应用补丁还需要很多时间。CyberX指出，每个设备制造商必须首先在自己的代码中应用这个CODESYS补丁，随后重新编译固件，然后将固件更新发送给终端用户。CODESYS补丁不能由终端用户组织机构安装。多数设备要求固件必须“刷新”，这个进程比起电话或电脑上标准的软件更新进程来说更耗时间也更复杂。

这并非首个影响第三方组件的漏洞导致来自多个厂商的设备暴露到攻击中。2015年，研究人员披露了出现在很多制造和技术企业都在使用的CodeWrights库中的一个严重漏洞。

本文由测腾代码卫士编译，不代表测腾观点，转载请注明“转自测腾代码卫士www.codesafe.cn”。