在施耐德官網(wǎng)12月安全報(bào)告中，再次公開致謝頂象洞見安全實(shí)驗(yàn)室發(fā)現(xiàn)并協(xié)助成功修復(fù)2個(gè)高危漏洞。這兩個(gè)漏洞涉及施耐德Modicon M340 Web服務(wù)器以及Modicon Premium、Modicon Quantum等系列PLC。受影響企業(yè)可至施耐德官網(wǎng)下載最新補(bǔ)丁。

　　編號(hào)為CVE-2020-7539的漏洞，CVSS3.0評(píng)分7.5分，屬于高危漏洞?；谠撀┒?，攻擊者可以遠(yuǎn)程發(fā)送攻擊數(shù)據(jù)包到HTTP服務(wù)，直接導(dǎo)致施耐德PLC設(shè)備的控制器系統(tǒng)癱瘓，進(jìn)入不可自動(dòng)恢復(fù)的崩潰狀態(tài)。

　　編號(hào)為CVE-2020-7540漏洞，CVSS3.0評(píng)分為8.2分，同樣屬于高危漏洞?；谠撀┒?，攻擊者能發(fā)送特殊HTTP，可對(duì)施耐德PLC設(shè)備下達(dá)未經(jīng)驗(yàn)證的命令請(qǐng)求。

　　半年獲得3次施耐德公開致謝

　　這是頂象2020年第三次獲得施耐德致謝。

　　第一次致謝是2020年6月9日。施耐德電氣官網(wǎng)發(fā)布的安全公告中，致謝頂象洞見安全實(shí)驗(yàn)室發(fā)現(xiàn)并協(xié)助成功修復(fù)Unity Loader和OS Loader全版本軟件的硬編碼漏洞(CVE-2020-7498)。

　　該漏洞影響莫迪康M580、M340、Momentum、Quantum和Premium 等型號(hào)PLC，CVSS 3.0評(píng)分為10，定級(jí)為“嚴(yán)重”?；谠撀┒?，攻擊者可向受影響的PLC設(shè)備內(nèi)植入勒索軟件等惡意軟件;或者直接對(duì)PLC下達(dá)重啟指令，造成設(shè)備不能正常工作;甚至直接攻擊設(shè)備固件，造成設(shè)備報(bào)廢。

　　第二次致謝是2020年10月。施耐德電氣官網(wǎng)發(fā)布的安全報(bào)告中，再次致謝頂象洞見安全實(shí)驗(yàn)室發(fā)現(xiàn)并協(xié)助成功修復(fù)2個(gè)漏洞。

　　這兩個(gè)漏洞分別是身份管理漏洞(編號(hào)CVE-2020-7533)和拒絕服務(wù)漏洞(編號(hào)CVE-2018-7857)，涉及施耐德電氣旗下的多款型號(hào)工業(yè)PLC(可編程邏輯控制器)，包括 M340、Quantum、Premium等系列PLC設(shè)備及部分型號(hào)的通信模塊。

　　身份管理漏洞被CVSS 3.0 評(píng)為10分?；谠撀┒?，攻擊者可以遠(yuǎn)程獲得設(shè)備和系統(tǒng)的管理員權(quán)限，不僅能夠任意添加刪除修改用戶權(quán)限，更可以直接對(duì)PLC設(shè)備進(jìn)行各種操控，甚至直接關(guān)停受影響的工控設(shè)備。

　　拒絕服務(wù)漏洞被CVSS 3.0 評(píng)為7.5分 ?；谠撀┒?，攻擊者可以遠(yuǎn)程發(fā)送匿名指令，遙控工控設(shè)備進(jìn)入“不可恢復(fù)”的故障狀態(tài)，甚至導(dǎo)致設(shè)備宕機(jī)癱瘓。

　　入選國家信息安全漏洞庫技術(shù)支撐單位

　　頂象及時(shí)發(fā)現(xiàn)并幫助施耐德修復(fù)漏洞，不僅提高了施耐德產(chǎn)品的安全性，更降低被攻擊的風(fēng)險(xiǎn)，充分體現(xiàn)了頂象安全研究團(tuán)隊(duì)的技術(shù)實(shí)力。

　　12月14日，CNNVD(國家信息安全漏洞庫)發(fā)布“2020年度CNNVD新增技術(shù)支撐單位(第二批)”名單。在新增的8家單位CNNVD技術(shù)支撐單位中，頂象是唯一一家一級(jí)技術(shù)支撐單位。

　　就在本月初，頂象以連續(xù)數(shù)月占據(jù)CICSVD成員單位和非成員單位貢獻(xiàn)排行榜榜首，入選CICSVD(工業(yè)信息安全漏洞庫)技術(shù)支撐單位。

　　頂象洞見安全實(shí)驗(yàn)室提供立體的風(fēng)險(xiǎn)感知和威脅預(yù)警服務(wù)，長期專注于物聯(lián)網(wǎng)與工控安全攻防技術(shù)研究，致力于挑戰(zhàn)安全技術(shù)的極限和邊界，擁有業(yè)績(jī)創(chuàng)紀(jì)錄的漏洞挖掘能力。其自主研發(fā)的自動(dòng)化漏洞挖掘系統(tǒng)，能夠通過對(duì)二進(jìn)制文件的反編譯，實(shí)現(xiàn)對(duì)反編譯代碼執(zhí)行符號(hào)執(zhí)行與污染跟蹤分析，結(jié)合自主AI的人工智能技術(shù)，精準(zhǔn)發(fā)現(xiàn)并快速定位系統(tǒng)中存在的包括內(nèi)存越界、溢出等各種類型安全漏洞，幫助企業(yè)先于攻擊者發(fā)現(xiàn)自身系統(tǒng)風(fēng)險(xiǎn)，提高產(chǎn)品安全防護(hù)能力。

特別提醒：本網(wǎng)內(nèi)容轉(zhuǎn)載自其他媒體，目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點(diǎn)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對(duì)本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時(shí)性本站不作任何保證或承諾，并請(qǐng)自行核實(shí)相關(guān)內(nèi)容。本站不承擔(dān)此類作品侵權(quán)行為的直接責(zé)任及連帶責(zé)任。如若本網(wǎng)有任何內(nèi)容侵犯您的權(quán)益，請(qǐng)及時(shí)聯(lián)系我們，本站將會(huì)在24小時(shí)內(nèi)處理完畢。