横河电机修复多个工控产品漏洞，可用于破坏和操纵物理进程

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

日本自动化巨头横河电机 (Yokogawa) 最新修复了位于控制系统产品中的多个漏洞，它们可被用于破坏或操纵物理进程。

工业网络安全公司 Dragos 的研究人员在横河电机的 CENTUM VP 分布式控制系统 (DCS) 和适用于 CENTUM 系统的 Exaopc OPC 服务器中共发现10个漏洞。

1月和2月，横河电机分享了相关漏洞信息；3月末，美国网络安全和基础设施安全局 (CISA) 发布了相关安全公告。这些漏洞和硬编码凭据、路径遍历、命令注入、DLL 劫持、访问权限不当和不受控制的资源耗尽有关。其中一些漏洞被评为“高危”级别，可被用于访问数据、控制警报、覆写或删除文件、执行任意命令、导致服务器崩溃并提升权限。

某些漏洞的利用要求具有目标系统的本地访问权限，其它漏洞利用可通过向人机界面站（HIS 或 HMI）的CAMS发送特殊构造的数据包遭利用。

Dragos 公司威胁运营中心的漏洞专家 Sam Hanson 表示，“很可能攻击者需要访问局域网才能成功实施利用。然而，如果HIS是面向互联网的，则也可通过互联网进行利用。”

Hanson 表示，Dragos 并没有在野利用证据。然而，在现实公鸡中，攻击者可利用这些漏洞控制HIS或通过触发DoS 条件使其不可用。他指出，“攻击者可利用这些问题影响控制和视图丢失。根据配置的不同，攻击者可操纵物理进程控制。”

横河电机已为受影响产品发布补丁和缓解措施。然而，CENTUM CS 3000产品已到达支持期限，将不会收到安全更新，建议用户更新至 CENTUM VP。横河电机在安全公告中还提供了其它信息。

Hanson 解释称，“CENTUM VP 过去曾是安全研究员的目标。HIS 操作涉及很多文件系统交互，因此很多地方存在很多bug（如目录遍历）。虽然安全性已得到巨大提升，但在横河电机能够找到大规模缓解措施（通过文件系统权限、沙箱或使用常见DLL访问文件等）之前，这种问题还会出现。”

Dragos 公司在2月份发布报告指出，2021年共有1703个ICS/OT漏洞获得CVE编号，是上一年的两倍还多。在该公司分析的缺陷中，超过三分之二的缺陷影响位于工业网络深处的系统。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

横河控制器被曝硬编码凭证可遭远程控制

横河电机修复广泛传播的SCADA漏洞

工控2月补丁星期二：西门子、施耐德电气修复近50个漏洞

工控补丁星期二：西门子、施耐德电气修复40个漏洞

很多工控产品都在用的 CODESYS 软件中被曝10个严重漏洞

原文链接

https://www.securityweek.com/yokogawa-patches-flaws-allowing-disruption-manipulation-physical-processes

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

横河电机修复多个工控产品漏洞，可用于破坏和操纵物理进程相关推荐

横河电机与ICQ Consultants签署生物制药业务合作协议
-携手在美国提供生物反应器系统和相关产品方面的支持- 东京和马萨诸塞州绍斯伯勒--(美国商业资讯)--横河电机株式会社(Yokogawa Electric Corporation) (TOKYO:68 ...
横河电机调查发现，三分之二的流程工业公司预计到2030年将实现完全自治化运营
-新冠肺炎疫情将促进对工业自治化的投资– 东京--(美国商业资讯)--横河电机株式会社(Yokogawa Electric Corporation, 东京证券交易所: 6841)今天公布了关于工业自治 ...
横河电机收购电网和可再生能源高速控制软件开发商 PXiSE
–解决方案实现了优化的能源分配.电网弹性以及更高的资产回报– 东京--(美国商业资讯)--横河电机株式会社(Yokogawa Electric Corporation, TOKYO:6841)宣布已收 ...
横河电机与Power Factors宣布可再生能源资产性能管理平台的经销协议
该平台与横河电机的产品组合相集成,可实现太阳能.风能和储能项目的"传感器到企业"解决方案东京和旧金山--(美国商业资讯)--横河电机株式会社(Yokogawa Electric ...
横河电机赢得土库曼斯坦燃气电厂控制系统和现场仪表的订单
东京--(美国商业资讯)--横河电机株式会社(Yokogawa Electric Corporation, TOKYO:6841)宣布,其子公司Yokogawa Turkey Industrial A ...
横河电机赢得秘鲁Provisur海水淡化项目的控制系统订单
–确保南美洲稳定的水源供应并兼顾环境保护– 东京--(美国商业资讯)--横河电机株式会社(Yokogawa Electric Corporation, TOKYO:6841)宣布,其子公司横河南美洲( ...
横河电机战略入股芬兰公司Sensire Ltd.以寻求在冷链监控领域的合作
东京--(美国商业资讯)--横河电机株式会社(Yokogawa Electric Corporation, TOKYO:6841)和总部位于芬兰的Sensire 公司宣布,双方已达成协议,由横河电机投 ...
横河电机推出OpreXTM利润驱动式运营解决方案，实现工厂绩效管理一体化
- 其专有指标方法可帮助整个组织与高层目标保持一致 - 东京--(美国商业资讯)-横河电机株式会社(TOKYO:6841)宣布推出面向流程行业的OpreXTM利润驱动式运营(Profit-driven ...
AlgaEnergy与横河电机签署战略伙伴关系和股权协议，以加速微藻生物技术的发展
东京--(美国商业资讯)--专业从事微藻生产和商业应用的西班牙生物技术公司AlgaEnergy和工业自动化.控制与测量技术的供应商横河电机公司(Yokogawa Electric Corporatio ...

横河电机修复多个工控产品漏洞，可用于破坏和操纵物理进程

横河电机修复多个工控产品漏洞，可用于破坏和操纵物理进程相关推荐

最新文章

热门文章