工业互联网巨头 GE Digital 修复SCADA 软件中的两个高危漏洞

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

GE Digital 发布补丁和缓解措施，解决了影响 Proficy CIMPLICITY HMI/SCADA 软件的两个高危漏洞。该软件用于全球各地用于监控操作的工厂中。

这两个缺陷由工业网络安全公司 OTORIO 发现。该公司在上周发布简短的博客文章说明了这两个漏洞。GE公司和美国CISA 分别为每个漏洞发布了安全公告。

CVE-2022-23921

其中一个漏洞是CVE-2022-23921，可用于提权和执行远程代码。然而，成功利用该漏洞要求具有运行 Proficy CIMPLICITY 的设备的访问权限，而目标服务器不能运行项目且必须得到运行多个项目的许可证。GE 公司也发布更新解决该漏洞。

OTORIO 公司的研发副总裁 Matan Dobrushin 指出，“CVE-2022-23921可使对CIMPLICITY 服务器具有有限访问权限的攻击者通过在 CIMPLICITY 运行时项目内释放恶意文件的方式提升权限。”

CVE-2022-21798

第二个漏洞CVE-2022-21798 和以明文形式传输凭据有关。通过中间人攻击捕获凭据的攻击者可利用这些凭据认证HMI并获得对警报和系统其它部分有关的信息。GE公司指出，在某些情况下攻击者可能还能够修改系统中的值。

OTORIO 发布博客文章提醒称，“鉴于CIMPLICITY 在OT环境中发挥的中心作用，这两个漏洞对该运营服务器造成巨大的破坏性影响。我们可以假设如果且当攻击者在网络中站稳脚跟时，CIMPLITICY 将在攻击榜单前几位。”

GE 公司表示用户可启用加密痛心，阻止对 CVE-2022-21798的利用。实际上，OTORIO 公司注意到，如果该服务器具有安全配置，则这两个漏洞均可缓解。然而，该公司发现事实经常并非如此。

这并非OTORIO 公司首次检查 GE CIMPLICITY 的安全性。去年该公司发布开源加固工具，旨在帮助组织机构保护 GE CIMPLICITY 系统的安全性。GE 公司还建议客户使用该工具。

值得注意的是，工业组织机构并未忽视这些漏洞类型。CIMPLICITY 产品已成为国家黑客组织攻击的受害者。

推荐阅读

myPRO HMI/SCADA 产品被曝多个严重漏洞

SCADA 网络首次遭密币挖矿恶意软件感染

研华科技修复SCADA产品中的代码执行缺陷

“异常的”间谍软件窃取工业企业凭据

CODESYS 工业自动化软件存在多个严重缺陷

4个开源 TCP/IP 栈被曝33个漏洞，数百万智能和工业设备受影响

原文链接

https://www.securityweek.com/ge-scada-product-vulnerabilities-show-importance-secure-configurations

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

工业互联网巨头 GE Digital 修复SCADA 软件中的两个高危漏洞相关推荐

欧姆龙修复PLC编程软件中的多个高危漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士摘要日本电子巨头欧姆龙最近修复了 CX-Programmer 软件中的多个高危漏洞,它们可用于执行远程代码. 日本JPCERT/CC 本月初发 ...
谷歌再修复已遭利用的两个高危 Chrome 0day
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队今天,谷歌发布 Chrome 版本 86.0.4240.198,修复了两个已遭利用的 0day.不过这次并不像之前那样由谷歌内部团队发 ...
SolarWinds 平台修复两个高危漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 SolarWinds 平台修复了两个高危漏洞,它们可分别导致命令执行和权限提升后果. 其中较为严重的是CVE-2022-36963(CVSS评分 ...
flv 开源修复_如何修复开源软件中的错误
flv 开源修复我们都在同一个团队中,并且都朝着使我们的开源软件变得更好的相同目标努力. 您的小贡献会产生重大影响. 开源软件的支持方式与运行方式同样重要. 如果选择构建令人敬畏的新功能,还是仔细 ...
VMware多款产品中存在两个严重漏洞，美国国土安全部要求联邦机构5天内修复
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 VMware 提醒客户称需立即修复严重的认证绕过漏洞(CVE-2022-22972),它影响多款产品中的"本地域用户",可被 ...
思科不打算修复SMB路由器中严重的认证绕过漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士思科SMB路由器中存在两个严重的漏洞(CVE-2023-20025和CVE-2023-20026),可导致未认证攻击者完全控制目标设备,以roo ...
谷歌再次修复已遭利用的两枚高危0day (CVE-2020-16009/16010)
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队今天,谷歌为 Chrome Web 浏览器发布安全更新,修复了10个安全漏洞,其中包括两个目前已遭利用的高危0day:CVE-2020 ...
微软紧急修复 Windows codecs 库中的两个 RCE 漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队周二,微软发布两个带外安全更新,修复了 Windows Codecs Library中的两个漏洞CVE-2020-1425 和 CVE ...
谷歌浏览器32位安装包_谷歌浏览器发布紧急安全更新修复Blink内核中的任意代码执行漏洞...
上月底谷歌浏览器推送紧急安全更新对浏览器漏洞进行修复,当时谷歌浏览器博客并未公布漏洞的具体细节信息. 蓝点网当时也在文章中称通常这种不公布漏洞的更新,都是比较严重的问题因此只有等多数用户修复后才会公开 ...

工业互联网巨头 GE Digital 修复SCADA 软件中的两个高危漏洞

工业互联网巨头 GE Digital 修复SCADA 软件中的两个高危漏洞相关推荐

最新文章

热门文章