工業(yè)收集平安企業(yè)CyberX公司的喬治·萊申科向西門子公司供給了一份平安申報,稱西門子公司的多個產(chǎn)物線遭到高危平安破綻影響,這項破綻編號為CVE-2017-12741,長途進擊者將可應(yīng)用該破綻使相干體系進入謝絕辦事(簡稱DoS)狀況。
多款西門子工業(yè)產(chǎn)物中曝出嚴重平安缺點
根西門子公司稱,這份受影響產(chǎn)物清單中包含面向小型主動化運用的SIMATIC S7-200智能微型PLC產(chǎn)物、部門SIMATIC S7 CPU、SIMATIC WinAC RTX軟件掌握器、SIMATIC ET 200 PROFINET接口模塊、SIMATIC PN/PN耦合器、SIMATIC Compact現(xiàn)場單位、PROFINET IO開辟套件、SIMOTION活動掌握體系、SINAMICS轉(zhuǎn)換器、SINUMERIK CNC主動化處理計劃、SIMOCODE機電治理體系和SIRIUS 3RW機電軟啟動器等等。
進擊者可以經(jīng)由過程應(yīng)用簡略收集治理協(xié)定(簡稱SNMP)的UDP端口161發(fā)送特制數(shù)據(jù)包,從而招致目的體系產(chǎn)生毛病。為了從DoS狀況下恢復(fù)正常,治理者必需以手動方法重啟相干裝備。
西門子公司在其宣布的減緩方法征詢看法中提到,進擊者必需具有收集拜訪權(quán)能力應(yīng)用此項破綻,是以建議企業(yè)僅在可托情況中操作這些裝備。
但是,CyberX公司在媒體采訪中表現(xiàn),今朝約有2000臺此類西門子裝備可經(jīng)由過程互聯(lián)網(wǎng)停止拜訪——個中包含約400臺采取開放SNMP端口的西門子裝備,這意味著其極可能給相當企業(yè)帶來嚴重風險。CyberX公司強調(diào)稱,“關(guān)于DoS平安破綻,我們不該失落以輕心。2016年12月,烏克蘭電網(wǎng)遭受的攻擊運動中即包括此種破綻類型,其招致繼電器掉效,而運營商方面很難將其恢復(fù)?!?br />
CyberX公司同時指出,西門子方面臨相干破綻申報異常敏感,且今朝曾經(jīng)宣布了固件更新以修復(fù)SIMATIC S7、EK-ERTEC、SIMOTION和SINAMICS街道口中的部門平安缺點。
在其它受影響產(chǎn)物周全獲得修復(fù)之前,西門子公司建議客戶禁用SNMP——這將完全阻斷此項破綻、掩護指向端口161的收集拜訪中、運用縱深進攻與單位掩護概念,同時合營應(yīng)用VPN機制。
文章起源:E平安
多款西門子工業(yè)產(chǎn)物中曝出嚴重平安缺點
根西門子公司稱,這份受影響產(chǎn)物清單中包含面向小型主動化運用的SIMATIC S7-200智能微型PLC產(chǎn)物、部門SIMATIC S7 CPU、SIMATIC WinAC RTX軟件掌握器、SIMATIC ET 200 PROFINET接口模塊、SIMATIC PN/PN耦合器、SIMATIC Compact現(xiàn)場單位、PROFINET IO開辟套件、SIMOTION活動掌握體系、SINAMICS轉(zhuǎn)換器、SINUMERIK CNC主動化處理計劃、SIMOCODE機電治理體系和SIRIUS 3RW機電軟啟動器等等。
進擊者可以經(jīng)由過程應(yīng)用簡略收集治理協(xié)定(簡稱SNMP)的UDP端口161發(fā)送特制數(shù)據(jù)包,從而招致目的體系產(chǎn)生毛病。為了從DoS狀況下恢復(fù)正常,治理者必需以手動方法重啟相干裝備。
西門子公司在其宣布的減緩方法征詢看法中提到,進擊者必需具有收集拜訪權(quán)能力應(yīng)用此項破綻,是以建議企業(yè)僅在可托情況中操作這些裝備。
但是,CyberX公司在媒體采訪中表現(xiàn),今朝約有2000臺此類西門子裝備可經(jīng)由過程互聯(lián)網(wǎng)停止拜訪——個中包含約400臺采取開放SNMP端口的西門子裝備,這意味著其極可能給相當企業(yè)帶來嚴重風險。CyberX公司強調(diào)稱,“關(guān)于DoS平安破綻,我們不該失落以輕心。2016年12月,烏克蘭電網(wǎng)遭受的攻擊運動中即包括此種破綻類型,其招致繼電器掉效,而運營商方面很難將其恢復(fù)?!?br />
CyberX公司同時指出,西門子方面臨相干破綻申報異常敏感,且今朝曾經(jīng)宣布了固件更新以修復(fù)SIMATIC S7、EK-ERTEC、SIMOTION和SINAMICS街道口中的部門平安缺點。
在其它受影響產(chǎn)物周全獲得修復(fù)之前,西門子公司建議客戶禁用SNMP——這將完全阻斷此項破綻、掩護指向端口161的收集拜訪中、運用縱深進攻與單位掩護概念,同時合營應(yīng)用VPN機制。
文章起源:E平安