Schneider | 多個安全漏洞通告
發布時間 2020-05-080x00 漏洞概述
0x01 漏洞詳情
施耐德電氣公司是全球能效管理領域的領導者，為100多個國家的能源及基礎設施、工業、數據中心及網絡、樓宇和住宅市場提供整體解決方案。Schneider Electric Modicon M580等都是該公司的產品。
最近，研究人員又從施耐德電氣軟件中發現了一個漏洞（CVE-2020-7489），它類似于臭名昭著的“震網”病毒(Stuxnet)惡意軟件曾利用的漏洞。
十多年前，美國和以色列被指利用“震網”病毒損害伊朗的核計劃，目標是西門子的 SIMATIC S7-300和S7-400可編程邏輯控制器(PLCs)。這款惡意軟件通過替換將與西門子 STEP7控制器編程軟件相關聯的一個DLL文件，將惡意代碼加載到目標PLCs上。
2020年3月份，Airbus網絡安全公司報道稱從施耐德電氣的EcoStruxure ControlExpert工程軟件（此前名為 Unity Pro）中發現了一個類似漏洞 CVE-2020-7475，它可通過替換與該工程軟件相關聯的其中一個DLL文件，將惡意代碼上傳到Modicon M340 和M580 PLCs中，從而造成進程破壞和其它損害。CVE-2020-7475是多款Schneider Electric產品中存在的注入漏洞。攻擊者可利用該漏洞向控制器中發送惡意代碼。CVSS評分9.8。
2020年5月7日，網絡安全公司Trustwave的研究人員表示，他們也從施耐德軟件 EcoStruxure MachineExpert（此前名為SoMachine）中發現了一個類似漏洞，該漏洞為 CVE-2020-7489，攻擊者可利用該漏洞將惡意代碼傳輸到控制器。CVSS評分9.8。
0x02 處置建議
目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：
https://www.se.com/ww/en/download/document/SEVD-2020-080-01/
https://www.se.com/ww/en/download/document/SEVD-2020-105-01/
0x03 相關新聞
https://www.securityweek.com/another-stuxnet-style-vulnerability-found-schneider-electric-software
0x04 參考鏈接
http://www.se.com/ww/en/download/document/SEVD-2020-080-01
https://www.se.com/ww/en/download/document/SEVD-2020-105-01
0x05 時間線
2020-05-08 VSRC發布漏洞通告
京公網安備11010802024551號