首頁 > 安全研究 > 安全通報 > 安全通告

Emerson OpenEnterprise SCADA | 多個安全漏洞通告

發布時間 2020-05-29

0x00 漏洞概述


產品

CVE ID

類 型

漏洞等級

遠程利用

影響范圍

Emerson OpenEnterprise SCADA

CVE-2020-6970

BO

嚴重

是

Emerson OpenEnterprise SCADA Server 3.1-3.3.3,2.83版本

CVE-2020-10640

MA

嚴重

是

Emerson OpenEnterprise SCADA <= 3.3.4

CVE-2020-10632

IOM

高危

否

CVE-2020-10636

IES

中危

否


0x01 漏洞詳情



Emerson Electric OpenEnterprise是美國艾默生電氣（Emerson Electric）公司的一套主要用于遠程石油和天然氣應用的數據采集與監控系統（SCADA）。

近日，卡巴斯基的研究人員Roman Lozko發現了Emerson OpenEnterprise中的四個安全漏洞，這四個漏洞分別為基于堆的緩沖區溢出、缺少身份驗證、所有權管理不當和弱加密問題，具體信息如下：

CVE-2020-6970是Emerson Electric OpenEnterprise SCADA Server中存在的緩沖區溢出漏洞，CVE-2020-10640是Emerson Electric OpenEnterprise中存在的安全漏洞。以上兩個漏洞都被評級為“嚴重”，可以使攻擊者在運行OpenEnterprise的設備上以提升的特權遠程執行任意代碼。

CVE-2020-10632是Emerson Electric OpenEnterprise中存在的安全漏洞，該漏洞源于程序為文件夾設置了不安全的權限。攻擊者可利用該漏洞修改重要的配置文件，造成系統故障或異常。

CVE-2020-10636是Emerson Electric OpenEnterprise中存在的加密問題漏洞。攻擊者可利用該漏洞獲取OpenEnterprise用戶帳戶的密碼。


0x02 處置建議


目前廠商已發布升級補丁以修復漏洞，詳情請關注廠商主頁：

https://www.emerson.com/


0x03 相關新聞


https://www.securityweek.com/vulnerabilities-found-emerson-scada-product-made-oil-and-gas-industry


0x04 參考鏈接


https://www.us-cert.gov/ics/advisories/icsa-20-049-02

https://www.us-cert.gov/ics/advisories/icsa-20-140-02


0x05 時間線


2020-05-29 VSRC發布漏洞通告


上一篇 下一篇