GE UR系列多個安全漏洞
發布時間 2021-03-240x00 漏洞概述
2021年03月16日，CISA發布安全公告，公開了GE（通用電氣公司）UR系列（電源管理設備，主要用于控制和保護各種設備的功耗）中的多個安全漏洞。成功利用這些漏洞的攻擊者能夠訪問敏感信息、重啟UR、提升權限或導致拒絕服務。
0x01 漏洞詳情
本次公開的UR設備中的漏洞如下：
CVE-ID | CVSS評分 | 類型 | 詳情 |
CVE-2016-2183 CVE-2013-2566 | 7.5 | 加密強度不足 | 在UR固件版本8.1x之前，UR SSH通信使用弱加密和MAC算法。 |
CVE-1999-1085 | 5.3 | 會話固定 | 在7.4x固件版本之前，UR僅支持SSHv2。從固件版本7.4x開始，UR支持具有已知漏洞的SSHv1（SSH協議會話密鑰檢索和插入攻擊）。 |
CVE-2021-27422 | 7.5 | 信息泄露 | UR over HTTP協議支持Web服務器接口，它能夠導致未經身份驗證泄露敏感信息。 |
CVE-2021-27418 | 5.3 | 輸入驗證不正確 | UR支持具有只讀訪問權限的Web界面。由于設備無法正確驗證輸入，從而可能導致XSS攻擊，該攻擊可用于發送惡意腳本。另外，UR固件Web服務器不對用戶提供的字符串執行HTML編碼。 |
CVE-2021-27420 | 5.3 | 輸入驗證不正確 | UR Firmware Web服務器任務沒有正確處理接收不支持的HTTP verbs，導致Web服務器在接收到一系列不支持的HTTP請求后暫時不響應。當無響應時，Web服務器是不可訪問的。 |
CVE-2021-27428 | 7.5 | 文件上傳 | UR IED支持使用UR Setup配置工具--Enervista UR Setup升級固件。該UR Setup工具在上傳UR IED之前驗證固件文件的真實性和完整性。攻擊者可以在沒有適當權限的情況下升級固件。（固件8.10版本中應用緩解措施。） |
CVE-2021-27426 | 9.8 | 不安全的默認變量初始化 | 具有“Basic”安全性變體的UR IED不允許禁用“Factory Mode”，該模式用于為“Factory”用戶維修IED。 |
CVE-2021-27424 | 5.3 | 信息泄露 | 作為通信指南的一部分，UR共享MODBUS內存映射。GE收到 “Last-key pressed”的MODBUS寄存器可以被用來獲取未經授權的信息。 |
CVE-2021-27430 | 8.4 | 硬編碼憑證 | UR bootloader二進制版本7.00、7.01和7.02包含未使用的硬編碼憑證。此外，能夠物理訪問UR IED的用戶可以通過重新啟動UR來中斷啟動序列。 |
影響范圍
GE UR系列（B30、B90、C30、C60、C70、C95、D30、D60、F35、F60、G30、G60、L30、L60、L90、M60、N60、T35、T60）：
SSH相關的漏洞：固件版本7.4x-08.0x（CyberSentry選項）
Web服務器漏洞：8.1x之前的所有固件版本
固件上傳：具有基本安全性選項的8.1x之前的所有固件版本
禁用出廠模式：具有基本安全性選項的8.1x之前的所有固件版本
訪問“Last-key pressed”的寄存器：具有基本安全性選項的8.1x之前的所有固件版本
UR Bootloader二進制文件：7.03/7.04之前的所有Bootloader版本
0x02 處置建議
目前這些漏洞已經修復，建議將UR設備更新為UR固件版本8.10或更高版本。更多信息請參考CISA官方通告。
相關鏈接：
https://www.gegridsolutions.com/Passport/Login.aspx
0x03 參考鏈接
https://us-cert.cisa.gov/ics/advisories/icsa-21-075-02
https://securityaffairs.co/wordpress/115881/security/cisa-ge-power-management-devices-flaws.html?
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-27426
0x04 時間線
2021-03-16 CISA發布安全公告
2021-03-24 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號