即日起在codingBlog上分享您的技术经验即可获得积分,积分可兑换现金哦。

霍尼尔XL Web控制器被爆系列漏洞

微信 malwarebenchmark 9℃ 0评论

 

霍尼韦尔基于 web 的 SCADA 系统被爆存在一系列的远程攻击的漏洞

 

近期,国土安全部的工业控制系统网络紧急响应小组 (ICS CERT) 霍尼韦尔的 XL Web II 控制器发出漏洞告警。该系统常被用于关键基础设施部门,包括废水、 能源和制造业公司。

 

被爆具有漏洞的主要是霍尼韦尔 XL1000C500 XLWebExe-2-01-00 及前期版本、 XLWeb 500 XLWebExe-1-02-08及前期版本。该公司已经发布修补程序版本 3.04.05.05,来解决问题

 

这次曝光的总共五个漏洞,最可怕的一个是控制器的密码以明文形式存储。

 

此外,如果攻击者愿意,他们能访问特定的 URL。攻击者还可以进行路径遍历攻击通过访问特定的 URL,打开和更改某些参数或建立新的用户会话。

 

Maxim Rupp的研究人员具体描述了他们。http://rupp.it/SA-Honeywell_XL_WEB_II_Controller.html

 

ICS CERT报告中的漏洞及CVE编号:

 

PLAINTEXT STORAGE OF A PASSWORD,CVE-2017-5139b

INSUFFICENTLY PROTECTED CREDENTIALS,CVE-2017-5140e

SESSION FIXATION,CVE-2017-5141h

IMPROPER PRIVILEGE MANAGEMENT,CVE-2017-5142k

PATH TRAVERSAL,CVE-2017-5143n

 

https://ics-cert.us-cert.gov/advisories/ICSA-17-033-01 

转载请注明:CodingBlog » 霍尼尔XL Web控制器被爆系列漏洞

喜欢 (0)or分享 (0)
发表我的评论
取消评论

*

表情
(1)个小伙伴在吐槽
  1. 正符合国家要求的网络安全审查
    安全+,计算+2017-02-05 10:23 回复