搜索

[3464] 2017-01-17_CarloGavazzi能源监控产品存在高危漏洞国内用户请尽快升级

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-16
2017-01-17_CarloGavazzi能源监控产品存在高危漏洞国内用户请尽快升级 C a r l o   G a v a z z i 能 源 监 控 产 品 存 在 高 危 漏 洞   国 内 用 户 请 尽 快 升 级 原 创   E 安 全   E 安 全   2 0 1 7 - 0 1 - 1 7 E 安 全 1 月 1 7 日 讯   瑞 士 知 名 工 业 与 建 筑 自 动 化 解 决 方 案 提 供 商 佳 乐 商 贸 （ C a r l o   G a v a z z i ） 发 布 某 些 能 源 监 控 产 品 的 固 件 升 级 ， 以 修 补 可 能 使 设 备 面 临 远 程 网 络 攻 击 的 严 重 漏 洞 。 安 全 研 究 人 员 K a r n   G a n e s h e n 发 现 C a r l o   G a v a z z i 的 V M U - C   E M 和 V M U - C   P V 产 品 运 行 的 固 件 版 本 （ A 1 1 _ U 0 5 和 A 1 7 之 前 的 版 本 ） 至 少 存 在 3 个 “ 超 危 ” 和 “ 高 危 ” 。 V M U - C 产 品 旨 在 记 录 、 监 控 并 传 输 电 能 表 、 功 率 分 析 仪 和 其 它 V M U 模 块 的 信 号 ， 以 此 帮 助 组 织 机 构 管 理 能 源 效 率 。 该 设 备 包 含 W e b 服 务 器 ， 可 以 用 来 建 立 系 统 并 监 控 数 据 。 美 国 工 控 系 统 网 络 应 急 响 应 小 组 （ I C S - C E R T ） 上 周 发 布 的 一 份 报 告 显 示 ， 该 产 品 存 在 一 个 漏 洞 _ 允 许 访 问 应 用 程 序 的 大 多 数 功 能 ， 而 不 需 要 验 证 （ C V E - 2 0 1 7 - 5 1 4 4 ） ； 此 外 ， 还 存 在 跨 站 请 求 伪 造 （ C S R F ） 漏 洞 ， 可 以 被 利 用 修 改 配 置 参 数 （ C V E - 2 0 1 7 - 5 1 4 ） 。 G a n e s h e n 还 发 现 该 产 品 明 文 储 存 某 些 敏 感 信 息 （ C V E - 2 0 1 7 - 5 1 4 6 ） 。 G a n e s h e n 表 示 ， I C S - C E R T 的 这 份 报 告 可 能 会 更 新 ， 因 为 它 包 含 一 些 不 准 确 的 信 息 。 具 体 而 言 ， G a n e s h e n 还 没 有 测 试 固 件 升 级 ， 其 漏 洞 可 以 被 远 程 利 用 。 他 表 示 ， 得 知 产 品 存 在 漏 洞 后 ， C a r l o   G a v a z z i 花 了 5 个 多 月 的 时 间 发 布 V M U - C 产 品 的 补 丁 。 他 对 C a r l o   G a v a z z i 的 处 理 方 式 予 以 称 赞 。
G a n e s h e n 计 划 在 他 的 博 客 上 披 露 其 它 细 节 。 他 表 示 ， 如 果 可 以 在 局 域 网 或 互 联 网 上 访 问 该 设 备 的 管 理 员 界 面 ， 这 些 漏 洞 可 以 被 远 程 利 用 。 G a n e s h e n 解 释 道 ， “ 如 果 存 在 漏 洞 的 固 件 版 本 部 署 在 配 电 设 备 的 任 何 地 方 ， 并 且 能 在 互 联 网 上 访 问 设 备 ， 这 样 一 来 ， 就 能 通 过 发 送 请 求 的 方 式 访 问 储 存 在 该 设 备 上 的 相 关 能 源 数 据 库 。 ” 除 了 C a r l o   G a v a z z i ， G a n e s h e n 在 几 个 月 前 发 现 一 系 列 漏 洞 影 响 施 耐 德 电 气 （ S c h n e i d e r   E l e c t r i c ） 和 F E N I K S   P R O 的 电 能 表 。 关 于 关 于 C A R L O   G A V A Z Z I C A R L O   G A V A Z Z I 自 动 化 是 一 家 集 设 计 、 制 造 和 工 业 电 子 设 备 营 销 于 一 体 , 面 向 全 球 工 业 自 动 化 、 楼 宇 自 动 化 及 能 源 市 场 的 跨 国 电 子 集 团 。 C A R L O   G A V A Z Z I 公 司 创 办 于 1 9 3 1 年 ， 总 部 设 在 欧 洲 ， 于 1 9 8 4 年 在 瑞 士 成 功 上 市 ， 全 球 共 有 2 1 家 全 资 销 售 子 公 司 ， 并 在 6 5 个 多 国 家 和 地 区 成 立 销 售 及 服 务 团 队 。 公 司 经 过 长 达 八 十 年 的 成 功 运 作 ， 在 其 工 业 领 域 积 累 了 丰 富 的 经 验 ， 并 拥 有 严 格 的 品 质 管 理 体 制 ， 取 得 了 C E 、 U L 、 C S A 、 D S 、 R O H S 等 独 立 认 证 ， 其 研 发 和 生 产 的 产 品 完 全 符 合 最 新 国 际 标 准 ， 生 产 设 施 及 运 作 流 程 不 但 符 合 I S O 9 0 0 1 ： 2 0 0 8 质 量 管 理 体 系 认 证 要 求 ， 也 达 到 了   I S O 1 4 0 0 1 :   2 0 0 4   环 境 管 理 体 系 标 准 。 目 前 C A R L O   G A V A Z Z I 在 意 大 利 、 丹 麦 、 马 耳 他 、 立 陶 宛 、 中 国 等 地 设 有 研 发 中 心 和 生 产 基 地 ， 佳 乐 商 贸 （ 中 国 ） 有 限 公 司 为 C A R L O   G A V A Z Z I 设 立 在 中 国 境 内 的 全 资 销 售 子 公 司 ， 公 司 秉 承 一 贯 积 极 认 真 的 态 度 ， 为 客 户 提 供 最 前 沿 、 最 优 、 最 全 的 电 气 产 品 及 解 决 方 案 。 C a r l o   G a v a z z i 漏 洞 信 息 漏 洞 信 息 注 意 :   远 程 漏 洞 利 用 / 低 技 能 水 平 利 用 厂 商 :   C a r l o   G a v a z z i 设 备 :   V M U - C   E M 、 V M U - C   P V 漏 洞 :   访 问 控 制 漏 洞 、 C S R F 、 明 文 储 存 敏 感 信 息 受 影 响 的 产 品 C a r l o   G a v a z z i 报 告 漏 洞 影 响 的 版 本 如 下 ： •   A 1 1 _ U 0 5 之 前 的 V M U - C   E M 固 件 版 本 ； •   A 1 7 之 前 的 V M U - C   P V 固 件 版 本 。 影 响 影 响 攻 击 者 成 功 利 用 这 些 漏 洞 可 以 更 改 配 置 参 数 ， 并 保 存 修 改 的 配 置 。 升 级 升 级 C a r l o   G a v a z z i   建 议 升 级 到 以 下 固 件 版 本 ： •   V M U C   E M   升 级 到 V M U - C   E M   A 1 1 _ U 0 5 ； •   V M U C   P V   升 级 到 V M U - C   P V   A 1 7 。
相 关 固 件 版 本 可 通 过 V M U - C 中 嵌 入 的 固 件 升 级 功 能 获 取 ， 或 从 C a r l o   G a v a z z i 网 站 下 载 。 链 接 如 下 ： h t t p : / / w w w . g a v a z z i - a u t o m a t i o n . c o m / n s c / H Q / E N / e n e r g y _ e f f i c i e n c y _ m o n i t o r i n g 步 骤 如 下 ： 步 骤 如 下 ： •   点 击 “ 选 择 产 品 ” （ S e l e c t   t h e   P r o d u c t ） 。 •   在 “ 功 能 ” （ F U N C T I O N ） 一 列 中 选 择 “ W e b 服 务 器 ” （ W e b - S e r v e r ） 。 •   出 现 包 含 V M U - C   E M 和 V M U - C   P V 的 列 表 ； 从 列 表 中 选 择 V M U - C 模 块 。 •   点 击 右 侧 “ 下 载 ” （ D o w n l o a d s ） 中 的 “ 软 件 ” （ S o f t w a r e ） 图 标 ， 开 始 下 载 升 级 固 件 包 。 E 安 全 建 议 用 户 采 取 防 御 措 施 ， 最 大 限 度 降 低 这 些 漏 洞 被 利 用 的 风 险 ， 用 户 应 该 ： •   将 所 有 控 制 系 统 设 备 和 / 或 系 统 的 网 络 曝 光 率 降 到 最 低 ， 并 确 保 无 法 通 过 互 联 网 访 问 。 •   在 防 火 墙 后 找 到 控 制 系 统 网 络 和 远 程 设 备 ， 并 使 其 与 企 业 网 络 隔 离 。 •   当 需 要 远 程 访 问 时 ， 使 用 安 全 方 法 访 问 ， 例 如 V P N ， 但 应 认 识 到 V P N 可 能 存 在 漏 洞 ， 应 升 级 到 最 新 版 本 。 此 外 ， 还 应 认 识 到 V P N 的 安 全 性 与 联 网 设 备 一 样 。 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理