myPRO HMI/SCADA 产品被曝多个严重漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

研究人员在捷克工业自动化公司 mySCADA 中找到12个漏洞，其中一些漏洞的严重等级为“严重”。

美国网络安全和基础设施安全局 (CISA) 分别在8月份和12月21日发布两份安全公告向企业通知相关信息。发现这些漏洞的研究员 Michael Heinzl 也发布安全公告进行说明。

myPRO 是一款人机界面和监控和数据采集 (SCADA) 系统，旨在可视化并控制工业进程。该产品适用于 Windows、macOS 和 Linux 系统，包括服务器、个人电脑甚至是嵌入式设备。

CISA 指出，受影响产品应用于全球能源、视频和农业、水和交通系统行业。从该厂商网站上提供的信息来看，多数客户位于欧洲。

Heinzl 发现的第一批漏洞在7月份发布的版本8.20.0中修复，第二批漏洞在11月份发布的新版本 8.22.0中修复。在这两个案例中，厂商均表示发布的是安全更新，这种说法值得注意，因为某些工控产生会将安全补丁埋藏到更大规模的更新中，导致客户未意识到潜在风险。

版本8.20.0修复了四个高危漏洞，在未验证情况下，它们可被用于获取敏感信息或远程上传任意文件。版本8.22.0修复了八个漏洞，其中七个是“严重“级别。在这七个漏洞中，一个可被用于绕过验证，一个与后门账户有关，余下漏洞可遭远程未认证攻击者用于实施OS命令注入。

Heinzl 表示，攻击者以提升后的权限在系统启动时执行受影响应用程序，且在默认情况下受影响应用程序可监听所有网络接口上的TCP端口80/443。远程未认证攻击者可利用这些缺陷完全控制该产品以及底层系统。

研究人员注意到，在某些系统和基础设施配置下，攻击者很可能直接从互联网利用这些漏洞。

今年，Heinzl 已在多款工业产品中找到多个安全漏洞，如Delta Electronics和 Fuji Electric等。

---

推荐阅读

很多工控产品都在用的 CODESYS 软件中被曝10个严重漏洞

黑客利用 VPN 漏洞远程入侵工控系统

通过条形码扫描器攻击工控系统

MITRE 发布工控系统的 ATT&CK 框架

三年蜜罐实验：黑客想从物联网设备中得到什么？

原文链接

https://www.securityweek.com/several-critical-vulnerabilities-found-mypro-hmiscada-product

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~