CISA提醒修复RAD SecFlow-2 工业交换机中的路径遍历漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

本周二，美国网络安全局 CISA 发布ICS 安全公告通知组织机构称，以色列网络设备制造商 RAD Data Communications 生产的老旧工业交换机中存在一个高危漏洞。

CISA 表示最近发现了针对 RAD 公司旨在为艰苦工业环境设计的 SecFlow-2 交换机/路由器中一个路径遍历漏洞的公开 PoC 利用。该漏洞是CVE-20199-6268，在2024年3月有人在 Packet Storm 网站上发布了该漏洞的技术详情和 PoC，而在此之前该漏洞的信息并未公开。

这篇文章提到，“RAD SecFlow-2 设备，即硬件为0202、固件为4.1.01.63以及 U-Boto 2010.12的设备，可导致以 /..为开始的URI 进行目录遍历，如 reading/etc/shadow 中所示。”CISA还提到，“未认证攻击者可创建构造请求，从操作系统（密码哈希）中获取任意文件。”

与这些被暴露密码相关的漏洞可对ICS和其它OT系统造成严重风险。CISA 在找到 PoC 后将该漏洞告知RAD，不过由于 SecFlow-2 产品已达生命周期，厂商建议客户将设备升级至更新的 SecFlow-1p 工业IoT 网关。另外，CISA还提供了一些降低恶意利用的通用建议。

CISA 表示受影响产品用于全球通信行业。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

CISA开展首次AI网络事件响应演习

CISA：速修复已遭利用的 Linux 内核缺陷

CISA紧急通告：NextGen Healthcare Mirth Connect正遭攻击

CISA提醒修复严重的Chrome 和 D-Link漏洞

CISA提出的安全设计承诺无实际约束力吗？

原文链接

https://www.securityweek.com/cisa-informs-organizations-of-vulnerability-in-rad-secflow-2-industrial-switch/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~