多品牌工业控制器存在拒绝服务（DoS）漏洞

恶魔般旳霸道

4月28日讯  请关注有享云商http://dedaodj888.cn
工业网络安全公司 Applied Risk
的研究人员正在进行一项针对工业控制系统安全控制器的一项研究，他们分析了西门子、ABB、罗克韦尔、Allen
Bradley、皮尔兹（Pilz）和菲尼克斯（Phoenix
Contact）等几个大型厂商的安全控制器之后发现，这些控制器中可能存在严重的拒绝服务（DoS）漏洞CVE-2017-9312。攻击者如何利用这个漏洞？在新加坡举办的2018工控系统网络安全大会上，研究人员表示工业安全控制器中存在严重的漏洞，大量受影响的设备直接暴露在互联网上，这些问题很容易让恶意攻击者发动攻击并造成损害。Applied Risk 公司的资深工控系统安全研究人员约科·克尔斯蒂奇表示，远程攻击者可利用漏洞CVE-2017-9312让安全控制器重启并进入故障模式，必须手动干预恢复设备。恶意攻击者可能会利用该漏洞发送发送以空操作（NOP）选项开始的
TCP 数据包，致使进入控制器拒绝服务状态。要利用该漏洞，攻击者需依赖 EtherNet/IP
工业网络协议。出于某种原因，安全控制器无法处理不正确的 TCP
选项包导致设备无法运作，即出现安全控制器故障，进入拒绝服务状态。鉴于安全控制器在工业环境中的重要作用，致使设备进入拒绝服务状态可能会造成严重的后果，包括设备的物理损坏，甚至造成人身伤害。克尔斯蒂奇表示，除此之外，发动此类攻击没有其它要求。多厂商工业控制器或受该漏洞影响研究人员已经在罗克韦尔 Allen Bradley 1769 Compact GuardLogix 5370控制器上进行了测试，确认受到漏洞CVE-2017-9312影响。由于底层问题与
Ethernet/IP 有关，研究人员认为其它厂商的产品可能也会受该漏洞影响。目前已识别出十几个直接暴露在互联网上的 Allen Bradley
1769 Compact GuardLogix
5370 控制器，但暴露的安全控制器数量远远不止这个数。 据 Shodan 搜索结果显示，暴露的西门子 Simatic
S7 设备约900个，包括安全控制器。预计2018年5月发布补丁Applied Risk 已经通知了所有受影响的厂商，预计将在2018年5月发布补丁。安全系统的设计目的是将过程恢复到安全状态或在参数表明可能存在潜在危险时将其关闭，从而防止工业环境中发生事故。虽然这些设备在确保人身安全方面发挥者至关重要的作用，但它们也可能被黑客盯上，例如遭遇 Triton/Trisis/Hatman 攻击。Triton 攻击利用的是施耐德电气 Triconex
安全仪表控制系统（SIS）控制器中的0Day漏洞。Triton 攻击事件表明，向控制器写入恶意程序前提条件设备的按键开关设置为“程序”（Program）模式。正是因为如此，Applied Risk一直在研究远程绕过按键开关的方式，虽然目前尚未取得成功，但专家对目前为止的研究进展持乐观态度。注：本文系独家编译报道，转载请联系授权，并保留出处与链接，不得删减内容。联系方式：① 微信号zhu-geliang ②邮箱eapp@easyaq@，最专业的前沿网络安全媒体和产业服务平台，每日提供优质全球网络安全资讯与深度思考，欢迎关注微信公众号「」（EAQapp），或登门户网站easyaq , 查看更多精彩内容。