流行的ICS平台中的严重漏洞可能会引发RCE(DoS)攻击，并且还可能威胁到关键基础设施的安全。根据本周发布的一篇博文，思科Talos的研究人员在开源自动化软件(OAS)平台上共发现了八个漏洞，其中两个是关键漏洞，其中最严重的漏洞可能允许攻击者在该平台上执行任意代码。机器。这些漏洞影响自动化软件OAS平台版本16.00.0112。由一家名为OAS的公司提供，OAS是一种工具，可以更轻松地在专有设备和应用程序（包括软件和硬件）之间传输数据。根据OAS网站，其核心功能是提供所谓的通用数据连接器，允许数据移动和转换，也可用于机器学习、数据挖掘、报告和数据可视化等关键业务目的。OAS平台已广泛应用于一系列需要通信的不同设备和软件系统中，这就是为什么它经常出现在ICS中，也可用于连接工业和物联网设备、SCADA系统和定制软件中和硬件，例如应用程序和API。使用该平台的公司包括英特尔、MackTrucks、美国海军、JBTAeroTech和米其林。存在风险的关键基础设施一位安全专家指出，由于这些系统中使用了大量的OAS平台，这也解释了为什么这些漏洞会非常危险，因为这些设备通常负责公用事业和制造业等高度敏感关键设备的操作。安全公司CerberusSentinel的安全专家在给媒体的一封电子邮件中写道，任何能够利用这些设备功能的攻击者都可能对关键基础设施造成灾难性破坏。他说，ICS攻击中特别危险的是，它们可能不会立即显现出来，这可能使它们难以被发现，并可能在运营商不知情的情况下对业务造成重大损害。Clements以十多年前出现的现在著名的Stuxnet蠕虫为例，说明如果未引起注意，ICS威胁的破坏力有多大。Stuxnet是研究这些风险的一个很好的案例，因为它没有立即摧毁它所针对的工业控制设备，而是改变了它们的功能，导致关键工业组件最终发生灾难性故障，他说。同时向监控系统谎称这里一切正常。漏洞详情在CiscoTalos发现的OAS漏洞中，CVSS评分最高(9.4)的漏洞为CVE-2022-26833或TALOS-2022-1513。研究人员表示，这是OAS的RESTAPI中的一个不正确的身份验证漏洞，可能允许攻击者发送一系列HTTP请求并获得对API的未经身份验证的使用。然而，研究人员认为最严重的漏洞在CVSS上获得了9.1评级，并被跟踪为CVE-2022-26082或TALOS-2022-1493。CVE-2022-26082是OAS引擎SecureTransferFiles函数中的文件写入漏洞，可能允许攻击者通过一系列特制的网络请求在目标机器上执行任意代码。CiscoTalos发现的其他漏洞也获得了高严重性评级。可能导致DoS的漏洞被追踪为CVE-2022-26026或TALOS-2022-1491，在平台的OAS引擎的SecureConfigValues函数中被发现。它可能允许攻击者创建可能导致通信问题的特制网络请求。另外两个漏洞CVE-2022-27169或TALOS-2022-1494和CVE-2022-26067或TALOS-2022-1492可能允许攻击者在Any位置发送特定网络请求以获取目录列表。研究人员表示，另一个信息泄露漏洞，被追踪为CVE-2022-26077或TALOS-2022-1490，将以同样的方式工作。他们说，当然，该漏洞还为攻击者提供了可用于未来攻击的平台用户名和密码列表。另外两个漏洞可能允许攻击者进行外部配置更改，包括在平台上创建任意新安全组和新用户帐户。它们被跟踪为CVE-2022-26303或TALOS-2022-1488，以及CVE-2022-26043或TALOS-2022-1489。敦促供应商更新，但CiscoTalos与OAS合作修复这些漏洞可能需要时间，并敦促受影响的用户尽快完成更新。研究人员指出，受影响的用户还可以通过使用适当的网络分段来减轻这些漏洞的影响，这将减少攻击者对OAS平台的访问。安全专家指出，虽然在存在漏洞时更新系统是防止潜在攻击的最佳方式，但这往往不是一件容易和快速的工作，尤其是对于ICS运营商而言。事实上，由于系统的性质，使工业系统脱机是一项具有巨大破坏性的工作，这就是为什么ICS补丁通常会延迟数月或数年，Clements说。本文翻译自：https://threatpost.com/critical-flaws-in-popular-ics-platform-can-trigger-rce/179750/如有转载请注明出处。
