2022年上半年披露的数百个ICS漏洞

admin 2022年8月1日00:58:30安全新闻评论13 views1286字阅读4分17秒阅读模式

根据工业资产和网络监控公司 SynSaber 进行的分析,美国网络安全和基础设施安全局 (CISA) 在 2022 年上半年披露了 600 多个工业控制系统 (ICS) 产品漏洞。

先回顾一下2021年前半年情况,2021 年前 6 个月,影响 76 家供应商产品的 637 个 ICS 缺陷的存在被曝光,其中超过 70% 的漏洞被赋予了严重或高严重性等级。相比之下,2020 年下半年仅披露了 449 个漏洞。

Claroty 进行的一项分析表明,2021 年上半年披露的绝大多数安全漏洞不需要特殊条件即可利用,四分之三不需要任何特权,三分之二无需用户交互即可被利用。

该公司表示,61% 的漏洞可以被远程利用,其中 65% 的漏洞可以被用于拒绝服务 (DoS) 攻击,与 IT 系统相比,这对 ICS 的影响可能更大。

超过 80% 的漏洞是由外部研究人员报告给供应商的。在报告 2021 年上半年披露的缺陷的研究人员中,有 42 人是新研究人员。

受影响最大的供应商是西门子(146 个漏洞)、施耐德电气(65 个)、罗克韦尔自动化(35 个)、万可(23 个)和研华(22 个)。值得注意的是,受影响的供应商名单还包括 20 家公司,其产品未受到去年披露的任何缺陷的影响。

大多数安全漏洞会影响运营管理级别的产品(历史学家、OPC 服务器),其次是基本控制(PLC、RTU)和监督控制(HMI、SCADA)级别。2022年上半年披露的数百个ICS漏洞

2022年上半年,SynSaber 统计了 CISA 披露的 681 个漏洞,略高于2021 年上半年的637个漏洞值得注意的是,CISA 并未针对所有公开披露的 ICS 缺陷发布公告,这意味着 1 月至 6 月期间披露的实际问题数量可能会更高。

在 681 个 CVE 中,大约 13% 没有补丁并且可能永远无法修复——这些被称为“永久漏洞”。

然而,在某些情况下,即使漏洞确实有补丁,由于 SynSaber 所描述的“复杂的互操作性和保修限制”,应用它可能不是一项简单的任务。组织可能需要等待受影响的 OEM 供应商批准补丁,并且他们需要在采取任何步骤之前确定运营风险。

CISA 在 2022 年上半年公开的漏洞中,超过 22% 的漏洞被评为“严重”严重性等级,42% 根据其 CVSS 评分被评为“高严重性”等级。

然而,正如专家们经常强调的那样,在 ICS 的情况下,CVSS 分数可能会产生误导。SynSaber 建议组织查看某些指标,以确定漏洞是否可以在其环境中实际利用。例如,如果利用需要用户交互、本地/物理访问或目标系统上的提升权限,那么它就不太可能被利用。

在这种特殊情况下,利用 46 个漏洞需要访问和用户交互,198 个需要用户交互。


在 681 个 ICS 漏洞中,超过一半需要软件补丁,34% 需要固件更新,12% 需要协议更新。

SynSaber 的一项评估表明,大约 40% 的漏洞应该立即解决,8% 的漏洞不容易解决,可能需要补偿控制以防止利用。

“仅查看报告的 CVE 的绝对数量可能会让资产所有者感到不知所措,但当我们了解 CVE 的相关性和可操作性的百分比,而哪些仍将是‘永远存在的漏洞’时,这些数字似乎就不那么令人生畏了,至少暂时,”SynSaber 在其报告中说。

原文始发于微信公众号(祺印说信安):2022年上半年披露的数百个ICS漏洞

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年8月1日00:58:30
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  2022年上半年披露的数百个ICS漏洞 http://cn-sec.com/archives/1212012.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: