全球都在用的水箱管理系统存在0day漏洞

Kingspan TMS300 CS水箱管理系统通过屏幕、web服务器、应用程序、在线门户或邮件提供水箱级别信息，提供有线和无线的多任务 级别测量、报警和互联网或本地网络连接。

CISA 发布安全公告指出，安全研究员 Maxim Rupp 发现该产品受一个严重漏洞影响。而该漏洞是由缺乏正确执行的访问控制规则造成的，可导致未认证攻击者查看或修改设备设置。

该研究员发现，攻击者可在无需认证的情况下访问设备设置，仅需导航至特定的URL即可。攻击者可通过浏览web接口或通过暴力攻击识别出这些URL。

这些设备可配置为从互联网访问。Rupp解释称，只要攻击者能够访问设备的web接口，就能利用该漏洞。从产品文档来看，Rupp指出攻击者在利用该漏洞后可修改多种设置，包括与传感器、水箱详情和报警阈值相关的设置。遭暴露的设置似乎可导致黑客对目标组织机构造成破坏。

CISA指出，受影响产品用于全球水和废水系统行业，并指出该漏洞仍未修复。CISA表示，“Kingspan 公司并未就与CISA一起缓解漏洞的请求做出回应。受影响产品的用户可联系Kingspan 客户支持，获取更多信息。”

Kingspan 公司尚未就此事置评。

CISA提供了一些与类似漏洞风险相关的通用防御措施。

题图：Pixabay License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~