B&R Automatio和mbConnect | 多个安全漏洞通告

admin 2020年10月3日06:00:50评论224 views字数 2569阅读8分33秒阅读模式

0x00 漏洞概述

随着疫情的流行,越来越多的公司依靠远程访问系统来维护其工业生产,工业远程访问系统的使用也越来越频繁。近日OTORIO的研究人员最近发现了B&R Automatio的SiteManager和GateManager,以及mbConnect的mbConnect24这两种流行的工业远程访问系统存在多个严重安全漏洞。这些漏洞可以被攻击者用来访问工业生产车间、入侵公司网络、篡改数据或窃取敏感的商业秘密等。

 

0x01 漏洞详情

 

B&R Automatio和mbConnect | 多个安全漏洞通告

 

SiteManager和GateManager是B&RAutomatio公司安全远程维护套件的一部分。mbConnect的mbConnect24主要用于与工业资产的远程连接。它们共同为汽车、能源、石油和天然气、金属、包装和海运等行业的数千个站点提供远程访问服务。

SiteManager和GateManager可以使专业操作人员从世界任何地方远程访问和维护工业机器,如检索日志和应用程序数据等。此次涉及的六个的SiteManager和GateManager安全漏洞如下:

 

漏洞编号

漏洞类型

漏洞简述

严重程度

评分

CVE-2020-11641

路径遍历

经过身份验证的攻击性可以读取服务配置和其他敏感信息,并滥用此信息进行SiteManager实例上的恶意活动。

7.7

CVE-2020-11642

资源消耗不受控制

经过身份验证的攻击者可能会反复触发SiteManager实例的重新启动,从而限制可用性。

7.7

CVE-2020-11643

信息泄露

经过身份验证的攻击者可以收集有关属于外国组织的设备的信息,并将这些信息用于恶意活动。

6.5

CVE-2020-11644

身份验证不正确

经过身份验证的攻击者可以通过选择的虚构审核消息/警报来欺骗外域用户。

6.5

CVE-2020-11645

资源消耗不受控制

经过身份验证的攻击者可能会反复触发GateManager实例的重启,从而限制了它们的可用性。

6.5

CVE-2020-11646

信息泄露

经过身份验证的对手可以查看有关属于其域的所有设备的信息,并将此信息用于恶意活动。 

4.3

 

攻击者可以通过利用这6个新漏洞获得系统的授权访问权限、查看其他用户的资产和敏感信息。此外,黑客还可以通过使用虚假的系统消息和警报将用户欺骗到恶意的外部站点,并触发GateManager和SiteManager的重新启动,最终导致生产系统的可用性下降并停止生产。

影响范围

SiteManagerv9.2.620236042之前的所有版本

GateManager 4260和9250 v9.0.20262之前的所有版本

GateManager 8250v9.2.620236042之前的所有版本

更多详细信息请参考:

https://us-cert.cisa.gov/ics/advisories/icsa-20-273-03

 

此次还发现了mymbCONNECT24和mbCONNECT24中的多个安全漏洞,经过身份验证的攻击者可以利用这些漏洞使用SQL注入访问任意信息,通过执行跨站点请求伪造(CSRF)来窃取会话详细信息:

漏洞编号

漏洞类型

漏洞简述

严重程度

评分

CVE-2020-24569

SQL注入

knximport组件中存在一个SQL盲注注入漏洞,攻击者可以利用此漏洞访问任意信息。

7.1

CVE-2020-24568

SQL注入

lancompenent组件中存在一个SQL盲注注入漏洞,攻击者可以利用此漏洞访问任意信息。

7.1

CVE-2020-24570

CSRF

com_mb24proxy模块中存在一个SSRF和CSRF漏洞,攻击者可以使用恶意的链接从登录的用户那里窃取会话信息。

8.8

未分配

命令注入

攻击者可能会利用与该软件捆绑在一起的过时且未使用的第三方软件造成远程代码执行。

9.8

 

影响范围

mymbCONNECT24 v2.6.1及更低版本

mbCONNECT24 v2.6.1及更低版本

更多详细信息请参考:

https://us-cert.cisa.gov/ics/advisories/icsa-20-273-01

 

0x02处置建议

1.目前相关漏洞已被修复,建议升级至以下版本。

GateManager和SiteManager:

SiteManagerv9.2.620236042

GateManager 4260和9250 v9.0.20262

GateManager 8250v9.2.620236042

下载链接:

https://www.br-automation.com/en/downloads/

 

ymbCONNECT24和mbCONNECT24:

更新到版本2.6.2或更高版本。

下载链接:

https://downloadportal.mbconnectline.com/en/

 

0x03 参考链接

https://www.otorio.com/news-events/press-release/otorio-discovers-critical-vulnerabilities-in-leading-industrial-remote-access-software-solutions/

https://www.br-automation.com/downloads_br_productcatalogue/assets/1600003183751-de-original-1.0.pdf

https://us-cert.cisa.gov/ics/advisories/icsa-20-273-01

https://us-cert.cisa.gov/ics/advisories/icsa-20-273-03

https://securityaffairs.co/wordpress/108946/hacking/vulnerable-exchange-servers.html?utm_source=rss&utm_medium=rss&utm_campaign=vulnerable-exchange-servers

 

0x04 时间线

2020-09-30 OTORIO发布安全公告

2020-10-02 VSRC发布安全通告

 

0x05 附录

 

CVSS评分标准官网:http://www.first.org/cvss/

 



  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2020年10月3日06:00:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   B&R Automatio和mbConnect | 多个安全漏洞通告https://cn-sec.com/archives/149052.html

发表评论

匿名网友 填写信息