Inea ICS 产品中因严重漏洞使工业组织面临远程攻击

admin 2023年5月1日02:58:16评论35 views字数 2534阅读8分26秒阅读模式

Inea ICS 产品中因严重漏洞使工业组织面临远程攻击

位于斯洛文尼亚的工业自动化公司 Inea 制造的远程终端单元 (RTU) 中发现的一个严重漏洞可能会使工业组织遭受远程黑客攻击。

该漏洞的存在于上周曝光,当时美国网络安全和基础设施安全局 (CISA) 发布了一份通知组织的公告供应商已发布固件更新来修补该问题。

该安全漏洞被追踪为 CVE-2023-2131,CVSS 评分为 10,影响运行 3.36 之前固件版本的 Inea ME RTU。CISA 表示,这个操作系统命令注入漏洞可能允许远程代码执行。

受影响的产品通过蜂窝网络在远程现场设备和控制中心之间提供数据接口。据 CISA 称,该产品在全球范围内用于能源、交通、水和废水等行业。

Inea ICS 产品中因严重漏洞使工业组织面临远程攻击

该漏洞是由 Floris Hendriks 发现并负责任地披露的,他是一名正在荷兰 Radboud 大学攻读网络安全硕士学位的研究员。

Hendriks 发现这个漏洞是一个更大的 ICS 远程管理设备安全研究项目的一部分。他和 Radboud 大学的另一名研究人员最近因在ContecControl By Web产品中发现的严重缺陷而被 CISA 表彰。 

作为该项目的一部分,Hendriks 开发了一种使用 Censys 搜索引擎发现设备的方法。在线识别设备后,将分析其固件中的漏洞。 

研究人员,Inea RTU 漏洞可以在没有身份验证的情况下直接从互联网上被利用。他已经确定了几个暴露在互联网上的设备。 

Hendriks 解释说:“该漏洞可以从公共互联网运行,攻击者不必在本地网络上

利用 CVE-2023-2131 可能导致攻击者获得目标 RTU 的根权限,从而使他们能够完全控制设备。现实世界场景中的潜在影响取决于 RTU 的用途,但该缺陷可能允许攻击者造成破坏。

他解释道:“它是一个 RTU,这意味着它是一个位于 SCADA 和仪表设备之间的设备,由于您可以控制 RTU,因此您可以同时更改输入和输出。这取决于组织使用 RTU 的目的,但如果它用于打开/关闭水泵或水闸,那么攻击者也能够控制它。” 

研究人员称:“攻击者还能够使系统崩溃,这会对组织的工业流程产生巨大影响,攻击者还可以将其用于网络枢纽,例如,访问组织的本地网络。”

>>>等级保护<<<

开启等级保护之路:GB 17859网络安全等级保护上位标准

回看等级保护:重要政策规范性文件43号文(上)

网络安全等级保护实施指南培训PPT

网络安全等级保护安全物理环境测评培训PPT

网络安全等级保护:等级保护测评过程要求PPT

网络安全等级保护:安全管理中心测评PPT

网络安全等级保护:安全管理制度测评PPT

网络安全等级保护:定级指南与定级工作PPT

网络安全等级保护:云计算安全扩展测评PPT

网络安全等级保护:工业控制安全扩展测评PPT

网络安全等级保护:移动互联安全扩展测评PPT

网络安全等级保护:第三级网络安全设计技术要求整理汇总

网络安全等级保护:等级测评中的渗透测试应该如何做

网络安全等级保护:等级保护测评过程及各方责任

网络安全等级保护:政务计算机终端核心配置规范思维导图

网络安全等级保护:什么是等级保护?

网络安全等级保护:信息技术服务过程一般要求

网络安全等级保护:浅谈物理位置选择测评项

闲话等级保护:网络安全等级保护基础标准(等保十大标准)下载

闲话等级保护:什么是网络安全等级保护工作的内涵?

闲话等级保护:网络产品和服务安全通用要求之基本级安全通用要求

闲话等级保护:测评师能力要求思维导图

闲话等级保护:应急响应计划规范思维导图

闲话等级保护:浅谈应急响应与保障

闲话等级保护:如何做好网络总体安全规划

闲话等级保护:如何做好网络安全设计与实施

闲话等级保护:要做好网络安全运行与维护

闲话等级保护:人员离岗管理的参考实践

信息安全服务与信息系统生命周期的对应关系

>>>工控安全<<<

工业控制系统安全:信息安全防护指南

工业控制系统安全:工控系统信息安全分级规范思维导图

工业控制系统安全:DCS防护要求思维导图

工业控制系统安全:DCS管理要求思维导图

工业控制系统安全:DCS评估指南思维导图

工业控制安全:工业控制系统风险评估实施指南思维导图

工业控制系统安全:安全检查指南思维导图(内附下载链接)

工业控制系统安全:DCS风险与脆弱性检测要求思维导图

>>>数据安全<<<

数据治理和数据安全

数据安全风险评估清单

成功执行数据安全风险评估的3个步骤

美国关键信息基础设施数据泄露的成本

备份:网络和数据安全的最后一道防线

数据安全:数据安全能力成熟度模型

数据安全知识:什么是数据保护以及数据保护为何重要?

信息安全技术:健康医疗数据安全指南思维导图

金融数据安全:数据安全分级指南思维导图

金融数据安全:数据生命周期安全规范思维导图

>>>供应链安全<<<

美国政府为客户发布软件供应链安全指南

OpenSSF 采用微软内置的供应链安全框架

供应链安全指南:了解组织为何应关注供应链网络安全

供应链安全指南:确定组织中的关键参与者和评估风险

供应链安全指南:了解关心的内容并确定其优先级

供应链安全指南:为方法创建关键组件

供应链安全指南:将方法整合到现有供应商合同中

供应链安全指南:将方法应用于新的供应商关系

供应链安全指南:建立基础,持续改进。

思维导图:ICT供应链安全风险管理指南思维导图

英国的供应链网络安全评估

>>>其他<<<

网络安全十大安全漏洞

网络安全等级保护:做等级保护不知道咋定级?来一份定级指南思维导图

网络安全等级保护:应急响应计划规范思维导图

安全从组织内部人员开始

VMware 发布9.8分高危漏洞补丁

影响2022 年网络安全的五个故事

2023年的4大网络风险以及如何应对

网络安全知识:物流业的网络安全

网络安全知识:什么是AAA(认证、授权和记账)?

美国白宫发布国家网络安全战略

开源代码带来的 10 大安全和运营风险

不能放松警惕的勒索软件攻击

10种防网络钓鱼攻击的方法

Mozilla通过发布Firefox 111修补高危漏洞

Meta 开发新的杀伤链理论

最佳CISO如何提高运营弹性

5年后的IT职业可能会是什么样子?

累不死的IT加班人:网络安全倦怠可以预防吗?

网络风险评估是什么以及为什么需要

低代码/无代码开发对安全性和生产力的影响

源代码泄漏是新的威胁软件供应商应该关心的吗?

原文始发于微信公众号(河南等级保护测评):Inea ICS 产品中因严重漏洞使工业组织面临远程攻击

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年5月1日02:58:16
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Inea ICS 产品中因严重漏洞使工业组织面临远程攻击http://cn-sec.com/archives/1702152.html

发表评论

匿名网友 填写信息