安小圈

第515期

CISA  工控安全  预警

网络安全和基础设施安全局 (CISA) 发布了八项新的工业控制系统 (ICS) 公告。这些公告针对影响 ICS 的紧迫安全问题、漏洞和攻击。

ICSA-24-268-01 OPW 燃料管理系统 SiteSentinel

OPW 燃料管理系统 SiteSentinel 中存在一个严重漏洞，编号为CVE-2024-8310。

该漏洞的 CVSS v4 评分为 9.3，允许攻击者绕过身份验证并远程获取完全管理权限，对能源和交通等关键基础设施部门构成重大风险。

受影响的产品包括17Q2.1之前的SiteSentinel版本。

强烈建议用户升级到 V17Q.2.1 版本并实施额外的安全措施，例如使用虚拟专用网络 (VPN)进行远程访问并进行全面的风险评估以减轻潜在的攻击。

ICSA-24-268-02 艾莉索尼克·西比拉

CVE-2024-8630被认定为 Alisonic Sibylla 中的一个严重漏洞。

该 SQL 注入漏洞的 CVSS v4 评分为 9.3，它允许远程攻击者访问和操纵数据库，从而可能获取敏感信息或管理员访问权限。

Sibylla 自动油箱计量器的所有版本均受到影响，对全球运输系统构成风险。尽管 CISA 努力协调，但 Alisonic 尚未做出回应。

建议用户联系 Alisonic 获取更新并实施强有力的安全措施，包括尽量减少网络暴露并使用 VPN 进行安全远程访问以减轻潜在的攻击。

ICSA-24-268-03 富兰克林加油系统 TS-550 EVO

富兰克林燃料系统公司的 TS-550 EVO 自动油箱表存在一个严重漏洞，编号为CVE-2024-8497。

该绝对路径遍历漏洞的 CVSS v4 评分为 8.7，允许远程攻击者通过任意读取文件来获取管理访问权限。

2.26.4.8967 之前的版本受到影响，对全球能源部门基础设施构成风险。

建议用户更新至 2.26.4.8967 版本并实施安全措施，例如尽量减少网络暴露、使用防火墙以及采用 VPN 等安全的远程访问方法。

这些步骤对于降低被利用的风险和保护关键系统至关重要。

ICSA-24-268-04 Dover Fueling Solutions ProGauge MAGLINK LX 控制台

Dover Fueling Solutions 的 ProGauge MAGLINK LX CONSOLE 中存在多个严重漏洞，带来重大的安全风险。

这些漏洞包括：

1. 命令注入 （CVE-2024-45066、CVE-2024-43693）：这些允许攻击者在系统上执行任意命令，从而可能导致完全控制系统。

2. 不当的权限管理 （CVE-2024-45373）：此漏洞使攻击者能够提升权限，获得对受限功能的未经授权的访问。

3. 使用硬编码密码 （CVE-2024-43423）：硬编码密码可以让攻击者获得未经授权的访问，而无需破解或猜测密码。

4. 身份验证绕过 （CVE-2024-43692）：此漏洞允许攻击者绕过身份验证机制，无需有效凭证即可访问系统。

5. 跨站点脚本 (XSS)  (CVE-2024-41725)：此漏洞允许攻击者将恶意脚本注入其他用户查看的网页，从而可能窃取会话 cookie 或其他敏感信息。

这些漏洞的 CVSS v4 评分高达 10.0，突显了其严重性。

它们影响 ProGauge MAGLINK LX CONSOLE 版本 3.4.2.2.6 及更早版本，以及 LX4 CONSOLE 版本 4.17.9e 及更早版本。

强烈建议用户更新到 4.19.10 版本并实施强大的安全措施，例如防火墙和监控更新，以减轻这些风险并防止潜在的攻击。

ICSA-24-268-05 Moxa MXview One

在 Moxa 的 MXview One 和 MXview One Central Manager 系列中发现了多个漏洞，带来严重的安全风险。

这些漏洞包括：

1. 敏感信息的明文存储 （CVE-2024-6785）：此漏洞涉及以明文形式存储敏感信息，这可能允许攻击者暴露本地凭据。

2. 路径遍历 （CVE-2024-6786）：此漏洞使攻击者能够在系统上写入任意文件，并可能执行恶意代码。

3. 检查时间使用时间 (TOCTOU) 竞争条件 (CVE-2024-6787)：可以利用此竞争条件在检查条件和使用结果之间的时间间隔内执行未经授权的操作。

这些漏洞的 CVSS v4 评分为 6.8，表明风险级别为中等。它们影响 MXview One 系列 1.4.0 及更早版本和 MXview One Central Manager 系列 1.0.0。

为了降低这些风险，Moxa 建议将其软件升级到最新的安全版本。

此外，他们建议尽量减少网络暴露，更改默认凭据，并实施防火墙和 VPN 以增强安全性。

ICSA-24-268-06 OMNTEC Proteus 油箱监控

在 OMNTEC 的 Proteus 油箱监控系统（特别是 OEL8000III 系列）中发现了一个严重漏洞，标记为 CVE-2024-6981。

该漏洞的 CVSS v4 评分为 9.3，允许远程攻击者在无需身份验证的情况下执行管理操作。

风险很大，因为利用该漏洞可能会导致对全球部署的关键制造系统进行未经授权的控制。OMNTEC 尚未对协调请求做出回应。

CISA 建议用户尽量减少网络暴露、使用防火墙并通过 VPN 保护远程访问。

组织应进行全面的风险评估，并遵循网络安全最佳实践，以降低潜在的利用风险。

ICSA-24-156-01 Uniview NVR301-04S2-P4（更新 A）

Uniview 的 NVR301-04S2-P4 网络录像机被报告存在跨站点脚本 (XSS) 漏洞，漏洞编号为CVE-2024-3850。

该漏洞的 CVSS v4 评分为 5.1，允许攻击者通过精心设计的 URL 在用户浏览器中执行恶意 JavaScript。

/LAPI/ 目录下经过身份验证的页面和未经身份验证的页面都会受到影响，但由于会话数据不可用，范围有限。

存在公开漏洞，风险增加。Uniview 建议用户更新至版本 NVR-B3801.20.17.240507。

CISA 建议尽量减少网络暴露，使用防火墙，并通过 VPN 保护远程访问，以减轻潜在的攻击。

ICSA-19-274-01 Interpeak IPnet TCP/IP 堆栈（更新 E）

附件详细介绍了影响 ENEA、Green Hills Software、ITRON、IP Infusion 和 Wind River 等供应商的各种实时操作系统 (RTOS) 的几个严重漏洞。

这些漏洞已被分配了通用漏洞和暴露 (CVE) 标识符，包括：

1. 基于堆栈的缓冲区溢出 (CWE-121) – CVE-2019-12256：此漏洞可由具有无效选项的 IPv4 数据包触发，可能导致远程代码执行。

2. 基于堆的缓冲区溢出 (CWE-122) – CVE-2019-12257：发生在 DHCP 过程中，允许堆内存覆盖和潜在的远程代码执行。

3. 整数下溢 (CWE-191) – CVE-2019-12255：允许攻击者利用 TCP 会话，导致缓冲区溢出和远程代码执行。

4. 内存界限内操作的不当限制 (CWE-119) – CVE-2019-12260和CVE-2019-12261：这些可能导致网络操作期间的缓冲区溢出。

5. 竞争条件 （CWE-362）– CVE-2019-12263：涉及难以利用但可能导致系统崩溃的并发执行问题。

6. 参数注入 (CWE-88) – CVE-2019-12 2 58、CVE-2019-12262、CVE-2019-12264、CVE-2019-12265：这些允许攻击者注入无效段或操纵网络会话。

7. 空指针取消引用 (CWE-476) – CVE-2019-12259：该漏洞可通过错误分配多播 IP 地址导致网络任务崩溃。

这些漏洞带来了重大风险，包括远程代码执行和拒绝服务，影响全球关键基础设施部门。

用户应联系供应商获取特定补丁，并遵循他们的建议采取缓解控制措施。

• 网络安全知识：什么是工业控制系统 (ICS) 网络安全？

• 《网络数据安全管理条例》靴子落地| 企业如何应对更严苛的【合规】要求？

• 《网络数据安全管理条例(草案)》要点解读

• 数据资产：数据合规评估指南

• 【数据安全】《数据安全治理白皮书6.0》| 政策篇：数据安全风险评估

• 风险评估 实施方法浅析 | GB20984-2022《信息安全技术 信息安全风险评估方法》

• 国家标准《数据安全技术 数据安全风险评估方法》(报批稿)试点启动会在京召开

• 10问+1图，解读《网络数据安全风险评估实施指引》（附下载）

• 【全国信标委】数据安全风险评估实施指引

【原文来源： 祺印说信安】

本文内容所包含内容仅限于学习和研究目的。这些内容源自公开的渠道搜集而来，目的是为帮助安全研究人员用于更好地理解和分析潜在的安全问题。

郑重提示：未经授权地利用可能涉及非法活动并导致法律责任和道德问题。请遵循适用的法律法规和道德准则。任何未经授权使用这些内容而导致的后果将由使用者自行承担。本文作者及安小圈不承担因使用本文内容而导致的任何法律问题、损害或责任。请详细阅读并理解这份免责声明。您将被视为已接受并同意遵守本免责声明所有条款和条件。

一周回顾
	国家网信办就 《终端设备直连卫星服务管理规定（征求意见稿）》 公开征求意见
	【网络安全】 遇到网信办网络安全专项检查， 客户需要准备哪些材料？
	迪士尼 遭【黑客入侵】 | 泄露1.1TB数据， 被迫弃用Slack
	【海外】 互联网巨头Meta 明文存储密码被罚款 7个亿
	英国 · 火车站【被 “黑”】 | 紧急关停公共WiFi： 被黑后传播恐怖主义信息
	1_【漏洞预警】 GNU Linux打印服务多个安全漏洞 导致远程代码执行
	2_【实操】 所有Linux 系统使用者
	向【ChatGPT】植入 恶意“长期记忆”， 持续窃取用户输入数据
	【海外】官发 | 美国 · 网络司令部公布网络作战： 人工智能路线图
	人工智能的头号威胁： 投毒攻击
	人工智能拟人化的危险： 信息安全视角
	国际法视角下 【我国】 网络空间法律法规完善策略
	【黑客】知道， 但不希望安全专业人知道  “他们知道” 的 6 件事
	Cicada3301 【勒索软件】的 Linux 加密器 针对 VMware ESXi 系统
	【实操】堡垒机部署 | 堡垒机中 最应该过滤的几个危险命令， 你都配置好了没？
	【行业】 如何破解网络安全行业的颓废之势？ （系列之一）
	【勒索软件】团伙 滥用 Microsoft Azure 工具 窃取数据
	脑洞大开的【新型】钓鱼方法 -- reCAPTCHA 【网络钓鱼】
	【网络安全】 暴露面、攻击面、脆弱面是什么？
	【高风险】 弱口令，高风险，速修改！
	行业研究 | 打印机是如何泄露工作秘密的？
	Windows 漏洞 利用盲文“空格”进行 零日攻击
	网络安全知识： 什么是工业控制系统 (ICS) 网络安全？
	世界最牛【安全架构】SAFE， 它来了！
	2024 美【黑客】大会 | (black hat usa)全课件分享
	惊心动魄！ Akira 成功勒索100万美元， 全程谈判记录大曝光！
	网络被黑？ 原来是不履行 【网络安全】义务惹的祸
	定向网络攻击？ 供应链攻击？ 黎巴嫩【传呼机爆炸】 刷新【网络战】TTP
	【头条】中秋夜 | 网安一哥【奇安信】全部站点服务宕机
	我国71个机构受到勒索攻击
	阿里云机房着火超30个小时， 云服务宕机， AWS趁火打劫？
	《网络安全 (风险评估) 报告》 ——样例
	揭开【社工库】的神秘面纱 | 裸奔的个人隐私
	中国【APT组织 攻击】国内贸易公司？ | 被控主机或来自【阿里云】！
	【HVV】结束了， 裁员提上日程
	【HVV】 钓鱼佬思路全放送，拒绝空军！
	【黑神话 被“黑”！】 |《黑神话：悟空》游戏平台 遭遇DDoS【攻击】： 导致全球多国玩家无法登录
	【盘点】 十大「亿级」数据泄露 事件：个人信息还安全吗？
	自行车无线变速器 曝出【漏洞】 | 黑客可操纵比赛结果

‍

原文始发于微信公众号（安小圈）：CISA发布工控系统安全警告以防御网络攻击