未修补的 Loytec 楼宇自动化缺陷在两年后被发现披露

工业网络安全公司 TXOne Networks 披露了其研究人员两年多前在奥地利公司 Loytec 生产的楼宇自动化产品中发现的 10 个未修补漏洞的详细信息。 

这些漏洞已被分配标识符 CVE-2023-46380 到 CVE-2023-46389，其详细信息已在 11 月份在“全面披露”邮件列表上发布的三个单独的公告中披露。 

这些漏洞与以明文形式传输或存储的用户名和密码、缺乏身份验证、注册表项中管理员密码的暴露以及其他潜在敏感信息的暴露有关。 

据 TXOne 称，安全漏洞影响专为控制各种楼宇应用而设计的 LINX-212、LINX-151 和 LIOB-586 可编程自动化站、LVIS-3ME12-A1 触摸面板、LWEB-802 可视化工具和 L-INX 配置器配置工具。

攻击者（在某些情况下无需身份验证）可以利用这些漏洞来控制目标系统并禁用建筑安全系统和警报。

然而，利用某些漏洞更为复杂，因为它需要对网络进行中间人 (MitM) 攻击或对目标产品进行本地访问。 

TXOne Networks 研究团队为 SecurityWeek 提供了一些解释：

• CVE-2023-46380、CVE-2023-46382、CVE-2023-46383 和 CVE-2023-46385 需要网络上的 MitM 位置才能读取敏感数据（明文密码）。另一方面，CVE-2023-46382 不需要任何技术技能。如果LWEB-802预装版本的Web用户界面暴露在互联网上，任何人都可以轻松访问和控制它。我们发现一些项目暴露在互联网上并且可以访问。 

• 对于 CVE-2023-46387、CVE-2023-46389，一旦攻击者能够以管理员身份登录，就可以轻松访问这些文件。这些文件包含用于警报和报告功能的 SMTP 客户端凭据。

• 仅 CVE-2023-46384 需要对安装 LINX Configurator 的计算机进行本地访问。任何可以本地访问该计算机的人都可以窃取密码。

这些漏洞最初于 2021 年 10 月通过趋势科技的零日计划 (ZDI) 向供应商报告，一年后美国网络安全机构 CISA 尝试联系。然而，当 ZDI 和 CISA 联系 Loytec 时，Loytec 没有回应，这就是 TXOne 决定公开其调查结果的原因。

原文始发于微信公众号（河南等级保护测评）：未修补的 Loytec 楼宇自动化缺陷在两年后被发现披露