1.施耐德PLC曝高危漏洞

近日，媒體報道施耐德電氣公司發布固件補丁用于修補其Modicon M340可編程邏輯控制器（PLC）產品線的嚴重性漏洞。

該漏洞是一個緩沖區溢出漏洞（CVE-2015-7937）。用戶在訪問相關施耐德PLC的WEB服務器時，需要填入用戶名和口令。由于WEB服務器未能對該口令的輸入數據做合理處理，當填入一個較長隨機密碼（如：90~100個字符），會導致設備崩潰。據發現此漏洞的安全公司CyberX介紹，漏洞是由于web服務器采用了沒有緩沖區溢出保護的strcpy()函數將口令域輸入內容拷貝到65個字符的緩沖區導致的。除了導致設備崩潰，該漏洞還有可能被利用來在設備內存中注入遠程執行任意代碼。

該漏洞影響多達13款Modicon M340型號產品，受影響設備主要應用在美國、俄羅斯、中國和印度的能源、國防工業基礎、核電、交通、政府設施和給排水產業。

施耐德公司在12月15日發布了第一批固件更新，另一輪補丁包預計在1月16日放出。目前對于補丁的修復效果還不得而知。

2.如何應急響應

從上述報道信息進行分析，上述漏洞實際上可能是由于程序員在開發的時候沒有對密碼輸入字符串做驗證就進行拷貝這樣的低級錯誤導致。失誤比較低級，但漏洞卻是高危，黑客通過惡意軟件入侵上位機或從內部工控網絡任意接入后通過一段簡單的漏洞利用代碼即可實施攻擊，即便沒有什么技術背景的黑客都可以利用輕易發動攻擊，漏洞涉及客戶面廣。對于所有使用這些PLC型號的客戶，威努特建議實施如下應急響應措施：

• WEB服務容易遭受黑客攻擊，如無必要，建議通過工控防火墻關閉PLC的80端口來禁止訪問WEB服務。威努特工控專用防火墻的用戶，可以咨詢威努特技術支持人員進行相關配置。

• 如果必須使用WEB服務，可在漏洞補丁效果得到驗證的情況下載補丁更新。同時檢查工控防火墻上實施訪問控制策略，僅允許相關的工程師站或監控主機訪問這些PLC。

• 采用專業的工控漏洞挖掘產品對設備是否存在其他漏洞進行全面的漏洞評估和分析。用戶可以聯系威努特工程師尋求技術幫助。

• 工控設備的脆弱性狀況

本次漏洞已經不是第一個被CyberX研究人員在流行PLC產品中發現的嚴重漏洞了。今年10月，工控系統網絡安全會議上，吉勒和厄奇就披露了兩個羅克韋爾自動化公司MicroLogix系Allen-Bradley控制器中的漏洞。其中一個漏洞被該公司命名為“霜凍URL（FrostyURL）”，可被利用來引起設備崩潰，導致網絡癱瘓。CyberX發現的另一個漏洞是個緩沖區溢出和漏洞，可被用于拒絕訪問攻擊甚至遠程執行代碼。

事實上，工控設備的漏洞和脆弱性問題長久以來被忽視，而近年來暴露了多起工控設備漏洞問題，發生了多起利用工控漏洞的攻擊事件。工業網絡企業，尤其是國家重要基礎設施行業需要意識到工控設備自身的脆弱性是工控網絡安全的重要環節，避免因工控設備漏洞被利用而導致重大的生產運營事故和社會影響。而評測認證機構、工控設備商、行業入圍采購機構都應認識到在不同的環節對工控設備漏洞管理的重要性和必要性。

4.建議措施

威努特建議工控設備產業鏈的各端采取以下常態化的漏洞管理措施：

• 工控設備商——版本發布進行漏洞檢測

工控設備、軟件供應商可以在版本發布之前，對工控設備、軟件進行測試，發現并修復產品的安全缺陷（安全漏洞），提升產品自身安全性和競爭力。

• 測評機構——實施工控設備安全性測評和認證

各類國家和行業測評機構，開展針對工控設備、軟件的測評服務，對其通信健壯性、安全性對工控設備作出評價，并據此頒發相應證書，促進工控行業的產品自身安全性提升。

• 工業行業機構（研究院/設計院）——行業入圍和采購階段的產品測試

在行業入圍測試和采購前的產品測試環節，合理評估各入圍廠商工控設備的自身安全性狀況，作為設備入圍和采購管理的重要技術指標，在正式采購前對設備的安全風險進行管理，避免“漏洞百出”的設備進入采購名單，造成投資損失。

• 工業企業——網絡建設/改造前后的安全風險評估和事故后的分析調查

在工控系統的建設、系統改造的不同階段對工控系統漏洞進行管理，通過專業的漏洞挖掘產品評估待上線設備的漏洞狀況，在確定是否具備上線條件，對于具有高危漏洞的設備，需要和廠商聯系及時修復。

網絡安全事故后，可以通過專業的工控漏洞挖掘產品確定網絡被攻擊的可能漏洞所在，盡可能多地提供信息方便調查攻擊的來源。

5.威努特專業工控漏洞挖掘系統（IVM）-產品介紹

上述各個環節的漏洞管理需要專業的技術手段來支持，威努特提供國內首個工控漏洞挖掘產品，支持整個漏洞管理生命周期各階段的工作開展。

1）產品概述

工業控制系統承擔著企業運營生產的重要任務和目標，而長期以來工業控制系統的建設目標都是以生產可用性為主，對于工控設備自身的安全性和健壯性很少關注。許多設備帶著各種漏洞風險在線運行，一旦發生惡意攻擊事件將導致工控設備癱瘓、生產良品率低、產生生產事故等不可預估的問題。

目前國內沒有針對工業控制設備安全性與健壯性的檢驗的系統，傳統的漏洞掃描技術類產品無法滿足要求，威努特工控漏洞挖掘系統（Winicssec IVM）就是基于這一問題現狀而自主研發的用于驗證各類工控設備存在的漏洞和安全狀況的一款產品。產品針對當前知名的工業控制協議進行分析，根據它們的特點，用模糊測試的理論來生成對應的協議報文（包括正確的和錯誤的報文），通過對協議字段進行變換，例如邊界測試等等方法，進行安全性和健壯性測試，深度挖掘出工控設備存在的各類已知和未知的漏洞。產品采用高性能的機架式硬件設計和優化的軟件架構設計，漏洞挖掘的效率高。威努特工控安全漏洞挖掘產品通過對工業控制設備進行漏洞挖掘，不僅能全面的找到設備存在哪些安全問題和健壯性問題，定位問題來源，還可以給出問題的解決方案建議，幫助廠商及時修復這些問題，提高工控設備的安全等級。

• 客戶價值

• 保護用戶工控項目投資.幫助企業用戶對新上線工控設備進行功能性、兼容性、安全性測試，保護用戶工控項目投資。

• 防止工控網絡攻擊。幫助企業用戶和工控廠商發現工控系統和協議的漏洞，防止黑客利用工控漏洞進行網絡攻擊，避免給企業帶來商譽及經濟上的損失。

• 保障工控產品的競爭力。幫助工控廠商對工控產品進行驗證測試，發現產品存在的問題，保障工控產品開發成功。

• 提升安全測評能力和權威性。產品可以幫助各類測評機構更好的對工控設備進行測評，有效幫助其提升測評能力和權威性。

• 提升安全評估能力。有效幫助工控安全服務和評估企業提升風險評估能力。

詳細產品信息，請參照《威努特工控漏洞挖掘系統-產品白皮書》。