Rockwell Automation可编程逻辑控制器安全漏洞风险通告

发布时间 2020-03-18

漏洞编号和级别


CVE编号:CVE-2020-6990,危险级别:严重,CVSS分值:厂商自评:9.8,官方未评定

CVE编号:CVE-2020-6984,危险级别:严重,CVSS分值:厂商自评:9.8,官方未评定

CVE编号:CVE-2020-6988,危险级别:高危,CVSS分值:厂商自评:7.5,官方未评定

CVE编号:CVE-2020-6980,危险级别:中危,CVSS分值:厂商自评:4.0,官方未评定


影响版本


Rockwell Automation MicroLogix 1400 Controllers Series B v21.001及之前版本和Series A所有版本

MicroLogix 1100 Controller所有版本

RSLogix 500 Software v12.001及之前版本


漏洞概述


美国Rockwell Automation企业是全球最大的自动化和信息化企业之一。MicroLogix 1400 Controllers和MicroLogix 1100 Controllers是Rockwell Automation企业出品的可编程逻辑控制器。RSLogix 500 Software是一套用于工业控制系统的编程App。


美国网络安全和基础设施安全局(CISA)近日发布了一则安全公告,披露美国Rockwell Automation企业MicroLogix 1400 Controllers,MicroLogix1100 Controllers和RSLogix 500 Software中的多个漏洞。概述如下:

CVE-2020-6990, RSLogix 500二进制文件使用硬编码的加密密钥,而该加密密钥用于保护账户密码。远程攻击者可以通过识别加密密钥,并将其用于后续的密码攻击,最终达成越权访问控制器。


CVE-2020-6984,该漏洞源于使用了被破解的或有风险的算法,MicroLogix中用于保护密码的加密函数容易被发现。远程攻击者可利用该漏洞破解算法并入侵受保护的数据,最终泄露敏感信息。


CVE-2020-6988,未经身份认证的远程攻击者可从RSLogix 500 Software向受害者的MicroLogix控制器发送一个请求,控制器会采用已用过的密码值响应客户端,对在客户端上的用户进行身份认证。攻击者可利用此种身份认证方法绕过身份认证,泄露敏感信息,或泄露凭据。


CVE-2020-6980,RSLogix 500中保存了SMTP账户数据,由于该数据以明文形式写入到项目文件中,本地攻击者如果可以访问受害者的项目,则能够收集SMTP server的身份认证数据。


漏洞验证


暂无PoC/EXP。


修复建议


对于使用MicroLogix 1400 Controllers Series B的用户,Rockwell建议更新版本至21.002或更高版本,并使用加强的密码安全功能,链接:https://compatibility.rockwellautomation.com/Pages/MultiProductFindDownloads.aspx?crumb=112&refSoft=1&toggleState=&versions=56181,56502,56710,57096,58298。


对于RSLogix 500App,Rockwell Automation建议受影响的用户使用v11或更高版本,并与适用于Micrologix 1400系列B设备的FRN 21.001或更高版本一起使用,链接:https://compatibility.rockwellautomation.com/Pages/MultiProductFindDownloads.aspx?crumb=112&refSoft=1&toggleState=&versions=57415,56006。


而对于MicroLogix 1400 Series A控制器或MicroLogix 1100控制器,Rockwell Automation向CISA表示目前尚未有缓解措施。


参考链接


https://www.us-cert.gov/ics/advisories/icsa-20-070-06