欧姆龙HMI产品远程代码执行误差清静通告

宣布时间 2019-01-22

误差编号和级别


CVE编号：CVE-2018-19027，危险级别：中危，CVSS分值：厂商自评 6.6，官方未评定


影响版本


Omron CX-Protocol 2.0

Omron CX-Protocol 1.993

Omron CX-Protocol 1.992

Omron CX-One 4.50

Omron CX-One 4.42


误差概述


Omron CX-One是日本（欧姆龙）Omron公司的一套集成工具包，其中包括了用于网络、PT、变频器、温度控制器以及PLC编程软件等，允许组织建设用于监控和数据收罗（SCADA）系统的人机界面（HMI），该工具在全球规模内使用，主要用于能源领域。CX-Protocol是其中的一个用于建设串行通讯协议与标准串行装备通讯的组件。 Omron CX-One 4.50及之前版本中的CX-Protocol 2.0及之前版本保存恣意代码执行误差。远程攻击者可使用该误差在受影响应用程序的上下文中执行恣意代码或造成拒绝服务。由于该误差使用要求低，需要注重。


误差验证


暂无POC/EXP。


修复建议


官方已经宣布了新版本修复了该误差，请受影响的用户实时更新到CX-Protocol 2.01版本，形成对此误差恒久有用的防护。


用户需要到官网下载最新版本，下载毗连如下：

https://industrial.omron.us/en/home


参考链接


https://ics-cert.us-cert.gov/advisories/ICSA-19-010-02

https://www.securityfocus.com/bid/106524/info