SoftPAC | 多个清静误差通告

宣布时间 2020-05-20

0x00 误差概述


产品

CVE ID

类 型

误差品级

远程使用

影响规模

SoftPAC

CVE-2020-12042

DF

中危

是

Opto 22 SoftPAC Project <= 9.6

CVE-2020-12046

DF

中危

是

CVE-2020-10612

ACE

严重

是

CVE-2020-10616

CI

高危

是

CVE-2020-10620

AI

严重

是


0x01 误差详情


尊龙凯时 - 人生就是搏!


Opto 22 SoftPAC Project是美国Opto 22公司的一套自动化软件套件 。该产品能够提供工业自动化、历程控制、楼宇自动化、远程监控、数据收罗和工业物联网等功效 。

SoftPAC具有三个主要组件：Monitor，代理和虚拟控制器自己 。Monitor允许用户启动和阻止PAC服务以及更新SoftPAC固件 。代理凭证从Monitor收到的用户下令来管理SoftPAC PLC 。可是在适当的情形下，攻击者可以通过外部远程毗连对其举行使用，详见下图：


尊龙凯时 - 人生就是搏!


克日Claroty研究员披露Opto 22 SoftPAC中保存五个清静误差，详细如下：

CVE-2020-12042是数据伪造问题误差，该误差源于程序未扫除用于更新SoftPAC固件的zip文件中指定的路径 。攻击者可使用该误差获得恣意文件写入权限 。

CVE-2020-12046是数据伪造问题误差，该误差源于固件更新时未验证文件署名 。攻击者可使用该误差用恶意文件替换正当的固件文件 。

CVE-2020-10612是会见控制过失误差，该误差源于SoftPACAgent通过22000网络端口与SoftPACMonitor举行通讯，但程序并没有对这一开放的端口举行任何限制 。攻击者可使用该误差控制SoftPACAgent服务，包括更新SoftPAC固件，启动或阻止服务或写入某些注册表值 。

CVE-2020-10616是代码问题误差，该误差源于SoftPAC未指定多个导入.dll文件的路径 。攻击者可使用该误差替换文件并执行代码 。

CVE-2020-10620是授权问题误差，该误差源于与SoftPAC举行通讯时并不需要任何凭证 。攻击者可使用该误差直接与SoftPAC通讯，包括远程阻止服务 。

使用这些CVE举行攻击的MITER ATT&CK分类包括：


尊龙凯时 - 人生就是搏!



0x02 处置惩罚建议


由于上述误差仅影响9.6和更低版本的SoftPAC Project，因此可以通过更新至最新版本的SoftPAC Project Professional或SoftPAC Project Basic来缓解这些误差 。

https://www.opto22.com/support/resources-tools/downloads/pac_project_basic?ext=

暂时步伐：若是此更新无法连忙生效，建议接纳以下步伐来最洪流平地镌汰在您的情形中使用这些误差的可能性：

? 在防火墙上监视或限制TCP端口22000；

? 最大限度地镌汰所有控制系统装备和/或系统的网络袒露，并确保无法从Internet会见；

? 定位防火墙防护的控制系统网络和远程装备，并将其与营业网络隔离；

? 当需要远程会见时，请使用清静要领，例如虚拟专用网络（VPN），并确认VPN可能保存的误差，需将VPN更新到最新版本 。


0x03 相关新闻


https://www.securityweek.com/vulnerabilities-softpac-virtual-controller-expose-ot-networks-attacks


0x04 参考链接


https://blog.claroty.com/software-based-plc-vulnerabilities-enable-remote-code-execution

https://www.us-cert.gov/ics/advisories/icsa-20-135-01


0x05 时间线


2020-05-20 VSRC宣布误差通告


尊龙凯时 - 人生就是搏!