Emerson OpenEnterprise SCADA | 多个安全缝隙公告

颁布功夫 2020-05-29

0x00 缝隙概述


产品

CVE ID

类 型

缝隙等级

远程利用

影响领域

Emerson OpenEnterprise SCADA

CVE-2020-6970

BO

严重

是

Emerson OpenEnterprise SCADA Server 3.1-3.3.3,2.83版本

CVE-2020-10640

MA

严重

是

Emerson OpenEnterprise SCADA <= 3.3.4

CVE-2020-10632

IOM

高危

否

CVE-2020-10636

IES

中危

否


0x01 缝隙详情


OG东方厅·(中国大陆)


Emerson Electric OpenEnterprise是美国艾默生电气（Emerson Electric）公司的一套重要用于远程石油和天然气利用的数据采集与监控系统（SCADA）。 。

近日，，卡巴斯基的钻研人员Roman Lozko发现了Emerson OpenEnterprise中的四个安全缝隙，，这四个缝隙别离为基于堆的缓冲区溢出、、、短缺身份验证、、、所有权治理不当和弱加密问题，，具体信息如下：

CVE-2020-6970是Emerson Electric OpenEnterprise SCADA Server中存在的缓冲区溢出缝隙，，CVE-2020-10640是Emerson Electric OpenEnterprise中存在的安全缝隙。 。以上两个缝隙都被评级为“严重”，，能够使攻击者在运行OpenEnterprise的设备上以提升的特权远程执行肆意代码。 。

CVE-2020-10632是Emerson Electric OpenEnterprise中存在的安全缝隙，，该缝隙源于法式为文件夹设置了不安全的权限。 。攻击者可利用该缝隙批改重要的配置文件，，造成系统故障或异�！！� 。

CVE-2020-10636是Emerson Electric OpenEnterprise中存在的加密问题缝隙。 。攻击者可利用该缝隙获取OpenEnterprise用户帐户的密码。 。


0x02 措置建议


目前厂商已颁布升级补丁以修复缝隙，，详情请关注厂商主页：

https://www.emerson.com/


0x03 有关新闻


https://www.securityweek.com/vulnerabilities-found-emerson-scada-product-made-oil-and-gas-industry


0x04 参考链接


https://www.us-cert.gov/ics/advisories/icsa-20-049-02

https://www.us-cert.gov/ics/advisories/icsa-20-140-02


0x05 功夫线


2020-05-29 VSRC颁布缝隙公告


OG东方厅·(中国大陆)