======================================================================

原文地址：http://ics-cert.us-cert.gov/advisories/ICSA-14-023-01

譯文地址：http://www.ics-cert.com.cn/?p=182

譯文地址：http://blog.csdn.net/icscert/article/details/18884353

譯文作者：ICS-CERT

======================================================================

概述

來(lái)自零日計(jì)劃（Zero Day Initiative）的兩位研究者amisto0x07和Z0mb1E發(fā)現(xiàn)了通用電氣（GE）的Proficy人機(jī)接口SCADA軟件CIMPLICITY中的的兩個(gè)漏洞。GE已經(jīng)發(fā)布了安全公告，GEIP13-05和GEIP13-06來(lái)通知用戶(hù)關(guān)于這些漏洞。

這些漏洞可以被遠(yuǎn)程利用。

影響產(chǎn)品

如下的GE智能平臺(tái)產(chǎn)品將受到影響：

• Proficy HMI/SCADA – CIMPLICITY，版本4.01到8.2
• 包含CIMPLICITY的Proficy過(guò)程系統(tǒng).

影響范圍

CIMPLICITY CimWebServer沒(méi)有檢查shell文件的位置，可能會(huì)允許未經(jīng)身份驗(yàn)證的用戶(hù)從遠(yuǎn)程加載shell代碼，而不是從本地默認(rèn)路徑。

對(duì)于每個(gè)組織機(jī)構(gòu)的影響取決于每個(gè)組織特有的多方面因素。NCCIC/ICS-CERT建議各組織機(jī)構(gòu)基于自身的操作環(huán)境、架構(gòu)和產(chǎn)品情況來(lái)評(píng)估這些漏洞產(chǎn)生的影響。

背景

GE是一家美國(guó)公司，在全球都有其分支機(jī)構(gòu)，GE的Proficy HMI/SCADA – CIMPLICITY是一個(gè)C/S架構(gòu)的HMI/SCADA程序，在多個(gè)行業(yè)部署。

漏洞特征

漏洞概述

路徑遍歷a

CIMPLICITY CimWebServer中的gefebt.exe組件沒(méi)有對(duì)加載到系統(tǒng)中的shell文件的位置進(jìn)行檢查。通過(guò)修改源位置，攻擊者可以像CimWebServer發(fā)送shellcode，這可以將惡意文件部署為服務(wù)器端的腳本。這使得攻擊者執(zhí)行任意代碼。

這一漏洞被定義為CVE-2014-0750b.CVSS v2 分?jǐn)?shù)為7.5; CVSS向量字符串為(AV:N/AC:L/Au:N/C:P/I:P/A:P).c

路徑遍歷d

基于Web的CIMPLICITY組件，CimWebServer沒(méi)有對(duì)加載到系統(tǒng)中的shell文件的位置進(jìn)行檢查。通過(guò)修改源位置，攻擊者可以向CimWebServer發(fā)送shellcode，從而將文件部署在SCADA項(xiàng)目中的一部分。從而使得攻擊者執(zhí)行任意代碼。

這一漏洞被定義為CVE-2014-0751e?.CVSS v2 分?jǐn)?shù)為6.8; CVSS向量字符串為(AV:N/AC:M/Au:N/C:P/I:P/A:P).f

漏洞詳細(xì)信息

可利用性

這些漏洞可以被遠(yuǎn)程利用

Exp代碼

目前還沒(méi)有發(fā)現(xiàn)針對(duì)此漏洞的Exp代碼被公布出來(lái)。

難度

具有中等技術(shù)水平的攻擊者可以利用這些漏洞。

解決辦法

GE已經(jīng)發(fā)布了更新版，來(lái)修補(bǔ)其中一個(gè)漏洞，通過(guò)修改配置來(lái)修補(bǔ)另外一個(gè)漏洞。請(qǐng)參照GE的產(chǎn)品安全公告，GEIP13-5。

為了修補(bǔ)這一漏洞，所有的由gefebt.exe拷貝的文件，并由Web客戶(hù)端可以訪問(wèn)的文件，必須全部刪除或移除，從而使得他們不可訪問(wèn)。如果Web配置當(dāng)前依賴(lài)gefebt.exe，修改Web服務(wù)器的網(wǎng)頁(yè)也是可取的。

GE產(chǎn)品安全公告，提供了額外的指南，參考如下：

http://support.ge-ip.com/support/index?page=kbchannel&id=KB15939

GEIP13-06

下載Proficy HMI/SCADA - CIMPLICITY 8.2 SIM 24在此路徑下：

http://support.ge-ip.com/support/index?page=dwchannel&id=DN4128

GE產(chǎn)品安全公告在此：

http://support.ge-ip.com/support/index?page=kbchannel&id=KB15940

NCCIC/ICS-CERT鼓勵(lì)所有者采取額外的措施來(lái)保護(hù)這些風(fēng)險(xiǎn)及其他的安全風(fēng)險(xiǎn)。

• 盡可能的少暴露控制系統(tǒng)設(shè)備或系統(tǒng)自身的網(wǎng)絡(luò)，并確保他們不被互聯(lián)網(wǎng)訪問(wèn)。
• 在本地控制系統(tǒng)網(wǎng)絡(luò)和遠(yuǎn)程設(shè)備之間部署防火墻，并將控制網(wǎng)絡(luò)與企業(yè)網(wǎng)絡(luò)隔離。
• 如果需要遠(yuǎn)程訪問(wèn)，采用安全的方法，例如VPN，VPN被認(rèn)為是唯一安全的訪問(wèn)方式。

NCCIC/ICS-CERT當(dāng)然還提供了針對(duì)工業(yè)控制信息安全方面的建議在此路徑下：

http://ics-cert.us-cert.gov/content/recommended-practices.

很多建議是可以讀的，并且可以下載，包括《采用縱深防御策略來(lái)提高工業(yè)控制系統(tǒng)信息安全》。 NCCIC/ICS-CERT 建議各部門(mén)進(jìn)行在部署安全防御時(shí)，先適當(dāng)?shù)倪M(jìn)行安全分析和風(fēng)險(xiǎn)評(píng)估。

其他相關(guān)的解決方案指導(dǎo)和建議發(fā)布在了NCCIC/ICS-CERT的技術(shù)信息文章上，ICS-TIP-12-146-01Bg，該文章可以在NCCIC/ICS-CERT的網(wǎng)站上下載。

各組織機(jī)構(gòu)如果發(fā)現(xiàn)了一些有惡意嫌疑的程序，可以將其報(bào)告給NCCIC/ICS-CERT來(lái)跟蹤和對(duì)應(yīng)這些意外。

參考文檔：

• a.CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal'),http://cwe.mitre.org/data/definitions/22.html, Web site last accessed January 23, 2014.
• b.NVD,?http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0750, NIST uses this advisory to create the CVE Web site report. This Web site will be active sometime after publication of this advisory.
• c.CVSS Calculator,?http://nvd.nist.gov/cvss.cfm?version=2&vector=AV:N/AC:L/Au:N/C:P/I:P/A:P, Web site last accessed January 23, 2014.
• d.CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal'),http://cwe.mitre.org/data/definitions/22.html, Web site last accessed January 23, 2014.
• e.NVD,?http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0751, NIST uses this advisory to create the CVE Web site report. This Web site will be active sometime after publication of this advisory.
• f.CVSS Calculator,?http://nvd.nist.gov/cvss.cfm?version=2&vector=AV:N/AC:M/Au:N/C:P/I:P/A:P, Web site last accessed January 23, 2014.

總結(jié)

以上是生活随笔為你收集整理的GE Proficy多个漏洞的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。