全球能效管理領(lǐng)域的領(lǐng)導(dǎo)者施耐德電氣（SchneiderElectric）在上周二針對存在于SoMachineBasic編程軟件中的一個高危漏洞發(fā)布了修復(fù)程序，該漏洞可以被遠(yuǎn)程利用以獲取敏感數(shù)據(jù)。
SoMachineBasic，也被稱為EcoStruxureMachineExpert，是一款輕量級的編程軟件，專為施耐德ModiconM221可編程邏輯控制器（ProgrammableLogicController，PLC）而設(shè)計，用于開發(fā)PLC的程序代碼。
工業(yè)網(wǎng)絡(luò)安全公司AppliedRisk的研究員GjokoKrstic最近發(fā)現(xiàn)，SoMachineBasic1.6.0build61653和SoMachineBasic1.5.5SP1build60148，并且很有可能所有的早期版本都受一個XML外部實體注入（XXE）漏洞的影響，該漏洞可被利用來發(fā)起帶外數(shù)據(jù)（OutofBand，OOB）攻擊。
這個漏洞被追蹤為CVE-2018-7783，CVSSV3評分8.6，屬于一個高危漏洞。該漏洞可被未經(jīng)身份驗證的遠(yuǎn)程攻擊者利用來讀取目標(biāo)系統(tǒng)上的任意文件，而這些文件可能包含敏感信息，如密碼、用戶數(shù)據(jù)和有關(guān)系統(tǒng)的詳細(xì)信息。
Krstic指出，想要利用這個漏洞，攻擊者必須誘騙受害者以打開特制的SoMachineBasic項目或模板文件。另外，在某些情況下，這個漏洞也可能被利用來執(zhí)行任意代碼并導(dǎo)致目標(biāo)系統(tǒng)進入拒絕服務(wù)（DoS）狀態(tài)。
目前，施耐德電氣已經(jīng)通過發(fā)布SoMachineBasicv1.6SP1對這個漏洞進行了修復(fù)，并建議用戶盡快下載修補程序或使用SchneiderElectric軟件更新工具進行更新。
網(wǎng)站客服
粵公網(wǎng)安備 44030402000946號