瑞士工业技术巨头ABB门禁通信系统曝严重漏洞

发布时间:2018-06-13     来源:E安全   

       德国安全公司 ERNW 的研究人员发现,瑞士工业技术公司 ABB 的门禁通信系统中存在多个严重漏洞。

       影响范围

       易遭受攻击的产品为 ABB IP 网关(同时也以 Busch-Jaeger 品牌销售),它是 ABB 门禁通信解决方案的一个组件。此类解决方案包括音频和视频对讲机、指纹读取器等。

       ABB 在近期发布的安全公告中表示,运行固件版本 3.39 和更早版本的 IP 网关中存在几个潜在的严重漏洞。

       IP 网关的主要作用是为对讲机、本地网络和可用于远程监控和控制系统的移动应用程序提供连接。

       存在远程代码注入等多个漏洞

       研究人员发现的其中一个漏洞为远程代码注入漏洞,允许访问本地网络的攻击者控制目标设备。该漏洞影响本地配置 Web 服务器,攻击者可向系统发送特制的信息利用该漏洞。

       一、不正确的身份验证漏洞CNNVD-201704-929(CVE-2017-7931)

允许攻击者绕过身份验证,访问配置文件和 Web 服务器上的页面。

       二、明文存储密码漏洞CNNVD-201704-927(CVE-2017-7933)

攻击者成功登录后可从用户的浏览器cookie中获取管理员密码,但前提是,攻击者必须首先攻击客户端系统,以成功提取铭文密码 cookie。

       三、跨站请求伪造漏洞CNNVD-201806-350(CVE-2017-7906)

允许攻击者以合法用户的身份执行多种操作。

       这些攻击可远程实现,但通常都要求用户交互,例如点击链接、访问恶意网页等。

       ABB 表示,目前尚未发现这些漏洞遭利用的情况,且目前尚未公开漏洞详情。

       已发布固件更新

       ABB 公司已发布固件版本 3.40 修复了这些漏洞,并提供了一些解决方案缓解攻击威胁,其中最重要的建议是,希望用户确保 Web 服务器无法直接通过互联网访问。



原文地址: https://www.easyaq.com/news/2071564544.shtml

网安时情快速查询

最新漏洞

更多