社区编辑申请
注册/登录
OAS 平台受关键 RCE 和 API 访问漏洞的影响
安全 漏洞
鉴于 OAS 用户众多,平台中的漏洞可能会使关键工业部门面临中断和机密信息泄露的风险。

Bleeping Computer网站消息,威胁分析专家披露开放自动化软件(OAS)平台存在安全漏洞,漏洞可导致设备访问、拒绝服务和远程代码执行受到严重影响。

1653629454_6290620e2a79e37c48733.png!small?1653629454941

众所周知,OAS 平台是一个广泛使用的数据连接解决方案,它将工业设备(PLC、OPC、Modbus)、SCADA系统、物联网、网络点、自定义应用程序、自定义 API 和数据库结合在一个整体系统下。

另外,OAS平台还是一个灵活的多功能硬件和软件连接解决方案,能够促使来自不同供应商的专有设备和应用程序之间数据传输,并将数据连接到公司特定的产品、定制软件等。

1653629462_62906216c3f7b400f67e9.png!small?1653629463427

目前,包括米其林、沃尔沃、英特尔、JBT AeroTech、美国海军、Dart Oil and Gas、General Dynamics、AES WindGeneration等在内的一些高知名度工业实体,都在使用 OAS。

鉴于 OAS 用户众多,平台中的漏洞可能会使关键工业部门面临中断和机密信息泄露的风险。

严重漏洞

根据思科 Talos 的一份报告显示,OAS 平台 16.00.0112 及以下版本容易受到一系列高危漏洞的影响,可能会带来破坏性的网络攻击。

其中最危险的 CVE-2022-26833 漏洞,严重性等级为 9.4(满分 10 分),主要涉及 OAS 中未经授权的访问和使用 REST API功能。

思科表示,REST API 旨在为“默认”用户提供对配置更改和数据查看的编程访问权限,但 Talos
研究人员能够通过发送一个带有空白用户名和密码的请求来进行身份验证。

1653629490_629062327988353d7fa32.png!small?1653629490848

未使用任何凭据进行身份验证

攻击者可以通过向易受攻击的端点,发送一系列特制的 HTTP 请求来利用该漏洞。

另外一个关键漏洞追踪为 CVE-2022-26082,评级为 9.1(满分 10 分),是 OAS 引擎 SecureTransferFiles 模块的一个文件写入漏洞。

据思科称,向有漏洞的端点发送一系列特制的网络请求可能导致任意远程代码执行。思科 Talos 表示,通过向 OAS 平台发送格式正确的配置消息,有可能将任意文件上传到底层用户允许的任何位置。

默认情况下,这些消息可以被发送到 TCP/58727,一旦成功,将由具有正常用户权限的用户 oasuser 处理。这种情况使得远程攻击者能够将新的authorized_keys 文件上传到 oasuser 的 .ssh 目录中,从而可以通过 ssh 命令访问系统。

Cisco Talos 发现的其他高严重性漏洞(CVSS:7.5)如下:

  • CVE-2022-27169:通过网络请求获得目录列表
  • CVE-2022-26077:针对账户凭证的信息泄露
  • CVE-2022-26026:拒绝服务和丢失数据链接
  • CVE-2022-26303和CVE-2022-26043:外部配置更改和创建新用户和安全组

针对上述漏洞,思科提供了一些缓解建议,主要包括禁用服务和关闭通信端口,如果用户不能立刻升级到较新版本,这些措施是个不错的选择。

当然,最好的修复方式还是升级到较新版本,上述两个关键漏洞已在 16.00.0.113 版本中得到修复,建议立刻升级到最新版本。

参考文章:https://www.bleepingcomputer.com/news/security/oas-platform-vulnerable-to-critical-rce-and-api-access-flaws/

责任编辑:赵宁宁 来源: FreeBuf.COM
相关推荐

2022-06-20 13:34:46

漏洞网络攻击

2022-06-27 17:46:53

PythonFlask

2022-06-29 09:19:09

静态代码C语言c代码

2022-06-20 14:57:50

漏洞安全威胁

2022-06-29 08:13:36

漏洞网络攻击网络安全

2022-06-28 12:14:02

DockerLinux

2022-03-30 09:09:39

漏洞网络安全网络攻击

2022-06-09 18:04:46

网络攻击网络安全

2022-05-24 15:22:09

网络安全企业风险

2022-06-07 09:59:21

网络安全安全漏洞

2022-06-21 09:27:01

PythonFlaskREST API

2022-05-25 07:11:13

2022-06-24 11:34:38

云计算应用安全

2022-06-17 11:24:52

2022-06-15 14:40:54

英特尔漏洞

2022-06-23 09:22:57

Vue技巧前端

2022-06-22 09:56:19

PythonMySQL数据库

2022-05-24 08:21:16

数据安全API

2022-06-06 14:32:36

2022-06-27 15:25:08

架构模型治理

同话题下的热门内容

Black Lotus警告异常复杂的ZuoRAT恶意软件已盯上大量路由器高危漏洞并不意味着要最先修复

编辑推荐

Log4j史诗级漏洞,从原理到实战,只用3个实例就搞明白!漏洞情报 | Spring RCE 0day高危漏洞预警Kubernetes的严重漏洞将所有服务器暴露在DoS攻击面前!Tomcat爆出安全漏洞!Spring Cloud/Boot框架多个版本受影响二维码新漏洞出现,遇到此类二维码小心中招
我收藏的内容
点赞
收藏

51CTO技术栈公众号