B&R Automatio和mbConnect | 多个安全缝隙公告
颁布功夫 2020-10-020x00 缝隙概述
随着疫情的盛行，越来越多的公司依附远程接见系统来守护其工业出产，工业远程接见系统的使用也越来越频仍。近日OTORIO的钻研人员最近发现了B&R Automatio的SiteManager和GateManager，以及mbConnect的mbConnect24这两种盛行的工业远程接见系统存在多个严沉安全缝隙。这些缝隙能够被攻击者用来接见工业出产车间、入侵公司网络、篡改数据或窃取敏感的贸易奥秘等。
0x01 缝隙详情
SiteManager和GateManager是B&R Automatio公司安全远程守护套件的一部门。mbConnect的mbConnect24重要用于与工业资产的远程衔接。它们共同为汽车、能源、石油和天然气、金属、包装和海运等行业的数千个站点提供远程接见服务。
SiteManager和GateManager能够使专业操作人员从世界任何处所远程接见和守护工业机械，如检索日志和利用法式数据等。这次涉及的六个的SiteManager和GateManager安全缝隙如下：
缝隙编号 | 缝隙类型 | 缝隙简述 | 严沉水平 | 评分 |
CVE-2020-11641 | 蹊径遍历 | 经过身份验证的攻击职能够读取服务配置和其他敏感信息，并滥用此信息进行SiteManager事俘上的恶意活动。 | 高 | 7.7 |
CVE-2020-11642 | 资源亏损不受节造 | 经过身份验证的攻击者可能会反复触发SiteManager事俘的沉新启动，从而限度可用性。 | 高 | 7.7 |
CVE-2020-11643 | 信息泄露 | 经过身份验证的攻击者能够网络有关属于表国组织的设备的信息，并将这些信息用于恶意活动。 | 中 | 6.5 |
CVE-2020-11644 | 身份验证不正确 | 经过身份验证的攻击者能够通过选择的虚构审核新闻/警报来糊弄表域用户。 | 中 | 6.5 |
CVE-2020-11645 | 资源亏损不受节造 | 经过身份验证的攻击者可能会反复触发GateManager事俘的沉启，从而限度了它们的可用性。 | 中 | 6.5 |
CVE-2020-11646 | 信息泄露 | 经过身份验证的敌手能够查看有关属于其域的所有设备的信息，并将此信息用于恶意活动。 | 中 | 4.3 |
攻击者能够通过利用这6个新缝隙获得系统的授权接见权限、查看其他用户的资产和敏感信息。此表，黑客还能够通过使用虚伪的系统新闻和警报将用户糊弄到恶意的表部站点，并触发GateManager和SiteManager的沉新启动，最终导致出产系统的可用性降落并终场出产。
影响领域
SiteManager v9.2.620236042之前的所有版本
GateManager 4260和9250 v9.0.20262之前的所有版本
GateManager 8250 v9.2.620236042之前的所有版本
更多具体信息请参考：
https://us-cert.cisa.gov/ics/advisories/icsa-20-273-03
这次还发现了mymbCONNECT24和mbCONNECT24中的多个安全缝隙，经过身份验证的攻击者能够利用这些缝隙使用SQL注入接见肆意信息，通过执行跨站点要求伪造（CSRF）来窃取会话具体信息：
缝隙编号 | 缝隙类型 | 缝隙简述 | 严沉水平 | 评分 |
CVE-2020-24569 | SQL注入 | knximport组件中存在一个SQL盲注注入缝隙，攻击者能够利用此缝隙接见肆意信息。 | 高 | 7.1 |
CVE-2020-24568 | SQL注入 | lancompenent组件中存在一个SQL盲注注入缝隙，攻击者能够利用此缝隙接见肆意信息。 | 高 | 7.1 |
CVE-2020-24570 | CSRF | com_mb24proxy�？橹写嬖谝桓鯯SRF和CSRF缝隙，攻击者能够使用恶意的链接从登录的用户那里窃取会话信息。 | 高 | 8.8 |
未分配 | 号令注入 | 攻击者可能会利用与该软件绑缚在一路的过期且未使用的第三方软件造成远程代码执行。 | 高 | 9.8 |
影响领域
mymbCONNECT24 v2.6.1及更低版本
mbCONNECT24 v2.6.1及更低版本
更多具体信息请参考：
https://us-cert.cisa.gov/ics/advisories/icsa-20-273-01
0x02 措置建议
1.目前有关缝隙已被建复，建议升级至以下版本。
GateManager和SiteManager：
SiteManager v9.2.620236042
GateManager 4260和9250 v9.0.20262
GateManager 8250 v9.2.620236042
下载链接：
https://www.br-automation.com/en/downloads/
ymbCONNECT24和mbCONNECT24：
更新到版本2.6.2或更高版本。
下载链接：
https://downloadportal.mbconnectline.com/en/
0x03 参考链接
https://www.otorio.com/news-events/press-release/otorio-discovers-critical-vulnerabilities-in-leading-industrial-remote-access-software-solutions/
https://www.br-automation.com/downloads_br_productcatalogue/assets/1600003183751-de-original-1.0.pdf
https://us-cert.cisa.gov/ics/advisories/icsa-20-273-01
https://us-cert.cisa.gov/ics/advisories/icsa-20-273-03
https://securityaffairs.co/wordpress/108946/hacking/vulnerable-exchange-servers.html?utm_source=rss&utm_medium=rss&utm_campaign=vulnerable-exchange-servers
0x04 功夫线
2020-09-30 OTORIO颁布安全布告
2020-10-02 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号