Schneider | 多个安全缝隙公告
颁布功夫 2020-05-080x00 缝隙概述
0x01 缝隙详情
施耐德电气公司是全球能效治理领域的辅导者，，，，，为100多个国度的能源及基础设施、工业、数据中心及网络、楼宇和住宅市场提供整体解决规划。。。。 。。。Schneider Electric Modicon M580等都是该公司的产品。。。。 。。。
最近，，，，，钻研人员又从施耐德电气软件中发现了一个缝隙（CVE-2020-7489），，，，，它类似于臭名远扬的“震网”病毒(Stuxnet)恶意软件曾利用的缝隙。。。。 。。。
十多年前，，，，，美国和以色列被指利用“震网”病毒侵害伊朗的核打算，，，，，指标是西门子的 SIMATIC S7-300和S7-400可编程逻辑节造器(PLCs)。。。。 。。。这款恶意软件通过代替将与西门子 STEP7节造器编程软件有关联的一个DLL文件，，，，，将恶意代码加载到指标PLCs上。。。。 。。。
2020年3月份，，，，，Airbus网络安全公司报路称从施耐德电气的EcoStruxure ControlExpert工程软件（此前名为 Unity Pro）中发现了一个类似缝隙 CVE-2020-7475，，，，，它可通过代替与该工程软件有关联的其中一个DLL文件，，，，，将恶意代码上传到Modicon M340 和M580 PLCs中，，，，，从而造成过程粉碎和其它侵害。。。。 。。。CVE-2020-7475是多款Schneider Electric产品中存在的注入缝隙。。。。 。。。攻击者可利用该缝隙向节造器中发送恶意代码。。。。 。。。CVSS评分9.8。。。。 。。。
2020年5月7日，，，，，网络安全公司Trustwave的钻研人员暗示，，，，，他们也从施耐德软件 EcoStruxure MachineExpert（此前名为SoMachine）中发现了一个类似缝隙，，，，，该缝隙为 CVE-2020-7489，，，，，攻击者可利用该缝隙将恶意代码传输到节造器。。。。 。。。CVSS评分9.8。。。。 。。。
0x02 措置建议
目前厂商已颁布升级补丁以建复缝隙，，，，，补丁获取链接：
https://www.se.com/ww/en/download/document/SEVD-2020-080-01/
https://www.se.com/ww/en/download/document/SEVD-2020-105-01/
0x03 有关新闻
https://www.securityweek.com/another-stuxnet-style-vulnerability-found-schneider-electric-software
0x04 参考链接
http://www.se.com/ww/en/download/document/SEVD-2020-080-01
https://www.se.com/ww/en/download/document/SEVD-2020-105-01
0x05 功夫线
2020-05-08 VSRC颁布缝隙公告
京公网安备11010802024551号