新闻快讯
< >

瑞士工业技术巨头ABB门禁通信系统曝严重漏洞

E安全6月13日讯 德国安全公司 ERNW 的研究人员发现,瑞士工业技术公司 ABB 的门禁通信系统中存在多个严重漏洞。

影响范围

易遭受攻击的产品为 ABB IP 网关(同时也以 Busch-Jaeger 品牌销售),它是 ABB 门禁通信解决方案的一个组件。此类解决方案包括音频和视频对讲机、指纹读取器等。

ABB 在近期发布的安全公告中表示,运行固件版本 3.39 和更早版本的 IP 网关中存在几个潜在的严重漏洞。

IP 网关的主要作用是为对讲机、本地网络和可用于远程监控和控制系统的移动应用程序提供连接。

瑞士工业技术巨头ABB的门通信系统被曝漏洞-E安全

存在远程代码注入等多个漏洞

研究人员发现的其中一个漏洞为远程代码注入漏洞,允许访问本地网络的攻击者控制目标设备。该漏洞影响本地配置 Web 服务器,攻击者可向系统发送特制的信息利用该漏洞。

一、不正确的身份验证漏洞(CVE-2017-7931)

允许攻击者绕过身份验证,访问配置文件和 Web 服务器上的页面。

二、明文存储密码漏洞(CVE-2017-7933)

攻击者成功登录后可从用户的浏览器cookie中获取管理员密码,但前提是,攻击者必须首先攻击客户端系统,以成功提取铭文密码 cookie。

三、跨站请求伪造漏洞(CVE-2017-7906)

允许攻击者以合法用户的身份执行多种操作。

这些攻击可远程实现,但通常都要求用户交互,例如点击链接、访问恶意网页等。

ABB 表示,目前尚未发现这些漏洞遭利用的情况,且目前尚未公开漏洞详情。

已发布固件更新

ABB 公司已发布固件版本 3.40 修复了这些漏洞,并提供了一些解决方案缓解攻击威胁,其中最重要的建议是,希望用户确保 Web 服务器无法直接通过互联网访问。

E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站www.easyaq.com , 查看更多精彩内容。