多款PLC产品资源治理谬误缝隙安全公告

颁布功夫 2019-04-22

缝隙编号和级别



CVE编号：CVE-2019-10953，危险级别：高危，CVSS分值：7.5



影响版本及产品



ABB
ABB 1SAP120600R0071 PM554-TP-ETH
PHOENIX CONTACT
Phoenix Contact 2700974 ILC 151 ETH
SCHNEIDER ELECTRIC

Schneider Modicon M221


SIEMENS
Siemens 6ES7211-1AE40-0XB0 Simatic S7-1211
Siemens 6ES7314-6EH04-0AB0 Simatic S7-314

Siemens 6ED1052-1CC01-0BA8 Logo! 8


WAGO
WAGO 750-889 Controller KNX IP
WAGO 750-8100 Controller PFC100
WAGO 750-880 Controller ETH

WAGO 750-831 Controller BACnet/IP



缝隙概述



ABB，PHOENIX CONTACT，Schneider Electric，Siemens，和 WAGO多款厂商PLC产品中存在资源治理谬误缝隙，该缝隙源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的治理不当 。PLC部署在以下关键基础设施领域：化学，贸易设施，关键造作，水坝，能源，食品和农业，运输系统和水和废水系统 。



缝隙验证



暂无POC/EXP 。



建复建议



ABB

能够通过设置工作优先级，工作循环功夫和监督法式设置的适当组合来建复此谬误配置 。


PHOENIX CONTACT

Phoenix Contact认可这是旧产品的“已知，不会建复”问题 。当前可用的产品提供对策以减轻对安全有关职能的影响 。 请用户遵守以下利用注明：https://www.phoenixcontact.com/assets/downloads_ed/local_pc/web_dwl_technical_info/ah_en_industrial_security_107913_en_01.pdf 。


SCHNEIDER ELECTRIC
目前Schneider Electric厂商已经颁布升级补丁以建复缝隙，补丁获取链接：https://www.schneider-electric.com/en/download/document/%20SEVD-2019-045-01/ 。
SIEMENS

西门子已经调查了有关PLC周期功夫影响的缝隙汇报，并得出结论，该汇报没有证明西门子PLC的有效缝隙 。


WAGO

WAGO建议用户在封关网络中操作设备，或使用防火墙�；ど璞�，预防未经授权的接见 。另一个建议的缓解措施是凭据利用需要通过切换速度限度职能限度网络流量 。



参考链接



https://ics-cert.us-cert.gov/advisories/ICSA-19-106-03