ControlByWeb工业形象站节造器缝隙安全公告

颁布功夫 2019-01-21

缝隙编号和级别


CVE编号：CVE-2018-18881，危险级别：高危，CVSS分值：厂商自评：7.6，官方未评定

CVE编号：CVE-2018-18882，危险级别：高危，CVSS分值：厂商自评：7.6，官方未评定


影响版本


ControlByWeb ControlByWeb X-320M 1.05版本及以前版本。


缝隙概述


Xytronix Research&Design ControlByWeb X-320M是美国Xytronix Research&Design公司的一款支持网络的形象站节造器。该产品能够将气象数据颁布到专门的形象服务，若是超过指定的参数，它能够发送电子邮件和短信通知，并且能够远程激活公司造作的其他产品的继电器。


ControlByWeb的以太网I / O产品配有内置Web服务器，可通过Web浏览器进行接见。其产品能够轻松集成到工业自动化和SCADA系统中，或者能够作为独立设备使用。


CVE-2018-18881


Xytronix Research&Design ControlByWeb X-320M在实现中存在身份验证安全缝隙。攻击者可利用该缝隙造成回绝服务。


该设备的Web-Enabled Instrumentation-Grade Data Acquisition�？槭艿交鼐瘢�DoS）缝隙的影响，该缝隙可被利用来粉碎设备上通过特定网络设置进行的所有通讯。具体来说，攻击者能够将setup.html页面中的“IP过滤器领域1”选项从255.255.255.255设置为0.0.0.0，这会导致持续的DoS前提阻止接见设备除非执行复原出厂设置。


CVE-2018-18882


Xytronix Research&Design ControlByWeb X-320M中存在跨站剧本缝隙，该缝隙源于法式没有正确地验证输入。远程攻击者可利用该缝隙执行代码。


它会影响统一HTML页面上的“站点描述”输入字段。攻击者可能会将恶意剧本注入此字段，并在合法用户接见设备的状态页时执行。


建复建议：


ControlByWeb颁布了1.06版正本建补缝隙：https://www.controlbyweb.com/firmware/X320M_V1.06_firmware.zip。


参考链接：


https://ics-cert.us-cert.gov/advisories/ICSA-19-017-03

https://www.controlbyweb.com/firmware/X320M_V1.06_firmware.zip

https://www.securityweek.com/serious-flaws-found-controlbyweb-industrial-weather-station