Rittal Chiller SK 3232-Series安全缝隙安全公告

颁布功夫 2019-10-31

缝隙编号和级别


CVE编号：CVE-2019-13549，危险级别：严沉，CVSS分值：厂商自评：9.1，官方未评定

CVE编号：CVE-2019-13553，危险级别：严沉，CVSS分值：厂商自评：9.1，官方未评定


影响版本



Carel pCOWeb（A1.5.3版本至B1.2.4版本固件）


缝隙概述


Rittal Chiller SK 3232-Series是德国威图（Rittal）公司的一款液体冷却设备。


CVE-2019-13549

Rittal Chiller SK 3232-Series中的Web接口存在安全缝隙，该缝隙源于身份验证机造未进行充分�；だ醋柚刮词谌ǖ呐渲酶�。允许攻击者通过导航到一个特定的URI来绕过身份验证和接见关键职能。


CVE-2019-13553

Rittal Chiller SK 3232-Series中的Web接口存在信赖治理问题缝隙。该缝隙与允许攻击者接见系统的硬编码痛处有关。攻击者可利用该缝隙影响一些根基操作，例如打开或关关造冷设备。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商暂未颁布建复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决法子：https://www.rittal.com。


缓解措施：


最幼化所有节造系统设备和/或系统的网络露出，并确保不能从Internet接见它们；

在防火墙后面找到节造系统网络和远程设备，并将其与业务网络隔离；

当必要远程接见时，请使用安全步骤，例如虚构专用网络（VPN），并确认VPN可能存在缝隙，应将其更新为可用的最新版本�；褂σ馐兜絍PN仅与衔接的设备一样安全。


参考链接


https://www.us-cert.gov/ics/advisories/icsa-19-297-01