聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
研究人员在捷克工业自动化公司 mySCADA 中找到12个漏洞，其中一些漏洞的严重等级为“严重”。
美国网络安全和基础设施安全局 (CISA) 分别在8月份和12月21日发布两份安全公告向企业通知相关信息。发现这些漏洞的研究员 Michael Heinzl 也发布安全公告进行说明。
myPRO 是一款人机界面和监控和数据采集 (SCADA) 系统，旨在可视化并控制工业进程。该产品适用于 Windows、macOS 和 Linux 系统，包括服务器、个人电脑甚至是嵌入式设备。
CISA 指出，受影响产品应用于全球能源、视频和农业、水和交通系统行业。从该厂商网站上提供的信息来看，多数客户位于欧洲。
Heinzl 发现的第一批漏洞在7月份发布的版本8.20.0中修复，第二批漏洞在11月份发布的新版本 8.22.0中修复。在这两个案例中，厂商均表示发布的是安全更新，这种说法值得注意，因为某些工控产生会将安全补丁埋藏到更大规模的更新中，导致客户未意识到潜在风险。
版本8.20.0修复了四个高危漏洞，在未验证情况下，它们可被用于获取敏感信息或远程上传任意文件。版本8.22.0修复了八个漏洞，其中七个是“严重“级别。在这七个漏洞中，一个可被用于绕过验证，一个与后门账户有关，余下漏洞可遭远程未认证攻击者用于实施OS命令注入。
Heinzl 表示，攻击者以提升后的权限在系统启动时执行受影响应用程序，且在默认情况下受影响应用程序可监听所有网络接口上的TCP端口80/443。远程未认证攻击者可利用这些缺陷完全控制该产品以及底层系统。
研究人员注意到，在某些系统和基础设施配置下，攻击者很可能直接从互联网利用这些漏洞。
今年，Heinzl 已在多款工业产品中找到多个安全漏洞，如Delta Electronics和 Fuji Electric等。
https://www.securityweek.com/several-critical-vulnerabilities-found-mypro-hmiscada-product
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~