聚焦源代码安全，网罗国内外最新资讯！
翻译：360代码卫士团队
周二，西门子通知消费者称，其 SICLOCK 中央工厂时钟受多个漏洞影响，其中一些被评级为“严重”漏洞。
西门子 SICLOCK 设备用于同步化工业工厂的时间。中央工厂时钟确保在主时间源出现接收故障或丢失时的稳定性。
西门子指出，SICLOCK 系统共受六个漏洞的影响。这些漏洞的 CVE 编号是 CVE-2018-4851 和 CVE-2018-4856。
高危严重漏洞
三个漏洞被评为严重漏洞，其中一个可导致能访问网络的攻击者通过发送特别构造的数据包引发目标设备达到拒绝服务条件甚至可能是处于重启状态。
西门子在安全公告中指出，“设备的核心功能可能受影响。当与 GPS 设备或其它 NTP 服务器的时间同步完成时，时间服务功能恢复。该漏洞可能影响设备的可用性并可能影响设备的时间服务功能的完整性。”
拥有访问 UDP端口69 权限的攻击者可利用另外一个严重漏洞修改 SICLOCK 目标设备上的固件。要利用另外一个严重缺陷也要求访问这个端口，从而修改存储在设备上的管理员客户端并执行任意代码。
西门子还披露了一个高危缺陷，它可导致网络攻击者绕过认证，不过利用该漏洞要求黑客获取关于目标设备的具体信息。
中低危漏洞
其余漏洞是一个中危和低危漏洞。中危漏洞导致中间人攻击者能够拦截存储在客户端配置文件中的未加密密码；利用低危漏洞导致对管理界面拥有管理员访问权限的攻击者锁定合法用户。
在这六个漏洞中，四个漏洞在无需用户交互的情况下即可遭利用。西门子表示尚未发现漏洞被用于恶意目的的实例。
无补丁推出计划
受影响的产品包括为小规模工厂设计的 SICLOCK TC100和 SICLOCK TC400。由于这两款产品都在淘汰进程中，因此西门子并未发布任何固件更新，而是建议客户应用一系列应变措施和缓解措施来减轻攻击风险。
这些缓解措施包括安装冗余时间源以及检查工厂中关键控制器的合理性，以及保护对受影响设备的网络访问权限。
关联阅读
原文链接
https://www.securityweek.com/flaws-expose-siemens-central-plant-clocks-attacks
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。