Siemens SICAM RTUs SM-2556 COM Modules漏洞
2017-11-15
综述
当地时间11月14日，Siemens公开了一个SICAM RTUs SM-2556 COM Modules的漏洞，通过该漏洞，攻击者可以在未授权的情况下远程执行任意代码。该漏洞源于SM-2556通信模块，这个模块是用于LAN / WAN通信的协议元件，具有快速以太网接口，可连接到SICAM 1703和SICAM RTU变电站控制器。
相关链接：
https://www.siemens.com/cert/pool/cert/siemens_security_advisory_ssa-164516.pdf
受影响的版本
SICAM RTUs SM-2556 COM Modules固件版本为ENOS00 ERAC00 ETA2 ETLS00 MODi00 DNPi00: All versions
漏洞详情
CVE-2017-12737
受影响设备的集成web服务器（端口80 / tcp）可能允许未经身份验证的远程攻击者通过网络获取敏感设备信息。
CVSS v3.0评分：5.3
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N/E:P/RL:T/RC:C
CVE-2017-12738
如果不知情的用户被欺骗点击恶意链接， 受影响设备的集成Web服务器（端口80 / tcp）可能允许跨站点脚本（XSS）攻击。
CVSS v3.0评分：6.1
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N/E:P/RL:T/RC:C
CVE-2017-12739
受影响设备的集成Web服务器（端口80 / tcp）可能允许未经身份验证的远程攻击者在受影响的设备上执行任意代码。
CVSS v3.0评分：9.8
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:T/RC:C
注：
攻击者必须能够访问受影响的设备，并且必须启用Web服务器。 对于漏洞CVE-2017-12738，攻击者必须诱骗合法用户点击恶意链接才能利用该漏洞。
解决方案
由于该Web服务器仅用于诊断，不需要正常操作。Siemens官方建议在调试后禁用该Web服务器。
另外，对于正在使用已停产的ETA2（IEC 60870-5-104），MODi00（Modbus / TCP从站）或DNPi00（DNP3 / TCP从站）固件的客户，Siemens还建议客户升级到ETA4（IEC 60870-5-104），SM-2558 COM模块（SM-2556模块的后继器）上的MBSiA0（Modbus / TCP从站）或DNPiA1（DNP3 / TCP从站）固件。
作为一般安全措施，Siemens强烈建议使用适当的机制保护网络对设备的访问。 建议根据Siemens安全变电站概念配置环境，以便在受保护的IT环境中运行设备。
参考链接：
The SM-2558 communication module: http://w3.siemens.com/smartgrid/global/en/products-systems-solutions/substationautomation/substation-automation/Pages/sicam-ak-3.aspx
Recommended security guidelines to Secure Substation: https://www.siemens.com/gridsecurity(go to “Cyber Security General Downloads” then open subsection “Manuals”)
声 明
本安全公告仅用来描述可能存在的安全问题，海王捕鱼不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，海王捕鱼以及安全公告作者不为此承担任何责任。海王捕鱼拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经海王捕鱼允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
