施耐德电气修复自动化构建软件中的 16 个缺陷

翻译：360代码卫士团队

上周，施耐德电气公司通知客户称已在 U.motion Builder 软件的最新版本中修复了16个漏洞，其中包含严重和高危漏洞。

U.motion 是一款自动化构建解决方案，用于全球商业设施、关键制造业和能源行业。U.motion Builder 工具能让用户为自己的 U.motion 设备创建项目。

安全研究人员发现这款 Builder 软件受16个漏洞的影响，其中包括路径遍历和其它可导致信息泄露的漏洞以及通过 SQL 注入实施远程代码执行的漏洞。

多数安全漏洞的危害程度被评为“中危”，不过其中一些漏洞的 CVSS 评分更高因此危害程度更高。

最严重的一个漏洞的 CVSS 评分为满分10分，它实际上影响的是 Samba 软件套件。该漏洞可导致远程代码执行，而且由于它和“想哭”攻击存在诸多相似之处，因此行内一些人将其称之为 “SambaCry”。该漏洞的编号是 CVE-2017-7494，影响多家主要供应商的设备，如思科、网件、QNAP、Synology、Veritas、Sophos 和 F5 Networks。

另外一个严重漏洞的编号是 CVE-2018-7777，它能导致经验证的攻击者通过向目标服务器发送特别构造的请求而远程执行任意命令。此外，一个 SQL 注入漏洞 CVE-2018-7765也被评为高危漏洞。

多数漏洞由研究员 Andrea Micalizzi （“rgod”）告知施耐德电气公司，另外一个是由 Constantin-Cosmin Craciun 告知该公司的。

这些问题影响施耐德电气于2月初发布的 U.motion Builder 1.3.4 之前的版本。除了提供补丁外，该公司还分享了一些缓解潜在攻击的建议。

这并非 Micalizzi 首次在 U.motion Builder 中发现漏洞问题。去年，ICS-CERT 报告称该研究员从这款软件中发现了6种类型的缺陷。2017年6月末，这些问题在施耐德电气尚未发布补丁之前被公开，因为实际上早在一年多前施耐德电气就已经通过趋势科技的 ZDI 计划获悉了这些漏洞的存在。

原文链接

本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。