西門子SIMATIC S7-400 PLC現(xiàn)嚴重的DoS漏洞

西門子2018年5月15日發(fā)布安全公告通知客戶，其部分 SIMATIC S7-400 CPU 受嚴重的拒絕服務(wù)（DoS）漏洞影響，該漏洞編號為CVE-2018-4850，CVSS（V3.0）評分7.5分。

SIMATIC S7-400

SIMATIC S7-400 是西門子旗下的可編程邏輯控制器（PLC），專門用于工業(yè)環(huán)境中的過程控制。該產(chǎn)品廣泛應(yīng)用在汽車、機械設(shè)備制造、建筑設(shè)計、鋼鐵、發(fā)電配電、化工、倉儲、食品和制藥行業(yè)。西門子的PLC產(chǎn)品在我國也有著廣泛的應(yīng)用。

漏洞原理

漏洞原因在于受影響的 CPU 未正確驗證 S7 通信數(shù)據(jù)包，從而允許遠程攻擊者觸發(fā) DoS 條件，可致系統(tǒng)進入并保持 DEFECT 模式，必須手動重啟才能恢復(fù)。

攻擊者成功利用該漏洞的前提是能夠?qū)⑻刭|(zhì)的 S7 惡意通信數(shù)據(jù)包發(fā)送至 CPU 的通信接口，包括以太網(wǎng)、PROFIBUS 和多點接口（MPI）。值得注意的是，攻擊者無需用戶交互或獲取特權(quán)就能利用該漏洞。

西門子指出，該漏洞可能會造成 CPU 的核心功能出現(xiàn)拒絕服務(wù)狀態(tài)，從而影響系統(tǒng)的可用性。截至安全公告發(fā)布之時，西門子稱未發(fā)現(xiàn)公開已知的利用案例。

影響范圍

受影響的產(chǎn)品及版本為：

SIMATIC S7-400 (incl. F) CPU 硬件版本4.0及以下所有版本；

SIMATIC S7-400 (incl. F) CPU硬件版本5.0：所有5.2版本以下的所有固件版本；

SIMATIC S7-400H CPU硬件版本4.5及以下所有版本。

建議受影響的用戶分別更新到硬件版本5.0、5.2和6.0。西門子表示，受影響的 SIMATIC S7-400 CPU 硬件版本已停產(chǎn)或已被淘汰。西門子建議客戶升級到新版本或采用其提供的應(yīng)對舉措。

鑒于 DoS 漏洞會對工業(yè)環(huán)境造成嚴重的風險，建議組織機構(gòu)盡快更新。

緩解建議

1. SIMATIC S7-400（含F(xiàn)）CPU模塊硬件版本在v4.0及以下版本

更新硬件版本至v5.0或更高版本 https://support.industry.siemens.com/cs/ww/en/view/109483507

2. SIMATIC S7-400（含F(xiàn)）CPU模塊硬件版本低于v5.0或所有固件版本低于v5.2

更新固件版本至v5.2或更高版本 https://support.industry.siemens.com/cs/ww/en/view/109474827

3. SIMATIC S7-400H CPU模塊硬件版本在v4.5及以下版本

更新硬件版本至v6.0或更高版本 https://support.industry.siemens.com/cs/ww/en/view/ 75407031

補充建議

1.避免將控制設(shè)備或操作站暴露在互聯(lián)網(wǎng)中，應(yīng)用隔離設(shè)備確保外界無法從互聯(lián)網(wǎng)直接訪問工業(yè)設(shè)備。

2.遠程設(shè)備與控制系統(tǒng)間部署工業(yè)網(wǎng)閘，并確保工業(yè)控制系統(tǒng)與辦公信息網(wǎng)絡(luò)完全分離。

3.操作站部署主機防護系統(tǒng)，避免其成為網(wǎng)絡(luò)攻擊的中轉(zhuǎn)跳板。

4.必須進行遠程訪問時，請使用安全方法，例如使用虛擬專用網(wǎng)絡(luò)（VPN），并同時確保VPN自身的安全性。