[三菱] 罗克韦尔、三菱等工控巨头PLC等产品被曝严重漏洞

近期，美国网络安全和基础设施安全局（CISA）发布了一系列关于工业控制系统（ICS）安全的新公告，揭示了包括罗克韦尔自动化、三菱电机在内的多家工控巨头产品中存在的严重漏洞。这些漏洞若被恶意利用，将对全球制造业的安全运行构成重大威胁。CISA紧急敦促相关制造公司采取必要的缓解措施，以降低潜在风险。

罗克韦尔自动化系统漏洞详解

FactoryTalk ThinManager漏洞

CISA在公告中特别指出了影响罗克韦尔自动化FactoryTalk ThinManager的两个关键漏洞：CVE-2024-10386和CVE-2024-10387。前者因缺少关键功能的身份验证，可能导致攻击者向设备发送恶意消息，进而操纵数据库或引发拒绝服务（DoS）情况；后者则涉及越界读取漏洞，同样具有远程利用的可能性，且攻击复杂性较低。这两个漏洞的CVSS评分分别为9.3和8.7，显示出极高的安全风险。

RSLogix 5和RSLogix 500漏洞

此外，CISA还针对罗克韦尔自动化的RSLogix 5和RSLogix 500软件发布了安全建议。由于数据真实性验证不足，这些软件存在允许远程代码执行的重大漏洞（CWE-345）。攻击者可通过在项目文件中嵌入VBA脚本来执行恶意代码，该漏洞编号为CVE-2024-7847，CVSS v3.1评分为7.7，v4评分为8.8，表明其具有较高的利用风险。

三菱电机系统漏洞概览

FA工程软件产品漏洞

三菱电机的FA工程软件产品同样面临严峻的安全挑战。其中，CVE-2023-6943漏洞的CVSS评分高达9.8，允许攻击者在连接到产品时通过远程调用具有恶意库路径的函数来执行恶意代码，可能导致信息泄露、篡改、销毁或DoS情况。

MELSEC iQ-R系列/iQ-F系列漏洞

三菱电机的MELSEC iQ-R系列/iQ-F系列也发现了身份验证绕过漏洞（CVE-2023-2060），CVSS评分为8.7。该漏洞源于EtherNet/IP模块上FTP功能的弱密码要求，允许未经身份验证的远程攻击者通过字典攻击或密码嗅探访问该模块，进而对系统构成威胁。

其他工控巨头漏洞汇总

IDEC PLC漏洞

IDEC PLC产品存在敏感信息明文传输（CWE-319）和可预测数字或标识符生成（CWE-340）的漏洞，可能使攻击者拦截用户身份验证详细信息或破坏通信。相关CVE为CVE-2024-41927和CVE-2024-28957，CVSS v3.1评分分别为4.6和5.3。

IDEC WindLDR和WindO/I-NV4漏洞

IDEC的WindLDR和WindO/I-NV4软件则受到敏感信息明文存储漏洞（CWE-312）的影响，可能允许未经授权访问用户身份验证数据。该漏洞编号为CVE-2024-41716，CVSS v3.1评分为5.9。

MegaSys Telenium在线Web应用程序漏洞

由于输入验证不当，MegaSys的Telenium在线Web应用程序被发现存在允许远程代码执行的漏洞（CWE-20）。攻击者可通过精心设计的HTTP请求注入任意Perl代码，该漏洞被标识为CVE-2024-6404，CVSS v3.1评分高达9.8，v4评分为9.3。

Kastle Systems门禁系统漏洞

Kastle Systems的访问控制系统受到使用硬编码凭证（CWE-798）和明文存储敏感信息（CWE-312）两个漏洞的影响，可能允许未经授权访问敏感数据。它们的编号为CVE-2024-45861和CVE-2024-45862，CVSS v3.1评分均为8.6，v4评分均高于9。

Treck TCP/IP堆栈漏洞

Treck TCP/IP堆栈也面临多重威胁，包括长度参数不一致的不当处理（CWE-130）、不当的输入验证（CWE-20）以及双重释放（CWE-415）和越界读取（CWE-125）等漏洞。这些漏洞可能导致远程代码执行或敏感信息泄露，多个漏洞的CVSS v3评分最高为10.0，表明存在极其严重的风险。

CISA缓解建议与行动呼吁

针对上述漏洞，CISA提供了详细的技术指导，并敦促用户和管理员采取以下措施以降低风险：

• 最大限度地减少控制系统设备和/或系统的网络暴露，确保它们无法从互联网访问。

• 将控制系统网络和远程设备定位在防火墙后面，并与业务网络隔离。

• 当需要远程访问时，使用更安全的方法，如虚拟专用网络（VPN），并确保VPN已更新到最新版本，以防范潜在漏洞。

• 定期审查并更新ICS系统的安全补丁和配置，以修复已知漏洞。

• 加强员工安全意识培训，提高识别和应对网络攻击的能力。

• 
  

CISA强调，实施推荐的安全实践对于保护ICS资产免受潜在网络威胁至关重要。面对日益复杂的网络攻击环境，各工控巨头及用户需保持高度警惕，共同构建更加安全可靠的工控系统生态。