CODESYS ICS自动化软件中发现的关键安全缺陷

中国网络安全公司NSFOCUS表示：“这些漏洞很容易被利用，可以成功地被利用，造成敏感信息泄露、PLC进入严重故障状态以及任意代码执行等后果。”。“结合现场的工业场景，这些漏洞可能会使工业生产陷入停滞、设备损坏等。”

CODESYS是自动化专家使用的软件套件，用作可编程逻辑控制器应用程序（PLC）的开发环境。

在2021 9月至2022年1月之间进行了负责任的披露之后，这家德国软件公司上周于2022年6月23日发布了修复程序。其中两个错误被评为严重错误，七个错误被评为严重错误，两个错误被评为严重错误。这些问题共同影响以下产品-

• 版本V2.3.9.69之前的CODESYS开发系统
• 版本V2.3.9.38之前的CODESYS网关客户端
• 版本V2.3.9.38之前的CODESYS网关服务器
• 版本V1.1.9.23之前的CODESYS Web服务器
• 版本V2.3.7.30之前的CODESYS SP Realtime NT
• 版本V2.4.7.57之前的CODESYS PLCWinNT，以及
• CODESYS Runtime Toolkit V2.4.7.57之前的32位完整版

其中最主要的缺陷是CVE-2022-31805和CVE-2022-31806（CVSS分数：9.8），这与在PLC上执行操作之前明文使用用于身份验证的密码以及在CODESYS Control runtime系统中分别默认启用密码保护失败有关。

利用这些弱点不仅可以让恶意参与者获取目标PLC设备的控制权，还可以将恶意项目下载到PLC并执行任意代码。

大多数其他漏洞（从CVE-2022-32136到CVE-2022-32142）可能会被控制器上先前经过身份验证的攻击者进行武器化，从而导致拒绝服务情况。

在6月23日发布的另一份咨询中，CODESYS表示，它还修复了CODESYS网关服务器（CVE-2022-31802、CVE-2022-31803和CVE-2022-31804）中的其他三个漏洞，这些漏洞可用于发送精心编制的请求以绕过身份验证并使服务器崩溃。

除了及时应用补丁之外，建议“在安全保护设备后面定位受影响的产品，并执行网络安全的深度防御策略。”