施耐德电气Telvent SAGE RTU DNP3不当输入验证漏洞

原文地址：http://ics-cert.us-cert.gov/advisories/ICSA-14-006-01

译文地址：http://www.ics-cert.com.cn/?p=192

译文地址：http://blog.youkuaiyun.com/icscert/article/details/21652139

译文作者：ICS-CERT

 

摘要

本公告最初于2014年1月6日发布在US-CERT的安全门户库上，现在发布到NCCIC/ICS-CERT网站上。Automatak的Adam Crain和独立研究者Chris Sistrunk发现了施耐德电气Telvent SAGE 3030 RTU上的

不当输入验证漏洞。施耐德电气已经发布了一个补丁来修正这一漏洞。

此漏洞可以被远程利用。

影响产品

如下版本的施耐德电气产品将受到影响

·        在2013年12月1日之前的所有版本

·        Telvent SAGE 3030 C3413-500-001D3_P4（从2010年起的固件）

·        Telvent SAGE 3030 C3413-500-001F0_PB（最新固件）

影响范围

成功的利用此漏洞，可以使得攻击者能够破坏Telvent SAGE3030设备基于DNP3协议的主从通信。

对于每个组织机构的影响取决于每个组织特有的多方面因素。NCCIC/ICS-CERT建议各组织机构基于自身的操作环境、架构和产品情况来评估这些漏洞产生的影响。

背景

施耐德电气是一家以欧洲为基础的在世界上190多个国家设有分支机构的公司。

受影响的产品，Telvent SAGE 3030 RTU，是一款工业通信设备，据施耐德电气说，这些产品被部署在多个行业，包括能源领域。施耐德电气估计，这些产品主要应用于美国和北美。

漏洞特征

漏洞概述

不当输入验证a

在Telvent SAGE RTU中的DNP3服务对于某些错误的输入进行了不正确的验证。成功的利用此漏洞能够使通信失效，并且在短期内加重系统负担（类似于拒绝服务攻击）。

这一漏洞被定义为CVE-2013-6143b 。CVSS v2的分数为4.3，CVSS向量字符串为(AV:N/AC:M/Au:N/C:N/I:N/A:P).c

漏洞详细信息

可利用性

本漏洞可以被远程利用

EXP代码

目前还没有发现针对此漏洞的Exp代码被公布出来

难度

具有初级技术水平的攻击者就可以利用此漏洞

解决办法

施耐德电气已经创建了补丁包来修正采用了VX-works 9.9.3版本的OS的C3414 LX-800 RTU中的这一漏洞。用户可以通过联系施耐德电气的客户服务部门（713-920-6832）来获取这一补丁。

更多信息请检索有关施耐德电气发布的安全公告RTUSW 130001，2013年12月30日发布的“施耐德电气Telvent SAGE RTU DNP3 不当输入验证漏洞”。施耐德的客户才能登入此系统。

由于此漏洞采用fuzzing工具发现的，研究人员建议开发者在产品质量控制方面加强随机测试。研究人员也建议通过采用IPS或者支持DNP3协议规则的防火墙来阻止DNP3通信到公司的企业网络中。

 

NCCIC/ICS-CERT鼓励所有者采取额外的措施来保护这些风险及其他的安全风险。

• 尽可能的少暴露控制系统设备或系统自身的网络，并确保他们不被互联网访问。
• 在本地控制系统网络和远程设备之间部署防火墙，并将控制网络与企业网络隔离。
• 如果需要远程访问，采用安全的方法，例如VPN，VPN被认为是唯一安全的访问方式。

 

NCCIC/ICS-CERT当然还提供了针对工业控制信息安全方面的建议在此路径下

http://ics-cert.us-cert.gov/content/recommended-practices.

很多建议是可以读的，并且可以下载，包括《采用纵深防御策略来提高工业控制系统信息安全》。 NCCIC/ICS-CERT 建议各部门进行在部署安全防御时，先适当的进行安全分析和风险评估。

其他相关的解决方案指导和建议发布在了NCCIC/ICS-CERT的技术信息文章上，ICS-TIP-12-146-01Bg，该文章可以在NCCIC/ICS-CERT的网站上下载。

各组织机构如果发现了一些有恶意嫌疑的程序，可以将其报告给NCCIC/ICS-CERT来跟踪和对应这些意外。

参考文档

a.CWE-20:Improper Input Validation, http://cwe.mitre.org/data/definitions/20.html,Web site last accessed January 30, 2014.

b.NVD, http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6143,NIST uses this advisory to create the CVE Web site report. This Web site willbe active sometime after publication of this advisory.

c.CVSSCalculator, http://nvd.nist.gov/cvss.cfm?version=2&vector=AV:N/AC:M/Au:N/C:N/I:N/A:P,Web site last accessed January 30, 2014.