E安全2月7日讯 基于Web的SCADA系统霍尼韦尔Honeywell XL Web Ii控制器受到多项安全漏洞之影响，这些漏洞可被远程利用以显示明文密码。
由霍尼韦尔设计的一套高人气Web SCADA系统受到多项安全漏洞影响，这些漏洞可被远程利用以显示明文密码。
为了以明文形式访问这些密码，攻击者只需要访问一条特定URL即可触发其中一项漏洞。
这些安全漏洞影响到Honeywell XL Web II控制器的多个版本——此系统被广泛应用于各个行业的关键性基础设施当中，具体包括能源、污水处理以及制造行业等。
根据ISC-CERT给出的安全咨询意见，大部分受到影响的产品位于欧洲与中东地区。
美国国土安全部辖下的工业控制系统网络应急响应小组（简称ICS-CERT）已经发布安全咨询意见，旨在对这些安全漏洞加以警示。
这份安全咨询意见指出，“独立研究员Maxim Rupp已经发现Honeywell XL Web Ii控制器应用中存在的安全漏洞。攻击者可以利用这些安全漏洞通过访问特定URL以明文形式显示密码内容。该XL Web II控制器应用将成为其所在网络的入侵突破口。”
ICS-CERT发布ICSA-17-033-01 Honeywell XL Web II控制器安全漏洞咨询意见，发布地址为ICS-CERT网站 https://t.co/2MP0SrajwQ
— ICS-CERT (@ICSCERT) 2017年2月2日
#Honeywell XL1000C500 XLWebExe-2-01-00与更早版本，外加XLWeb 500 XLWebExe-1-02-08与更早版本。
— Maxim Rupp (@mmrupp) 2017年1月6日
受影响的版本
XL1000C500 XLWebExe-2-01-00 及之前版本
XLWeb 500 XLWebExe-1-02-08 及之前版本
Honeywell公司已经发布了一套最新版本（3.04.05.05版本）以解决这些安全漏洞，要获得对应安全更新，客户必须联系其所在地的Honeywell公司分支部门。
攻击者亦能够利用Honeywell XL Web II控制器中的其它漏洞，具体包括访问特定URL以执行路径遍历攻击、访问特定URL以开启及修改某些参数或者建立新的用户会话等。
研究人员Maxim Rupp所发现的各项安全漏洞如下所示。
安全漏洞简介
路径遍历
未经认证的用户可通过访问特定URL实现目录遍历攻击。CVSS v3给出的威胁指数为8.6分。
这一路径遍历漏洞源自缺乏对用户所提交之输入内容进行适当清理。该路径遍历技术允许恶意用户访问驻留在主机系统之上的Web文件根目录之外的文件。
这项安全漏洞允许恶意用户窃取来自目标主机的敏感信息，并利用这些信息进一步对该主机进行攻击，包括获取配置文件等。
用户无需获取授权即可对受影响文件进行访问。
不当权限管理
低权限用户可通过访问特定URL以开启及修改某些参数。CVSS v3给出的威胁指数为9.1分。
归属于“访客”组或者未经授权的低权限用户应被设备上的安全机制拒绝访问多种重要功能。
然而，研究发现虽然该应用程序确实能够适当限制低访问权限用户对资源的访问活动，但这类用户仍可通过访问特定URL以接入此类功能。通过这种方式，恶意用户将能够有效使用这些功能。
以下条目之功能会受到此控制安全漏洞的影响：
General trend changes Trend Records Filter Plants Control Loops Tend records
对此项漏洞的成功利用可能允许恶意用户获取服务器端之敏感内部信息。
不当凭证保护 (CVE-2017-5140) （CNNVD-201702-126）与密码明文存储 (CVE-2017-5139)（CNNVD-201702-127）
任何用户皆可通过访问特定URL公开密码内容。CVSS v3给出的有威胁指数为9.8分。
密码以明文形式存储。CVSS v3给出的威胁指数为9.8分。
研究发现该应用程序将多条用于访问部分系统功能的密码存储在JavaScript文件当中，以便在客户端进行早期验证。在这种情况下，应用程序亦会以明文形式存储这些凭证。这一密码存储技术可能允许恶意用户提取密码内容。
用户能够访问这些负责检查密码的特定JS文件，而无需建立有效的应用会话。
在此示例中，该系统包含有当前Modem Settings的密码内容。
Javascript代码:
[SNIP] if ("remad-1234" != sOldPassword) { alert ("Wrong Password. Please try again!"); return; } [SNIP]
因此，恶意用户完全有可能无需登录而从该应用程序的系统设置中发现实际密码内容。
应对与解决方案
Honeywell公司已经发布了3.04.05.05版本以修复存在于XL Web II控制器内的安全漏洞。用户可与所在地的Honeywell公司分支部门取得联系以更新至最新版本（目前固件版本为XLWeb2_vUBC_4-00-00-14）。
控制器固件:
CARE 编程工具:
E安全注：本文系E安全独家编译报道，转载请联系授权，并保留出处与链接，不得删减内容。联系方式：① 微信号zhu-geliang ②邮箱eapp@easyaq.com0day
文章评论