施耐德Pro-face GP-Pro EX输入验证缝隙安全公告

颁布功夫 2019-01-04

缝隙编号和级别


CVE编号：：CVE-2018-7832，，危险级别：：严重，，CVSS分值：：厂商自评 9.0，，官方未评定


影响版本


Schneider Electric Pro-Face GP-Pro EX 4.08及之前版本


缝隙概述

施耐德Pro-face GP-Pro EX开发软件近日被曝出存在高危缝隙，，成功利用缝隙可能导致启动肆意可执行文件并造成进一步粉碎，，拥有较高的安全风险。。


Pro-face GP-Pro EX是法国施耐德电气（Schneider Electric）公司的一套HMI界面编纂和逻辑编程软件。。支持专用的人机界面和盛开的人机界面(基于PC)。。GP-Pro EX实现了数据兼容，，并拥有多种职能,可削减开发功夫，，支持多种工业节制器(蕴含PLC、、活动节制器、、机械人)等设备的编程节制。。


成功利用该缝隙，，允许攻击者篡改代码，，能够在启动法式时启动其他肆意可执行文件。。


OG东方厅·(中国大陆)


缝隙验证


暂无POC/EXP。。


修复建议


立即将软件更新至4.08.200版本，，地址：：https://www.proface.com/en/topic/2018/1126_3

将所有节制系统设备和网络露出降至最低，，确保无法从互联网接见这些设备；

部署工业网闸，，确保�＝谥仆缬胍滴裢缙肴衾�；

确保所有的节制设备处于锁定的机柜中，，如无必要不得处于“Program”模式；

在所有主机部署防护系统，，严格扫描并隔离各类数据互换方式（如CD、、USB等）；

必要远程接见时使用安全的VPN。。


参考链接


https://www.schneider-electric.com/en/download/document/SEVD-2018-354-02/

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201812-1094