罗克韦尔自动化工业电能表严重缝隙安全公告
颁布功夫 2019-02-22缝隙编号和级别
CVE编号：：CVE-2019-19615 ，，危险级别：：中危 ，，CVSS分值：：厂商自评6.1 ，，官方未评定
CVE编号：：CVE-2019-19616 ，，危险级别：：严重 ，，CVSS分值：：厂商自评9.8 ，，官方未评定
影响版本
罗克韦尔 Allen-Bradley PowerMonitor 1000所有版本
缝隙概述
PowerMonitor 1000是一种用于工业节制利用的电能计量设备 ，，如放电中心 ，，工业节制面板和电机节制中心�！！�。它可丈量电路中的电压和电流 ，，并通过以太网或串行网络将电源和能源参数传送给FactoryTalk EnergyMetrixTM ，，SCADA系统和可编程节制器等利用�！！�。
CVE-2019-19615 ，，一个跨站剧本缝隙 ，，能够让远程攻击者将肆意代码注入指标用户的Web浏览器以获取对受影响设备的接见权限�！！�。
CVE-2019-19616 ，，一种身份验证绕过 ，，能够允许远程攻击者使用代理来启用通常对拥有Web利用法式治理权限的人员可用的职能�！！�。绕过身份验证后 ，，攻击者能够更改用户设置和设备配置�！！�。
缝隙验证
POC：：
ACSI的Luca Chiou ，，在NCCIC（国度网络安全和通讯集成中心）中发现并汇报这两个缝隙 ，，同时也颁布了针对这两个缝隙的POC
https://www.exploit-db.com/exploits/45928
https://www.exploit-db.com/exploits/45937
修复建议
目前还没有针对这些缺点的可用修复法式�！！�。关注官网网站的更新：：
https://rockwellautomation.custhelp.com/app/answers/detail/a_id/1084790
参考链接
https://ics-cert.us-cert.gov/advisories/ICSA-19-050-04
京公网安备11010802024551号