西門子2018年5月15日發(fā)布安全公告通知客戶，其部分 SIMATIC S7-400 CPU 受嚴(yán)重的拒絕服務(wù)（DoS）漏洞影響，該漏洞編號(hào)為CVE-2018-4850，CVSS（V3.0）評(píng)分7.5分。

SIMATIC S7-400

SIMATIC S7-400 是西門子旗下的可編程邏輯控制器（PLC），專門用于工業(yè)環(huán)境中的過程控制。該產(chǎn)品廣泛應(yīng)用在汽車、機(jī)械設(shè)備制造、建筑設(shè)計(jì)、鋼鐵、發(fā)電配電、化工、倉(cāng)儲(chǔ)、食品和制藥行業(yè)。西門子的PLC產(chǎn)品在我國(guó)也有著廣泛的應(yīng)用。

漏洞原理

漏洞原因在于受影響的 CPU 未正確驗(yàn)證 S7 通信數(shù)據(jù)包，從而允許遠(yuǎn)程攻擊者觸發(fā) DoS 條件，可致系統(tǒng)進(jìn)入并保持 DEFECT 模式，必須手動(dòng)重啟才能恢復(fù)。

攻擊者成功利用該漏洞的前提是能夠?qū)⑻刭|(zhì)的 S7 惡意通信數(shù)據(jù)包發(fā)送至 CPU 的通信接口，包括以太網(wǎng)、PROFIBUS 和多點(diǎn)接口（MPI）。值得注意的是，攻擊者無需用戶交互或獲取特權(quán)就能利用該漏洞。

西門子指出，該漏洞可能會(huì)造成 CPU 的核心功能出現(xiàn)拒絕服務(wù)狀態(tài)，從而影響系統(tǒng)的可用性。截至安全公告發(fā)布之時(shí)，西門子稱未發(fā)現(xiàn)公開已知的利用案例。

影響范圍

受影響的產(chǎn)品及版本為：

SIMATIC S7-400 (incl. F) CPU 硬件版本4.0及以下所有版本；

SIMATIC S7-400 (incl. F) CPU硬件版本5.0：所有5.2版本以下的所有固件版本；

SIMATIC S7-400H CPU硬件版本4.5及以下所有版本。

建議受影響的用戶分別更新到硬件版本5.0、5.2和6.0。西門子表示，受影響的 SIMATIC S7-400 CPU 硬件版本已停產(chǎn)或已被淘汰。西門子建議客戶升級(jí)到新版本或采用其提供的應(yīng)對(duì)舉措。

鑒于 DoS 漏洞會(huì)對(duì)工業(yè)環(huán)境造成嚴(yán)重的風(fēng)險(xiǎn)，建議組織機(jī)構(gòu)盡快更新。

緩解建議

1. SIMATIC S7-400（含F(xiàn)）CPU模塊硬件版本在v4.0及以下版本

更新硬件版本至v5.0或更高版本 https://support.industry.siemens.com/cs/ww/en/view/109483507

2. SIMATIC S7-400（含F(xiàn)）CPU模塊硬件版本低于v5.0或所有固件版本低于v5.2

更新固件版本至v5.2或更高版本 https://support.industry.siemens.com/cs/ww/en/view/109474827

3. SIMATIC S7-400H CPU模塊硬件版本在v4.5及以下版本

更新硬件版本至v6.0或更高版本 https://support.industry.siemens.com/cs/ww/en/view/ 75407031

補(bǔ)充建議

1.避免將控制設(shè)備或操作站暴露在互聯(lián)網(wǎng)中，應(yīng)用隔離設(shè)備確保外界無法從互聯(lián)網(wǎng)直接訪問工業(yè)設(shè)備。

2.遠(yuǎn)程設(shè)備與控制系統(tǒng)間部署工業(yè)網(wǎng)閘，并確保工業(yè)控制系統(tǒng)與辦公信息網(wǎng)絡(luò)完全分離。

3.操作站部署主機(jī)防護(hù)系統(tǒng)，避免其成為網(wǎng)絡(luò)攻擊的中轉(zhuǎn)跳板。

4.必須進(jìn)行遠(yuǎn)程訪問時(shí)，請(qǐng)使用安全方法，例如使用虛擬專用網(wǎng)絡(luò)（VPN），并同時(shí)確保VPN自身的安全性。