施耐德Pro-face GP-Pro EX输入验证误差清静通告

宣布时间 2019-01-04

误差编号和级别


CVE编号：CVE-2018-7832，，，，，，，，危险级别：严重，，，，，，，，CVSS分值：厂商自评 9.0，，，，，，，，官方未评定


影响版本


Schneider Electric Pro-Face GP-Pro EX 4.08及之前版本


误差概述

施耐德Pro-face GP-Pro EX开发软件克日被曝出保存高危误差，，，，，，，，乐成使用误差可能导致启动恣意可执行文件并造成进一步破损，，，，，，，，具有较高的清静危害。 。。。。。


Pro-face GP-Pro EX是法国施耐德电气（Schneider Electric）公司的一套HMI界面编辑和逻辑编程软件。 。。。。。支持专用的人机界面和开放的人机界面(基于PC)。 。。。。。GP-Pro EX实现了数据兼容，，，，，，，，并具有多种功效,可镌汰开发时间，，，，，，，，支持多种工业控制器(包括PLC、运动控制器、机械人)等装备的编程控制。 。。。。。


乐成使用该误差，，，，，，，，允许攻击者改动代码，，，，，，，，可以在启动程序时启动其他恣意可执行文件。 。。。。。


凯发·k8(中国游)官方网站


误差验证


暂无POC/EXP。 。。。。。


修复建议


连忙将软件更新至4.08.200版本，，，，，，，，地点：https://www.proface.com/en/topic/2018/1126_3

将所有控制系统装备和网络袒露降至最低，，，，，，，，确保无法从互联网会见这些装备；；；；

安排工业网闸，，，，，，，，确� ？？ ？？刂仆缬胗低缤耆衾耄�；；；

确保所有的控制装备处于锁定的机柜中，，，，，，，，如无须要不得处于“Program”模式；；；；

在所有主机安排防护系统，，，，，，，，严酷扫描并隔离种种数据交流方法（如CD、USB等）；；；；

需要远程会见时使用清静的VPN。 。。。。。


参考链接


https://www.schneider-electric.com/en/download/document/SEVD-2018-354-02/

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201812-1094