Phoenix Contact怎樣修復(fù)TC Router和TC Cloud Client設(shè)備中的漏洞

這期內(nèi)容當(dāng)中小編將會給大家?guī)碛嘘P(guān)Phoenix Contact怎樣修復(fù)TC Router和TC Cloud Client設(shè)備中的漏洞，文章內(nèi)容豐富且以專業(yè)的角度為大家分析和敘述，閱讀完這篇文章希望大家可以有所收獲。

德國Phoenix Contact，是一家電氣連接和電子接口領(lǐng)域、工業(yè)自動化領(lǐng)域的廠商，主要產(chǎn)品包括HMI和工控機、工業(yè)通信技術(shù)、PLC和I/O系統(tǒng)、工業(yè)云計算、保護性設(shè)備、控制器系統(tǒng)布線、電子開關(guān)裝置和馬達控制器等，業(yè)務(wù)觸及電力、電子、通訊、機械、石油、化工、工業(yè)自動化行業(yè)等多個領(lǐng)域。該公司經(jīng)營德國以外的7個生產(chǎn)基地，有近50家銷售分公司和超過30個地方機構(gòu)。

Phoenix Contact 近日發(fā)布一則安全公告，提醒用戶注意該公司生產(chǎn)的TC Router和TC Cloud Client設(shè)備中的漏洞。

根據(jù)官網(wǎng)的介紹，Phoenix Contact TC Router是一款工業(yè)4G LTE移動路由器，該路由器可借助蜂窩網(wǎng)絡(luò)將PLC、HMI、監(jiān)控攝像頭等以太網(wǎng)設(shè)備連接到SCADA服務(wù)器，通常用于電力、石油和天然氣、水務(wù)和廢水處理、農(nóng)業(yè)等行業(yè)。

TC Cloud Client設(shè)備是用于蜂窩網(wǎng)絡(luò)的工業(yè)VPN網(wǎng)關(guān)，通過云連接計算機和遠(yuǎn)程設(shè)備，常用于機器制造行業(yè)。

Phoenix Contact TC Router和TC Cloud Client固件受到3個漏洞的影響，包括1個超危漏洞和2個高危漏洞。

該超危漏洞編號為CVE-2020-9435，CVSS評分為9.1。該漏洞源于設(shè)備包含了一個硬編碼的證書，該證書可被用于運行web服務(wù)。Phoenix Contact在公告中表示，在安裝過程中，如果沒有用設(shè)備特定的證書代替該通用證書，就有可能發(fā)生冒充攻擊，中間人攻擊或被動式解密攻擊。攻擊者可通過前述攻擊利用該漏洞獲取對敏感信息的訪問權(quán)限，例如管理員憑據(jù)、配置參數(shù)或狀態(tài)信息，并在進一步的攻擊中利用這些信息。

Phoenix Contact表示，要緩解漏洞造成的影響，在初始安裝過程中，用戶應(yīng)采用單獨的證書替換預(yù)安裝的通用X.509證書；Phoenix Contact同時表示，為了避免手動生成證書，將來的設(shè)備會配備單獨的證書。

此外，Phoenix Contact TC Router和TC Cloud Client固件還受到兩個高危漏洞（CVE-2017-16544和CVE-2020-9436）的影響。

CVE-2017-16544是2017年發(fā)現(xiàn)的一個高危漏洞，該漏洞影響B(tài)usyBox1.27.2及之前的版本。BusyBox是一套包含多個Linux命令和工具的應(yīng)用程序。Phoenix Contact TC Router和TC Cloud Client之所以受到該漏洞的影響，是由于在BusyBox 1.27.2及之前的版本中，該shell的選項卡自動填充功能（該功能用于獲取目錄中的文件名稱列表）未能過濾文件名稱，造成在終端執(zhí)行任意轉(zhuǎn)義序列。攻擊者可利用該漏洞執(zhí)行代碼，寫入任意文件或發(fā)動其他攻擊。但是由于必須具有管理員權(quán)限才能訪問shell，因而該漏洞對設(shè)備的影響有限。

CVE-2020-9436是個命令注入漏洞，攻擊者可通過向web接口上的CGI程序發(fā)送一個POST請求觸發(fā)該漏洞，從而注入系統(tǒng)命令，入侵設(shè)備的操作系統(tǒng)。

多款Phoenix Contact TC Router和TC Cloud Client都受到了漏洞影響，如下表。

Phoenix Contact已在最新版本的固件中修復(fù)了漏洞，建議用戶盡快將受影響的設(shè)備更新至最新版本。

上述就是小編為大家分享的Phoenix Contact怎樣修復(fù)TC Router和TC Cloud Client設(shè)備中的漏洞了，如果剛好有類似的疑惑，不妨參照上述分析進行理解。如果想知道更多相關(guān)知識，歡迎關(guān)注億速云行業(yè)資訊頻道。