亚控科技的KingSCADA多个漏洞

======================================================================

原文地址：http://ics-cert.us-cert.gov/advisories/ICSA-13-344-01

译文地址：http://www.ics-cert.com.cn/?p=161

译文地址：http://blog.csdn.net/icscert/article/details/18802827

译文作者：ICS-CERT

======================================================================

 

概述

本公告，最初于2013年12月10日被投递到US-CERT安全库中，现将其发布在NCCIC/ICS-CERT的网站上。

NCCIC/ICS-CERT收到了一个0day的漏洞报告，关于远程代码执行漏洞，这一漏洞存在于亚控科技的KingSCADA、KingAlarm&Event和KingGraphic产品中。这些漏洞被安全研究者Micalizzi报告给ZDI，亚控提供了新版本的程序来修补这些漏洞。这些漏洞可以被远程利用。

影响产品

亚控科技的报告中说，如下产品会受到漏洞的影响。

• KingSCADA 3.1及所有之前的版本,
• KingAlarm&Event 2.0.2及所有之前的版本
• KingGraphic 3.1及所有之前的版本

影响范围

远程的攻击者可以利用这些漏洞来获取登录数据库的合法用户权限，或者在目标进程的上下文环境中，远程的执行代码。

对于每个组织机构的影响取决于每个组织特有的多方面因素。NCCIC/ICS-CERT建议各组织机构基于自身的操作环境、架构和产品情况来评估这些漏洞产生的影响。

背景

亚控科技是一家专门从事自动化控制领域的软件开发公司。总部位于中国北京，分支机构遍布美国、日本、新加坡、欧洲和台湾。

亚控科技的网站上对于KingSCADA的描述为基于Windows的控制、监控和数据采集软件，应用于多个行业，包括电力、供水、楼宇自动化、采矿及其他部门。

漏洞特征

漏洞概述

信息泄露漏洞a

服务的验证通过KAEClientManager控制台程序本地执行，不能够远程执行。对于专有协议了解的远程攻击者可以通过发送特制的数据包到8130/TCP来获取证书。

这一漏洞被定义为CVE-2013-2826b. CVSS v2 分数为7.5; CVSS向量字符串为(AV:N/AC:L/Au:N/C:P/I:P/A:P).c

ACTIVEX远程代码执行漏洞d

通过特定的设置ProjectURL属性，可以使得攻击者从远程下载任意的dll文件，并在目标进程的上下文环境中运行dll代码。

这一漏洞被定义为CVE-2013-2827e .CVSS v2 分数为7.5; CVSS向量字符串为(AV:N/AC:L/Au:N/C:P/I:P/A:P).f

漏洞详细信息

可利用性

这些漏洞可以被远程利用。

Exp代码

目前还没有发现针对这些漏洞的Exp代码。

难度

低技术水平的攻击者就可以对这些漏洞进行利用。

解决办法

亚控科技已经发布了KingSCADA 3.5来修补这些漏洞。 他们提供了如下链接

• KingSCADA: http://www.kingview.com/en/downloads/Downloads/1312/KingSCADA3.1.2_EN.zip
• KingGraphic: http://www.kingview.com/en/downloads/Downloads/1312/KingGraphic3.1.2_EN.zip
• KingAlarm&Event: http://www.kingview.com/en/downloads/Downloads/1312/KingAlarm&Event3.1_EN.zip

NCCIC/ICS-CERT鼓励所有者采取额外的措施来保护这些风险及其他的安全风险。

• 尽可能的少暴露控制系统设备或系统自身的网络，并确保他们不被互联网访问。
• 在本地控制系统网络和远程设备之间部署防火墙，并将控制网络与企业网络隔离。
• 如果需要远程访问，采用安全的方法，例如VPN，VPN被认为是唯一安全的访问方式。

NCCIC/ICS-CERT当然还提供了针对工业控制信息安全方面的建议在此路径下：

http://ics-cert.us-cert.gov/content/recommended-practices.

很多建议是可以读的，并且可以下载，包括《采用纵深防御策略来提高工业控制系统信息安全》。 NCCIC/ICS-CERT 建议各部门进行在部署安全防御时，先适当的进行安全分析和风险评估。

其他相关的解决方案指导和建议发布在了NCCIC/ICS-CERT的技术信息文章上，ICS-TIP-12-146-01Bg，该文章可以在NCCIC/ICS-CERT的网站上下载。

各组织机构如果发现了一些有恶意嫌疑的程序，可以将其报告给NCCIC/ICS-CERT来跟踪和对应这些意外。

• a.CWE-538: File and Directory Information Exposure, http://cwe.mitre.org/data/definitions/538.html, Web site last accessed January 14, 2014.
• b.NVD, http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2826, NIST uses this advisory to create the CVE Web site report. This Web site will be active sometime after publication of this advisory.
• c.CVSS Calculator, http://nvd.nist.gov/cvss.cfm?version=2&vector=AV:N/AC:L/Au:N/C:P/I:P/A:P, Web site last accessed January 14, 2014.
• d.CWE-749: Exposed Dangerous Method or Function, http://cwe.mitre.org/data/definitions/749.html, Web site last accessed January 14, 2014.
• e.NVD, http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2827, NIST uses this advisory to create the CVE Web site report. This Web site will be active sometime after publication of this advisory.
• f.CVSS Calculator, http://nvd.nist.gov/cvss.cfm?version=2&vector=AV:N/AC:L/Au:N/C:P/I:P/A:P, Web site last accessed January 14, 2014.