西门子S7-1200 PLC产品安全漏洞风险通告
发布时间 2019-12-05漏洞编号和级别
CVE编号：CVE-2019-13945，危险级别：中危，CVSS分值：厂商自评：6.8 ，官方未评定
影响版本
S7-1200所有版本
漏洞概述
Siemens S7-1200 CPU中存在安全漏洞。攻击者可利用该漏洞访问其他诊断功能，影响系统的完整性、可用性和保密性。
西门子最近发布了一份安全公告，其中包含针对研究人员在其S7-1200可编程逻辑控制器（PLC）中发现的漏洞的变通办法和缓解措施，该漏洞可用于绕过固件完整性检查以加载恶意软件或劫持设备的工业流程。西门子表示：“我们正在审查我们的产品模型，并将在SSA-686531上发布更新，以防其他模型受到影响。研究人员还发现，可编程逻辑控制器（PLC）中的特殊访问功能也可以很好地用作：作为防御者的取证工具。他们利用该功能查看PLC存储器的内容，因此工厂操作员也可以使用它来查找设备上的恶意代码。
漏洞验证
暂无POC/EXP。
修复建议
目前厂商暂未发布修复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决办法：https://www.siemens.com；
S7-122 CPU的用户可以采用这些变通办法和缓解措施来降低风险：
1.确保物理访问保护；
2.应用深度防御。
参考链接
https://www.darkreading.com/vulnerabilities---threats/siemens-offers-workarounds-for-newly-found-plc-vulnerability/d/d-id/1336503
京公网安备11010802024551号