CVE-2020-6994| 赫斯曼HiOS和HiSecOS产品安全漏洞通告
发布时间 2020-04-010x00 漏洞概述
|
CVE ID |
CVE-2020-6994 |
时 间 |
2020-04-01 |
|
类 型 |
缓冲区溢出 |
等 级 |
严重 |
|
远程利用 |
是 |
影响范围 |
HiOS <= 07.0.02 影响产品：RSP，RSPE，RSPS，RSPL，MSP，EES， EESX，GRS，OS，RED交换机； HiSecOS0 <= 3.2.00 影响产品：EAGLE 20/30防火墙 |
x01 漏洞详情
德国赫斯曼自动化和控制公司创立于1924年，业务分布在自动化通讯领域，产品范围包括采用模拟和数字广播电视传输技术的移动发射和接收系统，企业和工业网络解决方案以及现场总线系统。赫斯曼在2007年被美国百通（Belden）公司收购。赫斯曼HiOS和HiSecOS都是百通推出的安全操作系统。
HiOS和HiSecOS的HTTP(S)web server中存在一个缓冲区溢出漏洞。该漏洞源于对URL参数的解析不当引起的。攻击者可以借助特制的HTTP请求入侵目标设备，造成内部缓冲区溢出。
0x02 处置建议
目前厂商已修复该漏洞，建议HiOS用户尽快更新至07.0.03或更高版本，HiSecOS用户更新至03.3.00或更高版本。
临时措施可使用“IP访问限制”功能，限制HTTP和HTTPS对可信IP地址的访问，或者禁用HTTP和HTTPS服务器。
https://www.belden.com/hubfs/support/security/bulletins/Belden_Security_Bulletin_BSECV-2020-01_1v2_FINAL.pdf?hsLang=en
0x04 参考链接
https://www.us-cert.gov/ics/advisories/icsa-20-091-01
0x05 时间线
2020-02-14 公布漏洞
2020-02-26 推出解决方案
2020-03-24 获得CVE编号
京公网安备11010802024551号