WAGO修复配置导出漏洞威胁工业设备数据泄露

Charlie Osborne
2023年1月18日 15:34 UTC
更新：2023年1月18日 15:52 UTC

漏洞详情

安全研究人员披露了一个可能导致WAGO产品中敏感数据暴露和凭证窃取的漏洞。总部位于德国并在全球设有办事处的WAGO为工业系统、云和边缘工程创建网络解决方案。产品包括PLC控制器、触摸面板、传感器和工业交换机。

1月16日，ONEKEY的研究人员发布了一份安全公告，探讨了影响一系列WAGO解决方案的两个问题。虽然WAGO Series PFC100配置API中的命令注入漏洞检测结果是误报，但同时也标记了一个路径遍历漏洞——这指向了一个可疑的PHP文件和单独的安全缺陷。

根据研究人员的说法，攻击者可以通过使用模拟设备利用系统中的未认证配置导出漏洞。该漏洞被追踪为CVE-2022-3738，被描述为WAGO Web管理界面文件download.php中的PHP错误，因为某些行使用多行注释进行了注释。

“这有效地禁用了本应在这些行上执行的身份验证和授权检查，“团队表示。“成功的利用可能允许攻击者下载运行中的固件副本或VPN配置。”

ONEKEY的CTO兼创始人Florian Lukavsky告诉The Daily Swig，泄露可能包括VPN客户端使用的加密私钥、用户名、密码哈希以及网络或PLC设置等配置信息。

然而，该漏洞仅获得了4.3的中等CVSS严重性评分。Lukavsky指出，成功利用的前提是操作员自最近一次重启以来已导出目标数据。但他也观察到，“由于这些设备通常在工业环境中运行，重启频率可能较低，增加了导出文件存在的可能性。”

“如果不是因为非重启要求，可能会对机密性产生高影响，“Lukavsky补充道。“这将使整体CVSS基础评分提高到6.5，但仍保持中等，因为系统的完整性和可用性不受漏洞的直接影响。我们没有找到在重启后访问数据的方法，因此不知道任何规避方法。”

上述路径遍历问题被"无用”，因为它"只能由具有管理权限的用户触发”，ONEKEY表示。

建议用户更新受影响的WAGO产品版本，包括PFC100、PFC200、边缘控制器和各种触摸面板型号。这些漏洞于2022年10月报告给WAGO PSIRT。

The Daily Swig已联系WAGO，如果我们收到回复，将更新此故事。