Phoenix工业交流机误差清静通告

宣布时间 2019-02-19

误差编号和级别


CVE编号：CVE-2018-13990 ，，，，，，，，危险级别：高危 ，，，，，，，， CVSS分值：厂商自评：8.6 ，，，，，，，，官方未评定

CVE编号：CVE-2018-13991 ，，，，，，，，危险级别：中危 ，，，，，，，， CVSS分值：厂商自评：5.3 ，，，，，，，，官方未评定

CVE编号：CVE-2018-13992 ，，，，，，，，危险级别：高危 ，，，，，，，， CVSS分值：厂商自评：8.2 ，，，，，，，，官方未评定

CVE编号：CVE-2018-13993 ，，，，，，，，危险级别：高危 ，，，，，，，， CVSS分值：厂商自评：8.8 ，，，，，，，，官方未评定

CVE编号：CVE-2018-13994 ，，，，，，，，危险级别：高危 ，，，，，，，， CVSS分值：厂商自评：7.5 ，，，，，，，，官方未评定


影响规模


受影响版本： 

PHOENIX CONTACT FL SWITCH 4xxx

PHOENIX CONTACT FL SWITCH 48xx

PHOENIX CONTACT FL SWITCH 3xxx


误差概述


Phoenix Contact FL SWITCH是德国菲尼克斯电气（Phoenix Contact）集团的一款工业级以太网交流机。。。。。 。


Phoenix Contact FL SWITCH 3xxx、4xxx和48xx系列工业控制交流机被披露多个CVE清静误差。。。。。 。乐成使用这些误差可能导致工业控制系统(ICS)滋扰 ，，，，，，，，甚至完全中止。。。。。 。Contact FL 系列在石油、能源设施和海事系统中应用普遍 ，，，，，，，，这种系统中控制器一旦故障会引发大贫困。。。。。 。误差概述如下：


CVE-2018-13990

该误差源于程序没有登录超时功效。。。。。 。攻击者可通过实验暴力破解攻击使用该误差获取用户名和密码 ，，，，，，，，进而获取会见权限。。。。。 。


CVE-2018-13991

该误差源于程序没有清静存储敏感信息。。。。。 。攻击者可使用该误差获取交流机的默认私钥。。。。。 。


CVE-2018-13992

该误差源于Web UI (HTTP)的默认设置 ，，，，，，，，程序会未加密传输用户凭证。。。。。 。攻击者可使用该误差获取敏感信息。。。。。 。


CVE-2018-13993

该误差为跨站请求伪造误差。。。。。 。远程攻击者可使用该误差造成Web浏览器转达非预期的下令。。。。。 。


CVE-2018-13994

攻击者可通过举行大宗的Web UI毗连 ，，，，，，，，使用该误差造成拒绝效劳。。。。。 。


修复建议


现在官方已经宣布新版本1.35修复了这些误差 ，，，，，，，，请到厂商的主页下载：https://www.phoenixcontact.com。。。。。 。


参考链接


https://ics-cert.us-cert.gov/advisories/ICSA-19-024-02