Rittal Chiller SK 3232-Series清静误差清静通告

宣布时间 2019-10-31

误差编号和级别


CVE编号：CVE-2019-13549 ，危险级别：严重 ，CVSS分值：厂商自评：9.1 ，官方未评定

CVE编号：CVE-2019-13553 ，危险级别：严重 ，CVSS分值：厂商自评：9.1 ，官方未评定


影响版本



Carel pCOWeb（A1.5.3版本至B1.2.4版本固件）


误差概述


Rittal Chiller SK 3232-Series是德国威图（Rittal）公司的一款液体冷却装备。


CVE-2019-13549

Rittal Chiller SK 3232-Series中的Web接口保存清静误差 ，该误差源于身份验证机制未举行充分�；だ醋柚刮词谌ǖ纳柚酶�。允许攻击者通过导航到一个特定的URI来绕过身份验证和会见要害功效。


CVE-2019-13553

Rittal Chiller SK 3232-Series中的Web接口保存信托治理问题误差。该误差与允许攻击者会见系统的硬编码凭证有关。攻击者可使用该误差影响一些基本操作 ，例如翻开或关闭制冷装备。


误差验证


暂无POC/EXP。


修复建议


现在厂商暂未宣布修复步伐解决此清静问题 ，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决步伐：https://www.rittal.com。


缓解步伐：


最小化所有控制系统装备和/或系统的网络袒露 ，并确保不可从Internet会见它们；

在防火墙后面找到控制系统网络和远程装备 ，并将其与营业网络隔离；

当需要远程会见时 ，请使用清静要领 ，例如虚拟专用网络（VPN） ，并确认VPN可能保存误差 ，应将其更新为可用的最新版本�；褂κ煜さ絍PN仅与毗连的装备一样清静。


参考链接


https://www.us-cert.gov/ics/advisories/icsa-19-297-01