ICS周二補丁日：西門子和施耐德電氣搞定50多個漏洞
工業巨頭西門子(Siemens)和施耐德電氣(Schneider Electric)周二發布了近12份安全警告，描述了影響其產品的總共50多個漏洞。兩家公司已經發布了補丁和緩解措施來解決這些漏洞。
西門子
西門子發布了5個新的警告，涉及33個漏洞。該公司通知客戶，其SINEC網絡管理系統的更新修補了15個漏洞，其中包括可被任意代碼執行利用的漏洞。雖然其中一些已經被分配了高嚴重性級別，但是利用漏洞需要身份驗證。
Siemens ProductCERT調查所有安全問題報告，并發布安全公告，針對直接涉及Siemens產品并要求應用更新、執行升級或其他客戶操作的已驗證的安全漏洞。作為幫助操作人員管理安全風險和保護系統的持續努力的一部分，Siemens ProductCERT公開了操作人員評估安全漏洞影響所需的必要信息
對于SCALANCE W1750D基于控制器的直接訪問點，西門子發布了涵蓋15個漏洞的補丁和緩解措施，其中包括允許遠程、未經身份驗證的攻擊者在底層操作系統上引發DoS條件或執行任意代碼的關鍵漏洞。W1750D是一款來自Aruba的品牌設備，大部分缺陷都存在于ArubaOS操作系統中。
該公司還向客戶通報了SIMATIC Process history中的一個關鍵身份驗證漏洞。攻擊者可以利用該漏洞插入、修改或刪除數據。
剩下的兩個警告針對SINUMERIK控制器和RUGGEDCOM ROX設備中的高嚴重拒絕服務(DoS)漏洞。在RUGGEDCOM設備的情況下，未經身份驗證的攻擊者在某些情況下可能導致永久性DoS條件。
施耐德電氣
施耐德電氣發布了6條新警告，涉及20個漏洞。一份咨詢報告描述了11個Windows漏洞對該公司Conext太陽能發電廠產品的影響。微軟在2019年和2020年修補了這些安全漏洞，其中許多漏洞具有嚴重或高嚴重級別。
另一份報告描述了兩個影響施耐德IGSS SCADA系統的嚴重漏洞，一個是高嚴重漏洞，一個是中等嚴重漏洞。該公司表示，最糟糕的情況是，“可能導致攻擊者進入運行IGSS的機器的Windows操作系統。”
該公司還告知用戶spaceLYnk、wise For KNX和fellerLYnk產品存在嚴重的信息泄露漏洞，以及ConneXium網絡管理軟件存在嚴重的命令執行問題。
最后一條建議描述了兩個AMNESIA的影響：Modicon TM5模塊上的33個漏洞。AMNESIA:33是去年在四個開源TCP/IP協議棧中發現的33個缺陷的名稱。
