关键漏洞信息 1. 漏洞概述 发布日期: 2025年5月6日 警报代码: ICSA-25-126-01 相关主题: 工业控制系统漏洞、工业控制系统 CVSS v3.1 基本分数: 9.8 关注点: 可远程利用/低攻击复杂度 厂商: Optigo Networks 设备: ONS NC600 漏洞类型: 使用硬编码凭据 2. 风险评估 成功利用此漏洞可使攻击者使用硬编码凭据建立身份验证连接并执行OS命令。 3. 技术细节 3.1 受影响产品 ONS NC600: 版本4.2.1-084至4.7.2-330 3.2 漏洞概述 CVE编号: CVE-2025-4041 CVSS v3.1 向量字符串: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 3.3 背景 关键基础设施部门: 关键制造业 部署国家/地区: 全球 公司总部位置: 加拿大 3.4 研究员 Clarity Team82的Tomer Goldschmidt报告了此漏洞给CISA。 4. 缓解措施 使用专用NIC在BMS计算机上，并仅使用该计算机连接到OneView以管理OT网络配置。 设置一个带有允许访问OneView的设备白名单的路由器防火墙。 通过安全VPN连接到OneView。 最小化所有控制系统的网络暴露，确保它们不直接从互联网访问。 将控制网络和远程设备置于防火墙之后，并与业务网络隔离。 当需要远程访问时，使用更安全的方法，如虚拟专用网络（VPNs）。 认识到VPNs可能有漏洞，并应更新到最新版本。 在部署防御措施之前进行适当的影响分析和风险评估。 实施推荐的网络安全策略以主动保护ICS资产。 5. 更新历史 2025年5月6日: 初始发布