漏洞关键信息 漏洞概述 发现者: Positive Technologies Research Team (Timur Yunusov, Ilya Karpov, Sergey Gordeychik, Alexey Osipov, Dmitry Serebryannikov) 受影响产品: Schneider Electric Wonderware Information Server (WIS) 的多个版本 漏洞类型: - 不足的加密强度 (CWE-326) - 跨站脚本 (XSS) (CWE-79) - 输入验证不当 (CWE-20) - SQL 注入 (CWE-89) 影响 远程代码执行 信息泄露 会话劫持 影响取决于各种组织因素，包括操作环境、架构和产品实现 漏洞详情 CVE-2014-2381NVD: 不足的加密强度，CVSS v2 基本评级为 2.1（本地访问） CVE-2014-2380NVD: 跨站脚本，CVSS v2 基本评级为 7.8（网络访问） CVE-2014-5397NVD: 输入验证不当，CVSS v2 基本评级为 7.5（本地访问） CVE-2014-5398NVD: SQL 注入，CVSS v2 基本评级为 2.1（本地访问） CVE-2014-5399NVD: SQL 注入，CVSS v2 基本评级为 7.5（网络访问） 漏洞利用 部分漏洞可远程利用 输入验证不当漏洞需要用户交互 缓解措施 Schneider Electric 提供了安全更新 建议升级到 WIS 版本 5.5 并应用补丁 设置浏览器的安全级别为 "Medium - High" 使用 HTTPS 最小化网络暴露 将控制系统网络和远程设备置于防火墙之后