关键信息 漏洞描述 漏洞编号: VDE-2024-045 发布日期: 2024-08-27 10:00 (CEST) 更新日期: 2024-08-27 08:58 (CEST) 供应商: Beckhoff Automation GmbH & Co. KG 受影响产品: - IPC Diagnostics package - TwinCAT/BSD - 版本: < 2.0.0.1, < 14.1.2.0_153968 漏洞详情 漏洞类型: 本地身份验证绕过 漏洞描述: 默认情况下，TwinCAT/BSD 基于产品的设备特定 web 接口（WBM）已启用，由 Beckhoff 开发并称为 Beckhoff Device Manager UI。它可以通过远程或本地访问。当通过本地访问时，web 接口的认证机制可以被任何本地用户绕过，无论他们的权限如何，他们可以通过这种机制获得管理员级别的访问权限。 CV编号 CV编号: CVE-2024-41173 严重性 严重性: 7.8 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) 弱点 弱点: 使用替代路径或通道的认证绕过 (CWE-288) 影响 影响: 低权限攻击者可以绕过 web 接口的认证机制并以管理员身份操作。 解决方案 缓解措施: 避免存在具有登录权限的用户账户，除了管理员访问。默认情况下，TwinCAT/BSD 已预配置具有较低权限的用户账户，但它们都没有密码，导致它们被拒绝登录访问。避免在目标上运行未经充分审计的第三方应用程序，无论用户正在运行什么。 补救措施: 请更新受影响产品的最新版本。一般来说，Beckhoff 建议更新整个 TwinCAT/BSD 操作系统到最新版本，而不是单独的包。有关更新现有 TwinCAT/BSD 安装的信息，请参阅此处。您还可以通过命令行确定操作系统的版本。这也可以通过 Beckhoff Device Manager UI 查看。请注意，当从 TwinCAT/BSD 主要版本 12 更新时，需要连续两次升级。 报告者 报告者: CERT@VDE 协调与 Beckhoff 报告者: Andrea Palanca of Nozomi Networks