Tecson油罐监控装备误差清静通告

宣布时间 2019-06-13

误差编号和级别


CVE编号：CVE-2019-12254，危险级别：严重，CVSS分值厂商自评：9.8，官方未评定


影响版本


受影响的版本


适用于LX-Net、LX-Q-Net、e-litro net、SmartBox4 LAN和SmartBox4 pro LAN油罐监控产品。


误差概述


Tecson是一家德国的油罐丈量系统制造商，产品有油罐显示器、液位探头和远程监控等。


Tecson的油罐监控装备中保存一个严重的误差，该误差允许攻击者在不需要凭证的情形下会见基于web的设置界面。攻击者只需要知道web服务器上的特定URL和有用请求的名堂，就可以会见设置接口并审查和修改设置。黑客可完全会见装备的基于web的设置界面，如密码、报警参数和输出状态等设置。这可能会对装备的运行爆发负面影响，有助于黑客进一步攻击工业控制历程。


误差验证


暂无POC/EXP。


修复建议


现在厂商已宣布新版本以修复误差，升级固件版本到6.3。另外，可以通过禁用端口转发和远程会见装备来避免攻击。


参考链接


https://mp.weixin.qq.com/s/fB2VBlvJy9tgTkrey0hdkQ