您当前位置:首页 > 资讯中心 > 信息安全

黑客可通过XSS攻击物联网风力涡轮机

随着物联网理论在日常产品当中的不断延伸,由此带来的安全漏洞也自这项新兴技术诞生之日开始持续困扰着整个互联网环境。

黑客可通过XSS攻击物联网风力涡轮机

在此前披露了某台气体探测器的内置固件中存在的两项高危安全隐患之后,较近由ICS-CERT公布的另一条消息又引起了我们的关注。根据消息所言,XZERES 442SR智能风力涡轮机所配备的Web管理面板内同样存在安全漏洞。

根据ICS-CERT方面的说明,这套管理面板可能受到XSS(即跨站点脚本)攻击的影响,这意味着即使是技术水平较低的脚本黑客亦可能对其加以利用。

攻击者能够在受影响的风力涡轮机中获得管理权限

“442SR操作系统能够从输入数据当中识别出POST与GET两种方法,”ISC-CERT在通知当中写道。“通过使用GET方法,攻击者能够从其浏览器当中检索到对应ID并借此对默认用户ID进行变更。”

通过变更现有用户ID,攻击者们将能够窃取到管理权限,并利用相关能力对涡轮机的全部控制功能加以访问。

利用这一攻击点,黑客们能够降低涡轮机功率,从而借此间接切断由其负责供电的对应系统电源。根据接入该涡轮机的实际系统类型,这种行为可能导致故障、敏感设备损坏甚至人员生命财产威胁。

脚本小子欢欣鼓舞,物联网攻击异常“亲民”

尽管ISC-CERT以及风力涡轮机制造商都表示目前尚未出现对这一漏洞加以利用的黑客活动,不过必须承认的是这类恶意行为的知识成本极低,任何一位入门级信息安全研究人员都能借此完成入侵。ISC-CERT专家们则认为,利用这一漏洞、攻击者们将能够非常轻松地使用各类在线脚本。

由于这项漏洞的使用方式相对简单,因此其已经被确定为CVE-2015-0895号漏洞并在CVSS-v3危险度评分当中得到了9.8分(满分为10分)。

作为美国的一家风力涡轮机制造商,XZERES公司已经发布了相关补丁,客户需要以手动方式在每台设备上加以安装。

独立安全研究员Karn Ganeshen正是发现这一问题的技术专家之一。过去,Ganeshen先生曾经先后在多款产品当中发现过类似的安全漏洞,其中包括路由器、调制解调器、FTP服务器甚至是谷歌Chrome浏览器。

备注: ICS-CERT将此项漏洞列为XSS,但CVE方面则将其划归CSRF。由于我们尚未得到任何该漏洞被实际使用的信息,因此这里姑且采用ICS-CERT方面提供的描述方式。

黑客可通过XSS攻击物联网风力涡轮机

 

XZERES 442SR风力涡轮机

该漏洞的CVE编号为CVE-2015-0985,危害级别为高,CVSS-v3评分级别高 达9.8/10。影响XZERES 442SR Wind Turbine产品,XZERES 442SR OS on 442SR是美国XZERES公司的一套运行于442SR风力涡轮机中的操作系统。CVE-2015-0985允许远程攻击者构建恶意URI,诱使用户解 析,可以目标用户上下文执行恶意操作,如修复账户密码。目前厂商已经发布了升级补丁以修复这个安全问题,厂商补丁下载页面:

http://www.xzeres.com/wind-turbine-products/xzeres-442sr-small-wind-turbine/

部分信息参考自国家信息安全漏洞共享平台(CNVD-ID为CNVD-2015-02175)

https://ics-cert.us-cert.gov/advisories/ICSA-15-076-01

作者:Grabsun - 发布时间:2015-12-15 - 点击量:3048
公司简介:大势至公司是国内较早的企业网管软件提供商,可以为企事业单位提供整体的企业网络管理方案和企业网络管理平台,通过全系列的公司监控员工电脑软件教你如何控制员工上网、如何控制局域网内电脑上网以及如何保护电脑文件安全等。公司核心产品“聚生网管系统”是一款专门的公司网管必备软件、查看网络流量软件、网络流量监控软件和办公室电脑监控软件;“网络特警”则是一款专门的网络流量监控设备、上网行为管理服务器、网络行为管理设备,可以实现更为强大的局域网网络行为管理;大势至USB接口禁用软件则是一款专门的数据防泄密产品、屏蔽U盘软件、电脑USB端口禁用软件,可以严防通过一切途径泄露电脑文件,保护单位无形资产和商业机密安全;大势至共享文件夹管理软件则是一款专门的共享文件权限设置软件和共享文件设置密码软件,全面保护共享文件安全;大势至共享文件审计系统则是一款专门的服务器共享文件夹设置软件、服务器共享文件访问日志记录软件,可以详细记录局域网用户访问共享文件的行为,更好地管理共享文件的安全;大势至局域网网络准入控制系统则是一款专门防止未经授权的电脑接入公司局域网的行为,防止外来电脑访问局域网共享文件、防止蹭网以及绑定IP和MAC地址,保护网络安全;大势至FTP服务器日志记录软件则是一款专门记录局域网用户访问FTP服务器日志的软件,可以有效保护FTP服务器文件安全。
联系我们