聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
CISA 表示最近发现了针对 RAD 公司旨在为艰苦工业环境设计的 SecFlow-2 交换机/路由器中一个路径遍历漏洞的公开 PoC 利用。该漏洞是CVE-20199-6268,在2024年3月有人在 Packet Storm 网站上发布了该漏洞的技术详情和 PoC,而在此之前该漏洞的信息并未公开。
这篇文章提到,“RAD SecFlow-2 设备,即硬件为0202、固件为4.1.01.63以及 U-Boto 2010.12的设备,可导致以 /..为开始的URI 进行目录遍历,如 reading/etc/shadow 中所示。”CISA还提到,“未认证攻击者可创建构造请求,从操作系统(密码哈希)中获取任意文件。”
与这些被暴露密码相关的漏洞可对ICS和其它OT系统造成严重风险。CISA 在找到 PoC 后将该漏洞告知RAD,不过由于 SecFlow-2 产品已达生命周期,厂商建议客户将设备升级至更新的 SecFlow-1p 工业IoT 网关。另外,CISA还提供了一些降低恶意利用的通用建议。
CISA 表示受影响产品用于全球通信行业。
https://www.securityweek.com/cisa-informs-organizations-of-vulnerability-in-rad-secflow-2-industrial-switch/
题图:Pexels License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~