罗克韦尔修复模拟软件和许可工具中的漏洞
翻译：360代码卫士团队
罗克韦尔自动化公司已为其 Arena 和 FactoryTalk 激活管理器产品发布更新，解决多种漏洞问题，其中包含一个可引发远程代码执行问题的严重缺陷。
ICS-CERT 和罗克韦尔自动化均发布安全公告，说明了相关安全漏洞和缓解措施的情况，不过罗克韦尔发布的安全公告仅供注册用户查看。
FactoryTalk 激活管理器工具旨在管理受许可内容并激活罗克韦尔软件产品，它使用的是 Wibu-Systems CodeMeter 和 FlexNet Publisher 许可管理应用管理售许可内容。
Wibu-Systems CodeMeter 受一个跨站点脚本 (XSS) 漏洞影响。该漏洞可被用于通过一个配置文件中的字段注入任意代码，从而导致攻击者访问敏感信息或修改受影响的 HTML 页面。该漏洞的 CVE 编号是 CVE-2017-13754。
FlexNet Publisher 受一个关键的缓冲溢出漏洞 (CVE-2015-8277) 影响，它可导致远程攻击者执行任意代码。
罗克韦尔在安全公告中表示，“Imgrd.exe（FlexNet Publisher 中的许可服务器管理器）和 flexsvr.exe 中的自定义字符串复制函数部队输入数据执行正确的边界检查，从而可能导致远程未认证用户发送构造信息，从而引发缓冲溢出问题。”
这些漏洞影响 FactoryTalk 激活管理器 4.00.02 和 4.01，包括 Wibu-Systems CodeMeter v6.50b 及其更早版本；以及 FactoryTalk 激活管理器 v4.00.02 及更早版本，包括 FlexNet Publisher v11.11.1.1 及更早版本。
FactoryTalk 自动化管理器用于20多款罗克韦尔产品中，用户可查看罗克韦尔和 ICS-CERT 提供的列表检查自己是否受影响。用户可将自动化管理器更新至版本 4.02 修复漏洞；或者可将 CodeMeter 更新至可兼容版本。
近期，罗克韦尔和 ICS-CERT 分别发布安全公告，说明了影响制造模拟软件 (Simulation Software for Manufacturing) Arena 的中危 DoS 漏洞。Arena 旨在帮助组织机构明确进程瓶颈、评估进程变化、改进物流并增加吞吐量。
研究员 Ariele Caltabiano 通过趋势科技公司的“零日计划 (Zero Day Initiative)”告知罗克韦尔公司称，Arena 受一个使用后释放漏洞的影响。攻击者可通过说服目标用户打开特殊构造文件的方式引发软件崩溃。应用遭崩溃可导致用户丢失未保存的数据。
罗克韦尔表示，该漏洞的编号是 CVE-2018-8843，影响 Arena 制造模拟软件版本 15.10.00 及更早版本。该漏洞已在推出的版本15.10.01 中予以修复。
关联阅读
原文链接
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。