Moxa IIoT 产品有缺陷 导致 ICS 易受远程攻击
编译：360代码卫士团队
Moxa（摩莎）工业物联网 (IIoT) 中存在多种严重漏洞，可导致恶意黑客对工业互联网发动远程攻击。Moxa 已发布补丁，应该能解决这些缺陷问题。
卡巴斯基实验室工业控制系统网络应急响应团队 (ICS CERT) 的研究人员在为期两周的时间里针对 Moxa 的 ThingsPro 2 开展了黑盒分析。
ThingsPro 2 是Moxa 在2017年推出的一款工业物联网网关和设备管理解决方案，可允许组织机构收集并分析工业控制系统数据，并轻松管理及访问资产。
卡巴斯基实验室的研究人员共发现7个以前未知的漏洞，可被用于获取提升的权限、执行任意命令、访问工业网络并控制设备。
由于 Moxa ThingsPro 旨在为互联网上的工业系统提供访问权限，卡巴斯基警告称攻击者能够经由 Web 远程利用这些漏洞。Shodan 搜索显示出43个“thingspro”结果，而从 Fofa.so 平台上搜索显示超过150个同样的字符串。
虽然利用由卡巴斯基发现的权限提升和代码执行漏洞要求攻击者在系统上进行认证，但研究人员确实找到了一个用户枚举问题，使其能够更加容易地找到合法的用户名并发动暴力攻击，获取相关密码。
攻击者也可使用隐藏的认证令牌访问 ThingsPro 管理接口。任何人无法在管理接口看到这些令牌，但它们存储在本地应用程序数据库中。
2018年1月，研究人员将这些漏洞问题告知 Moxa，后者在7月末予以修复。Moxa 在2018年10月发布相关的缺陷安全公告，卡巴斯基目前已发布技术详情。
这些安全漏洞影响运行固件版本 2.1 或更早版本的 Moxa ThingsPro 2。这些缺陷已在版本2.3中予以修复，Moxa 也为用户枚举问题提供了缓解措施，即使用强密码。
卡巴斯基实验室的研究员 Alexander Nochvay 表示，“Moxa 是工业系统界值得信任和令人尊敬的品牌。然而，尽管该公司的专业能力较强且经验丰富，但其新产品中含有大量漏洞，这说明即使对于行业领导者来说，开展适当的网络安全测试也很重要。我们呼吁所有的 ICS 产品开发者负责任地例行执行漏洞检查，将解决方案的安全性作为开发部分不可分割的重要组成部分。”
Moxa 近期联合趋势科技公司组建 TXOne Networks 公司，关注保护工业物联网环境的安全。
推荐阅读
原文链接
https://www.securityweek.com/flaws-moxa-iiot-product-expose-ics-remote-attacks
本文由360代码卫士编译，不代表360观点，转载请注明“转自360代码卫士 www.codesafe.cn”。