知名 3 款工业控制软件曝高危安全漏洞，可篡改固件植入后门

美国网络安全和基础设施安全局 (CISA)发布了三份工业控制系统安全公告，涉及 ETIC Telecom、诺基亚和 Delta Industrial Automation 的软件中的多个安全漏洞。

其中最突出的是影响 ETIC 电信远程访问服务器 (RAS) 的一组3个漏洞，可能允许攻击者获取敏感信息并破坏易受攻击的设备和其他连接的设备。

这些安全漏洞中最为严重的漏洞为 CVE-2022-3703（CVSS评分：9.0），该漏洞源于 RAS 远程访问服务器网站无法验证固件的真实性，从而有可能下发恶意的软件包从而获取到后门访问权限。

另外2个漏洞与 RAS远程访问服务器 API 中的目录遍历漏洞（CVE-2022-41607，CVSS 评分：8.6）和文件上传问题（CVE-2022-40981，CVSS 评分：8.3）有关，可被利用以读取任意文件并上传可能危害设备的恶意文件。

根据中国网络安全行业门户极牛网(GeekNB.com)的梳理，ETIC Telecom RAS 4.5.0 及之前的所有版本都存在漏洞，该工业控制软件公司表示已经在 4.7.3 版中解决了这些问题。

CISA 的第二份报告涉及诺基亚 ASIK AirScale 5G 通用系统模块中的3个漏洞，分别是 CVE-2022-2482、CVE-2022-2483 和 CVE-2022-2484，这可能为任意代码执行和安全中断铺平道路引导功能。所有漏洞在 CVSS 严重性等级中的等级均为 8.4 分。

安全研究人员表示，成功利用这些漏洞可能会导致执行恶意内核、运行任意恶意程序或运行修改后的诺基亚程序。

最后，CISA机构还发出路径遍历漏洞（CVE-2022-2969，CVSS 评分：8.1）的安全警告，该漏洞会影响台达工业自动化的 DIALink 产品，并可能被用来在目标设备上植入恶意代码。该漏洞已在 1.5.0.0 Beta 4 版中得到解决。