石油流量控制设备曝高危漏洞，可获取根权限并远程执行代码

最近的网络安全研究中发现，石油和天然气钻探组织常用的 ABB Totalflow流量计算机和远程控制器中存在一个高危漏洞，漏洞号为 CVE-2022-0902（CVSS 评分：8.1），是一个路径遍历漏洞，攻击者可以利用该漏洞注入和执行任意代码。

根据中国网络安全行业门户极牛网(GeekNB.com)的梳理，攻击者可以利用此漏洞在 ABB 流量计算机上获得根访问权限，读写文件并远程执行代码。

流量计算机是石化制造商用于解释流量计数据并计算和记录特定时间点的天然气、原油和其他碳氢化合物流体等物质体积的专用电子仪器。瑞士工业自动化公司 ABB 表示已于 2022 年 7 月 14 日发布了固件更新。

这些电子测量不仅在过程安全方面至关重要，而且在散装液体或气体产品在各方之间流转时也用作计数，因此必须准确捕获流量读数。

该漏洞是一个路径遍历缺陷，存在设备的专有 Totalflow TCP 协议中，该协议用于远程配置计算机。该漏洞特别涉及允许导入和导出配置文件的功能，使攻击者能够利用身份验证绕过问题来绕过安全密码障碍并上传任意文件。

通过利用这个漏洞，远程攻击者可以控制设备并可以影响正确记录石油和天然气流量的能力。成功利用此漏洞可能会阻碍公司向客户收费的能力，从而迫使服务中断，类似于Colonial Pipeline 在 2021 年勒索软件攻击后遭受的后果。