近日， 施耐德电气的 SCADA / HMI解决方案 InduSoft Web Studio爆出高危 远程代码执行漏洞 ，CVE编号CVE-2018-8840，CVSSv3评分9.8。攻击者利用漏洞可以在系统高权限状态下远程执行未经授权的恶意代码，最终 关闭设备或危害安全仪表系统， 受影响版本包括InduSoft Web Studio v8.1及之前版本，施耐德、卡巴斯基、美国ICS-Cert发布预警通告，相关信息如下

另， Triconex安全仪表系统 Tricon 3008型中也发现安全问题。存储缓冲区漏洞（CVE-2018-8872和CVE-2018-7522）边界内的操作受到两次不当限制。在2017年12月， 第一起攻击工业厂房的工控安全事件， 工控恶意软件TRITON浮出水面 ，就是攻击 Triconex安全仪表系统 ，随后在2018年1月， 施耐德确认Triconex安全仪表系统SIS 0Day漏洞， Triton工控恶意软件致系统关闭 。结果时隔数月， Triconex安全仪表系统 又出漏洞。

CVE-2018-8840漏洞概要

针对CVE-2018-8840漏洞情况，安全加整理了相关内容如下，这些内容可能来自于CVE-2018-8840涉及厂商、CVE-2018-8840漏洞信息发布组织、CVE、SecurityFocus及其它第三方组织。

CVE-2018-8840漏洞标识

• CVE ID：CVE-2018-8840
• BUGTRAQ ID：【BUGTRAQ ID】
• 施耐德漏洞库ID：LFSEC00000125
• CNNVD ID：【CNNVD漏洞编号】
• 绿盟科技漏洞库ID：【绿盟科技漏洞库ID】

CVE-2018-8840漏洞相关链接

【增补中】

• 百度链接：https://www.baidu.com/s?wd=CVE-2018-8840
• 绿盟科技漏洞库链接：http://www.nsfocus.net/vulndb/{绿盟科技漏洞库ID}
• 施耐德官方链接：http://software.schneider-electric.com/pdf/security-bulletin/lfsec00000125/
• 美国ICS-Cert链接：https://ics-cert.us-cert.gov/advisories/ICSA-18-107-01

CVE-2018-8840漏洞描述

【增补中】

CVE评价该漏洞

在InduSoft web studio V8.1及以前版本中，远程攻击者可以发送一个精心制作的数据包，或者在 InTouch Machine Edition 2017 v8.1及之前版本中，与Tag、报警、事件相关的读写动作，则会触发远程代码执行。

ICS-Cert评价该漏洞

在标记，警报或事件相关操作期间成功利用此漏洞可能允许远程代码执行，在高权限下可能会完全危及设备

施耐德评价该漏洞

成功利用该漏洞，攻击者可以在高权限状态下远程执行未经授权的恶意代码，施耐德电气建议组织尽快评估漏洞的影响，包括运行环境、基础架构及安装的产品

卡巴斯基评价该漏洞

施耐德电气的 SCADA / HMI解决方案InduSoft Web Studio和 InTouch Machine Edition 8.1以下版本中报告了一个漏洞。该漏洞已分配ID CVE-2018-8840 ; 其CVSS v.3分数是9.8。

在标签、警报或事件相关操作期间，成功利用漏洞可能允许在高权限下执行远程代码，这可能会导致目标设备的完全破坏。 要关闭此漏洞，建议上述产品的用户尽快应用SP1更新程序包。

Triconex Tricon 3008型安全仪表系统中 也发现安全问题。 存储缓冲区漏洞（CVE-2018-8872和CVE-2018-7522）边界内的操作受到两次不当限制。 这些漏洞可用于在受到攻击的系统上执行代码，关闭设备或危害安全仪表系统。

为了消除这些漏洞，施耐德电气建议将控制器的固件升级到最新版本（11.x）。

[出自:jiwo.org]

SecurityFocus评价该漏洞 

CVE-2018-8840漏洞影响范围

CVE-2018-8840漏洞涉及厂商

施耐德

CVE-2018-8840漏洞涉及产品

InduSoft Web Studio及InTouch Machine Edition 2017

CVE-2018-8840漏洞影响版本

InduSoft Web Studio v8.1 and prior versions

InTouch Machine Edition 2017 v8.1 and prior versions

CVE-2018-8840漏洞解决方案

【增补中】

施耐德声明

Customers using InduSoft Web Studio v8.1 or prior versions are affected and should upgrade and apply InduSoft Web Studio v8.1 SP1 as soon as possible. Customers using InTouch Machine Edition 2017 v8.1 or prior versions are affected and should upgrade and apply InTouch Machine Edition 2017 v8.1 SP1 as soon as possible.