Siemens RUGGEDCOM ROX I Integrated Web Server 跨站请求伪造

CVE编号

CVE-2017-2688

利用情况

暂无

补丁情况

N/A

披露时间

2017-03-29

漏洞描述

Siemens RuggedCom基于ROX的防火墙设备用于在恶劣环境中进行设备连接，例如变电站、交通管理机箱等。
Siemens RUGGEDCOM ROX I存在权限提升漏洞，当目标用户具有活动会话，并被诱导点击恶意链接时，攻击者可利用漏洞在10000/TCP端口的Web服务器上使用该用户的权限执行任意操作。

解决建议

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
https://www.siemens.com/cert/pool/cert/siemens_security_advisory_ssa-327980.pdf

参考链接
http://www.securityfocus.com/bid/97170
http://www.securitytracker.com/id/1038160
https://ics-cert.us-cert.gov/advisories/ICSA-17-087-01
https://www.siemens.com/cert/pool/cert/siemens_security_advisory_ssa-327980.pdf

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	系统	siemens	ruggedcom_rox_i	*		Up to (including) 2.9.0

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 需要
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-352 跨站请求伪造（CSRF）