信息來源：nosec

近期，總部位于德國(guó)的工業(yè)網(wǎng)絡(luò)解決方案提供商Weidmueller發(fā)布了旗下眾多工業(yè)以太網(wǎng)交換機(jī)的安全更新，以修復(fù)其中的高危漏洞。

Weidmueller有六個(gè)工廠，在全球60個(gè)地方設(shè)有辦事處。根據(jù)國(guó)土安全部的網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）的說法，此次安全更新涉及的產(chǎn)品遍布全球，特別是在關(guān)鍵的制造業(yè)和IT行業(yè)。

根據(jù)CISA、德國(guó)CERT@VDE和Weidmuller發(fā)布的報(bào)告，40種IE-SW系列交換機(jī)受到五種漏洞影響。

基于漏洞不同的CVSS分?jǐn)?shù)，最嚴(yán)重的漏洞有身份驗(yàn)證機(jī)制缺乏對(duì)暴力破解保護(hù)，證書通過明文傳輸以及在cookie中使用了一些可推測(cè)的身份驗(yàn)證信息。以上這些漏洞得到了9.8的CVSS評(píng)分。

除此之外，這些工業(yè)交換機(jī)還受到以明文形式存儲(chǔ)密碼等相關(guān)漏洞的困擾。這讓那些可登錄設(shè)備的人能直接獲得密碼。

最后，Weidmueller還發(fā)現(xiàn)了一個(gè)DoS漏洞，經(jīng)過身份驗(yàn)證的遠(yuǎn)程攻擊者只要發(fā)送特制的數(shù)據(jù)包就能使設(shè)備崩潰。

目前Weidmueller已經(jīng)發(fā)布了每種受影響的交換機(jī)的更新固件。此外，用戶也可以將設(shè)備配置為只使用加密連接，防止某些類型的攻擊。還有一些漏洞與使用未加密的搜索服務(wù)有關(guān)，應(yīng)及時(shí)對(duì)其禁用。