新闻动态

新一代工业网络安全领航者

首页

西门子LOGO!Web服务器也爆漏洞？分析报告为您送上

发布时间：

2020-07-24

来源：

作者：

访问量：

重磅！西门子LOGO!Web服务器爆出漏洞，易导致执行任意代码、远程命令及未经身份验证等风险。该漏洞目前已被CVE收录，天地和兴送上分析报告为您警示。

1.背景介绍

　　2020年7月14日Cisco Talos的Alexander Perez-Palma和Dave McDaniel以及Cisco Systems的Emanuel Almeida等安全研究人员，披露了西门子LOGO!Web服务器中的远程代码执行漏洞。该漏洞涉及西门子旗下的LOGO!服务器，受影响产品包括12/24RCE版本OBA\230RCE版本OBA。成功利用该漏洞，就可导致执行任意代码、远程命令及未经身份验证等风险。该漏洞目前已被CVE收录，编号为CVE-2020-7593，西门子LOGO!是一种智能逻辑模块(PLC)，适用于自动化项目，例如工业控制系统，办公室/商业和家庭设置。它已在全球范围内部署，可以远程进行管理和维护。

　　图1 LOGO!系列产品

　　2.漏洞摘要

　　西门子 LOGO!的Web服务器的1.82.02、12 / 24RCE版本0BA和230RCE版本0BA中存在一个可利用的代码执行漏洞，远程攻击者可以在目标系统上执行任意代码，是由于Web服务器端url复制到堆栈功能中的边界错误而存在，远程攻击者可以发送特制的HTTP请求，触发内存损坏并在目标系统上执行任意代码，成功利用此漏洞可能会完全破坏脆弱的系统。

　　2.1漏洞描述

　　CVE-2020-7593漏洞存在于LOGO!8 BM(包括SIPLUS变体)(V1.81.01-V1.81.03)、LOGO!8 BM(包括SIPLUS变体)(V1.82.01)、LOGO!8 BM(包括SIPLUS变体)(V1.82.02)等版本中。设备的Web服务器端的功能中存在一个缓冲区溢出漏洞，远程未经身份验证的攻击者可能发送特制的HTTP请求，导致内存损坏坏，从而可能导致远程执行代码。

　　严重程度：高;

　　CVSSv3： 8.8 [CVSS：3.0 / AV：N / AC：L / PR：N / UI：N / S：U / C：H / I：H / A：H / E：P / RL：O / RC： C]。

　　2.2 漏洞细节

　　LOGO!的HTTP服务器系统在将URI复制到堆栈之前未正确检查URI目录的长度，从而导致堆栈溢出。研究和测试表明，导致崩溃的原因在于地址为0x9be8e的u_bm3.bin固件映像中：

　　#r10 =开/关斜线之间的URI长度

　　0009BE84 A5 EB 07 0A SUB.W R10,R5,R7

　　#len-用户控制的长度

　　0009BE88 52 46 MOV R2,R10

　　#src- URI请求

　　0009BE8A 39 46 MOV R1,R7

　　#0x14,#目标堆栈地址

　　0009BE8C 05 A8 ADD R0,SP

　　#溢出堆栈

　　0009BE8E D7 F7 0F FA BL call_memcpy

　　0009BE92 05 A8 ADD R0,SP,#0x78

　　终止堆栈上复制的URI目录

　　+ requested_dir_without_slashes; s1 0009BE94 00 21 MOVS R1,#0 0009BE96 0A F8 00 10 STRB.W R1,[R10,R0]; NULL

　　2.3 披露时间

　　首次发现时间： 2020年5月7日;

　　修补时间： 2020年7月14日;

　　公开发布： 2020年7月15日。

　　2.4漏洞影响设备及固件版本

　　以下版本的LOGO!Web服务器受到影响：

　　Logo!8 BM系列版本(包括SIPLUS变体);

　　1.81.01和1.81.03之间的版本;

　　1.82.01版本;

　　1.82.02版本。

　　3 漏洞原理

　　当程序试图将更多的数据放入缓冲区而无法容纳时，或者当程序试图将数据放入缓冲区边界以外的存储区时，就会出现缓冲区溢出情况。进程分控制层面和数据层面两个部分，每个部分各占一部分内存。当程序没有对数据层面内存大小做限制时，输入一个超过数据内存大小的数据就会发生数据层面的数据把控制层面内存覆盖的情况，此时如果在数据尾部加上一些操作系统指令就会把该指令加载到控制层面内存(即寄存器)当中去，当CPU执行下一个控制层面内存里的内容时就会加载该恶意指令。(注：寄存器中的EIP为CPU要执行的下一条指令的内存地址)。

　　示例：在以下示例中，服务器接受来自客户端的连接并处理客户端请求。接受客户端连接后，该程序将使用gethostbyaddr方法获取客户端信息，复制连接到本地变量的客户端的主机名，并将客户端的主机名输出到日志文件。