本周,西門(mén)子公司發(fā)布了 BACnet 智能樓宇控制系統的固件更新程序,修復了兩個(gè)漏洞,其中一個(gè)漏洞的風(fēng)險性非常高。這些受影響的設備廣泛用于各種商業(yè)設施,包括控制通風(fēng),和空調(HVAC)、燈光等設備。目前該系統在我國一些高檔酒店被廣泛應用。
受影響設備
運行3.5固件版本前的APOGEE PXC和TALON TC BACnet自動(dòng)化控制器
漏洞1
漏洞編號
CVE-2017-9946
漏洞描述
未經(jīng)過(guò)身份驗證的網(wǎng)絡(luò )服務(wù)器攻擊者通過(guò)80和433端口訪(fǎng)問(wèn)web服務(wù)器,可以利用該漏洞下載敏感信息。
漏洞評分
CVSS: 7.5
漏洞2
漏洞編號
CVE-2017-9947
漏洞描述
目錄遍歷漏洞,攻擊者通過(guò)80和433端口訪(fǎng)問(wèn)web服務(wù)器,可以利用該漏洞獲取被攻擊設備上的文件系統結構的信息。
漏洞評分
CVSS:5.3
智能樓宇控制系統主要包括空調新風(fēng)機組、送排風(fēng)機、集水坑與排水泵、電梯、變配電、照明等。西門(mén)子智能樓宇監控系統是以太網(wǎng)技術(shù)的BACnet/IP協(xié)議的分布智能控制系統,采用自適應控制技術(shù),可以迅速有效地完成樓宇機電設備監控和舒適性環(huán)境保障,降低樓宇的維護成本和能源成本。
最新進(jìn)展
西門(mén)子已發(fā)布涉事產(chǎn)品固件更新補丁,請相關(guān)組織及時(shí)下載。
文章來(lái)源:微信公眾號-安點(diǎn)安全