Advantech WebAccess SCADA权限提升漏洞（CVE-2021-22669）预警

一、基本情况

近日，中国台湾研华（Advantech）公司发布Advantech WebAccess SCADA权限提升漏洞的风险通告，该漏洞CVE编号：CVE-2021-22669。允许低权限的攻击者利用该漏洞提升管理员身份并登录系统，进而完全控制系统。目前官方已发布新版本修复该漏洞，建议受影响用户及时将WebAccess SCADA升级至9.0.3或更高版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。

二、 漏洞描述

Advantech WebAccess/SCADA是中国台湾研华（Advantech）公司的一套基于浏览器架构的SCADA软件。该软件支持动态图形显示和实时数据控制，并提供远程控制和管理自动化设备的功能。

该漏洞是由于WebAccess/SCADA的项目管理页面上默认设置了错误的权限，这可能会允许低权限用户更新管理员的密码，并以管理员身份登录系统来提升权限，进而完全控制系统。

三、 影响范围

WebAccess/SCADA <=9.0.1

四、 安全建议

建议用户及时将WebAccess/SCADA升级至9.0.3或更高版本进行防护。用户可通过研华售后服务获取新版本升级安装包、远程技术支持或上门服务。

五、 参考链接

 https://us-cert.cisa.gov/ics/advisories/icsa-21-103-02