Schneider Electric Interactive Graphical SCADA System多个高危漏洞预警

一、基本情况

近日，施耐德电气（Schneider Electric）公司发布安全公告，修复了Interactive Graphical SCADA System（IGSS）多个高危漏洞，相关漏洞CVE编号：CVE-2021-22750、CVE-2021-22751、CVE-2021-22752、CVE-2021-22753、CVE-2021-22754、CVE-2021-22755、CVE-2021-22756、CVE-2021-22757、CVE-2021-22758、CVE-2021-22759、CVE-2021-22760、CVE-2021-22761、CVE-2021-22762。攻击者可利用漏洞执行远程代码或导致信息泄露。建议受影响用户及时将IGSS Definition (Def.exe)升级至15.0.0.21141版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。

二、 漏洞描述

Schneider Electric Interactive Graphical SCADA System（IGSS）是法国施耐德电气（Schneider Electric）公司的一套用于监控和控制工业过程的SCADA（数据采集与监控系统）系统。

1. Schneider Electric IGSS越界写入漏洞(CVE-2021-22750)

该漏洞是将恶意CGF文件导入IGSS时，由于缺少对文件长度检查而导致越界写入，攻击者可利用该漏洞执行远程代码。

2. Schneider Electric IGSS越界写入漏洞(CVE-2021-22751)

该漏洞是将配置组恶意CGF文件导入IGSS时，由于缺少对文件长度检查而导致越界写入，攻击者可利用该漏洞执行远程代码。

3. Schneider Electric IGSS越界写入漏洞(CVE-2021-22752)

该漏洞是当IGSS解析恶意WSP文件时，由于缺少对文件长度检查而导致越界写入，攻击者可利用该漏洞执行远程代码。

4. Schneider Electric IGSS越界越界读取漏洞(CVE-2021-22753)

该漏洞是当IGSS解析恶意WSP文件时，由于缺少对文件长度检查而导致越界读取，攻击者可利用该漏洞执行远程代码。

5. Schneider Electric IGSS越界写入漏洞(CVE-2021-22754)

该漏洞是将恶意CGF文件导入IGSS时，由于未能对用户提供的数据进行充分验证而导致越界写入，攻击者可利用该漏洞执行远程代码。

6. Schneider Electric IGSS越界写入漏洞(CVE-2021-22755)

该漏洞是将恶意CGF文件导入IGSS时，由于未能对用户提供的数据进行正确验证而导致越界写入，攻击者可利用该漏洞执行远程代码。

7. Schneider Electric IGSS越界读取漏洞(CVE-2021-22756)

该漏洞是将恶意CGF文件导入IGSS时，由于未能对用户提供的数据进行验证而导致越界读取，攻击者可利用该漏洞执行远程代码。

8. Schneider Electric IGSS越界读取漏洞(CVE-2021-22757)

该漏洞是将恶意CGF文件导入IGSS时，由于未能对用户提供的数据进行安全检查而导致越界读取，攻击者可利用该漏洞执行远程代码。

9. Schneider Electric IGSS空指针引用漏洞(CVE-2021-22758)

该漏洞是将恶意CGF文件导入IGSS时，由于未能对用户提供的数据进行安全检查而导致操作未初始化空指针，攻击者可利用该漏洞执行远程代码。

10. Schneider Electric IGSS释放后使用漏洞(CVE-2021-22759)

该漏洞是将由于恶意CGF文件导入IGSS时，由于未能对用户提供的数据进行充分检查导致的，攻击者可利用该漏洞执行远程代码。

11. Schneider Electric IGSS空指针引用漏洞(CVE-2021-22760)

该漏洞是将恶意CGF文件导入IGSS时，由于缺少对用户提供的数据进行输入检查，攻击者可利用该漏洞执行远程代码。

12. Schneider Electric IGSS缓冲区溢出漏洞(CVE-2021-22761)

该漏洞是将恶意CGF文件导入IGSS时，由于缺少对用户提供数据的长度进行检查，攻击者可利用该漏洞执行远程代码或导致信息泄露。

13. Schneider Electric IGSS路径遍历漏洞(CVE-2021-22762)

该漏洞是当IGSS Definition解析恶意的CGF或WSP文件时，攻击者可利用该漏洞执行远程代码。

三、 影响范围

四、 安全建议

目前官方已修复以上漏洞，建议IGSS Definition (Def.exe)升级至15.0.0.21141版本。

https://igss.schneider-electric.com/igss/igssupdates/v150/IGSSUPDATE.ZIP

五、 参考链接

https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2021-159-01