聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
微软披露了位于罗克韦尔自动化 (Rockwell Automation) PanelView Plus 中的两个漏洞，可被远程未认证攻击者用于执行任意代码并处罚拒绝服务条件。
安全研究员 Yuval Gordon 表示，“位于 PanelView Plus 中的远程代码执行漏洞牵涉两个自定义类，可被滥用于上传并将恶意DLL加载到设备。该DoS 漏洞利用同样的自定义类，发送了设备无法正确处理的构造缓冲区，从而导致DoS后果。”
这些漏洞如下：
CVE-2023-2071（CVSS评分9.8）：该输入验证不当漏洞可使未认证攻击者通过构造的恶意数据包执行远程代码。
CVE-2024-29464（CVSS评分8.2）：该输入验证不当漏洞可使未认证威胁行动者通过构造的恶意数据包读取内存中的数据，并通过发送大于缓冲区大小的数据包引发拒绝服务后果。
成功利用这两个漏洞可导致攻击者远程执行代码或引发信息泄露或拒绝服务条件。
CVE-2023-2071影响 FactoryTalk View Machine 版本（13.0、12.0及之前版本），CVE-2024-29464影响 FactoryTalk Linx（6.30、6.20及之前版本）。
值得注意的是，罗克韦尔自动化公司在2023年9月12日和2023年10月12日就发布了修复方案。美国网络安全和基础设施安全局 (CISA) 在9月21日和10月17日发布了告警信息。
此前，身份不明的威胁行动者被指利用 HTTP File Server 最新披露的一个严重漏洞（CVE-2024-23692，CVSS 9.8），传播密币挖矿机和木马如 Xeno RAT、Gh0st RAT和PlugX。该漏洞是一个模板注入漏洞，可导致远程未认证攻击者通过特殊构造的HTTP请求，在受影响系统上执行任意命令。
代码卫士试用地址：https://codesafe.qianxin.com
开源卫士试用地址：https://oss.qianxin.com
推荐阅读
堪比“震网”：罗克韦尔PLC严重漏洞可导致攻击者在系统中植入恶意代码
原文链接
https://thehackernews.com/2024/07/microsoft-uncovers-critical-flaws-in.html
题图：Pexels License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
