漏洞关键信息 1. 执行摘要 CVSS v3: 7.5 注意: 可远程利用/攻击复杂性低 厂商: Siemens 设备: SCALANCE XM-400, XR-500 漏洞: 计算错误 2. 风险评估 成功利用此漏洞可能允许未经授权的远程攻击者创建永久拒绝服务条件。 3. 技术细节 3.1 受影响的产品 受影响的Siemens产品包括： SCALANCE XM-400 Family: 所有版本至v6.4之前 SCALANCE XR-500 Family: 所有版本至v6.4之前 3.2 漏洞概述 3.2.1 计算错误 CWE-682 未经身份验证的远程攻击者可以通过发送特制的OSPF数据包创建永久拒绝服务条件。成功利用需要在受影响的设备上启用OSPF。 CVE-2020-28393 已分配给此漏洞。CVSS v3基本得分为7.5；CVSS向量字符串为(AV:N / AC:L / PR:N / UI:N / S:U / C:N / I:N / A:H)。 3.3 背景 关键基础设施部门: 多个部门 部署的国家/地区: 全球 公司总部位置: 德国 3.4 研究人员 Siemens将此漏洞报告给CISA。 4. 缓解措施 Siemens建议在可用时应用更新： SCALANCE XM-400 Family: 更新至v6.4 或更高版本 SCALANCE XR-500 Family: 更新至v6.4 或更高版本 可应用以下特定的变通方法和缓解措施： 层3配置菜单中禁用OSPF（默认情况下已禁用）。 如果使用OSPF，设置OSPF接口的密码并启用MD5身份验证。 通用安全措施还包括： 尽量减少所有控制系统的网络暴露，确保它们不在互联网上。 将控制系统的网络和远程设备放置在防火墙之后，与业务网络隔离。 需要远程访问时，使用安全方法，如虚拟专用网络（VPNs）。需要更新到最新版本。 CISA建议用户采取防御措施以最小化此漏洞利用的风险，具体措施包括最小化网络暴露、使用VPN等。