关键信息 漏洞概述 标题: Korenix JetNet 最后修订日期: 2017年10月26日 警告代码: ICSA-17-299-01 CVSS v3评分为9.8 注意: 可远程利用/低技能水平利用 漏洞详细信息 厂商: Korenix 设备: JetNet 漏洞: 使用硬编码的加密密钥、使用硬编码的凭据 受影响的产品 JetNet5018G 版本 1.4 JetNet5310G 版本 1.4a JetNet5428G-2G-2FX 版本 1.4 JetNet5628G-R 版本 1.4 JetNet5628G 版本 1.4 JetNet5728G-24P 版本 1.4 JetNet5828G 版本 1.1d JetNet6710G-HVDC 版本 1.1e JetNet6710G 版本 1.1 影响 成功利用这些漏洞可能允许远程攻击者获得对设备的远程访问，运行任意代码和执行中间人攻击。 缓解措施 Korenix 已经生产了新的固件，以移除受影响系统上的未记录硬编码凭据。 建议受影响的用户使用软件支持证书替换功能更改受影响设备上的证书。 最小化所有控制系统设备和/或系统对所有控制系统的网络暴露，并确保它们不能从互联网访问。 将控制系统网络和远程设备置于防火墙之后，并与业务网络隔离。 在需要远程访问时，使用安全方法，例如虚拟专用网络（VPN）。 漏洞概述 使用硬编码的加密密钥 CWE-321: 一个攻击者可能获得对硬编码证书和私钥的访问，允许攻击者执行中间人攻击。 已将 CVE-2017-14021 分配给此漏洞。CVSS v3 底分是9.8。 使用硬编码的凭据 CWE-798: 软件使用未记录的硬编码凭据，可能导致远程访问。 已将 CVE-2017-14027 分配给此漏洞。CVSS v3 底分是9.8。 研究者与背景 研究者: Qualys 漏洞签名/研究团队的 Mandar Jadhav 报告了这些漏洞给 ICS-CERT。 关键基础设施部门: 商业设施、关键制造业和运输系统。 部署国家/地区: 全球 公司总部位置: 加利福尼亚州华纳特