Siemens LOGO! Soft Comfort硬编码AES密钥及弱哈希漏洞公告(CVE-2026-57262/263)

漏洞概述 漏洞编号：SSA-751328 漏洞名称：可恢复的硬编码AES主密钥在Siemens LOGO! Soft Comfort中 发布日期：2026-08-11 最后更新日期：2026-08-11 当前版本：V1.0 CVSS v3.1 基础评分：6.8 CVSS v4.0 基础评分：7.0 影响范围 受影响产品：Siemens LOGO! Soft Comfort 受影响版本：所有版本 < V9 受影响CVE：CVE-2026-57262, CVE-2026-57263 修复方案 修复版本：更新至V9或更高版本 备注：硬件升级到LOGO! V9 EM或更高版本也是必需的，以避免兼容性模式，其中该漏洞仍然存在。 漏洞详情 漏洞CVE-2026-57262 描述：受影响的产品使用静态、硬编码的AES主密钥来加密项目文件。这允许本地攻击者从应用程序文件或内存中提取主密钥，并使用它来解密项目文件或移除项目密码，而无需知道实际用户定义的密码。 CVSS v3.1 基础评分：6.8 CVSS v3.1 向量：CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v4.0 基础评分：7.0 CVSS v4.0 向量：CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/NA:N CWE：CWE-321: Use of Hard-coded Cryptographic Key 漏洞CVE-2026-57263 描述：项目密码存储为未加盐的SHA-256哈希。这允许攻击者使用已获取的项目文件执行有效的离线字典或暴力攻击以对抗哈希。 CVSS v3.1 基础评分：6.8 CVSS v3.1 向量：CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v4.0 基础评分：7.0 CVSS v4.0 向量：CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/NA:N CWE：CWE-759: Use of a One-Way Hash without a Salt 缓解措施 产品特定的缓解措施或缓解方法可以在“已知受影响产品”部分找到。 请遵循“一般安全建议”。 一般安全建议 作为一般安全措施，Siemens强烈建议保护网络访问设备，使用适当的机制。为了加强受保护IT环境中的设备，Siemens建议根据Siemens操作指南配置环境（下载：https://www.siemens.com/cert/operational-guidelines-industrial-security），并遵循产品手册中的建议。有关工业安全的更多信息可以在https://www.siemens.com/industrialsecurity找到。 产品描述 本章描述了本安全公告中解决的漏洞（CVE-ID）。在适用的情况下，它还记录了各个漏洞的文档影响。 致谢 Siemens感谢以下各方为此做出的努力： - Jeroen Sibbe为协调披露所做的贡献 附加信息 有关Siemens产品和解决方案中的安全漏洞的更多信息，请联系Siemens ProductCERT：https://www.siemens.com/cert/advisories 历史数据 V1.0 (2026-08-11) 发布日期 使用条款 Siemens安全公告的使用受所列条款和条件的约束：https://www.siemens.com/productcertification-terms-of-use

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Siemens LOGO! Soft Comfort硬编码AES密钥及弱哈希漏洞公告(CVE-2026-57262/263)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！