关键信息 漏洞描述 漏洞编号: VDE-2024-049 发布日期: 2024-08-27 10:00 (CEST) 更新日期: 2024-08-27 08:57 (CEST) 供应商: Beckhoff Automation GmbH & Co. KG 受影响产品: - IPC Diagnostics package - TwinCAT/BSD 漏洞详情 描述: 默认情况下，TwinCAT/BSD 基于产品的设备特定 Web 接口（WBM）已启用，由 Beckhoff 开发并称为 Beckhoff Device Manager UI。它可以通过远程或本地访问。当本地访问时，用户可以提交特定的输入，然后让进程“MDPWebServer”消耗最大 CPU 周期和随机存取内存（RAM）。 CVE ID: CVE-2024-41175 严重性: 5.5 (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H) 弱点: 无限制或限流分配资源 (CWE-770) 影响: 本地、低权限攻击者可能导致拒绝服务。 解决方案 缓解措施: 避免目标上存在除管理员访问外的其他用户账户。 修复建议: 更新受影响产品的最新版本。贝克霍夫建议更新整个 TwinCAT/BSD 操作系统到最新版本，而不是单独的包。有关更新现有 TwinCAT/BSD 安装的信息，请参阅此处。您还可以通过命令行确定操作系统的版本。这在 Beckhoff Device Manager UI 中也是可见的。 报告: 由 Nozomi Networks 的 Andrea Palanca 报告。CERT@VDE 与 Beckhoff 协调。 其他信息 报告日期: 2024-08-27 10:00 (CEST) 更新日期: 2024-08-27 08:57 (CEST) 供应商: Beckhoff Automation GmbH & Co. KG 受影响产品: - IPC Diagnostics package - TwinCAT/BSD 总结 这个漏洞描述了贝克霍夫 TwinCAT/BSD 操作系统中 IPC Diagnostics package 和 TwinCAT/BSD 的一个拒绝服务漏洞。漏洞允许本地、低权限攻击者通过特定输入消耗系统资源，导致拒绝服务。贝克霍夫建议更新到最新版本以修复此漏洞。