美国网络安全与基础设施安全局（CISA）于 2025 年 8 月 28 日发布了九项工业控制系统（ICS）安全公告，详细披露了主流厂商产品中存在的高、中危漏洞。
这些公告重点指出了可远程利用的漏洞、权限提升漏洞、内存损坏漏洞以及不安全配置问题。
CISA 与相关厂商希望通过提供精准指导，帮助工业控制系统操作人员防范新型网络威胁，保障工业控制系统环境安全。
- 九项工业控制系统安全公告详细列出了各类严重漏洞，涵盖身份验证绕过、凭证泄露、缓冲区溢出及权限提升等类型。
- 应安装厂商提供的补丁，通过虚拟专用网络（VPN）/ 防火墙隔离控制网络。
- 开展影响评估，遵循纵深防御（ICS-TIP）指导方针。
编号为 ICSA-25-240-01 和 ICSA-25-240-02 的两项公告，分别对应 MELSEC iQ-F 系列 CPU 模块中的两个独立漏洞：
- ICSA-25-240-01 公告（CVE-2025-7405）：关键功能缺失身份验证（CVSS v4 评分 6.9，CWE-306）。远程攻击者无需身份验证，即可读取 / 修改设备数值或终止程序运行。
- ICSA-25-240-02 公告（CVE-2025-7731）：敏感信息明文传输（CVSS v4 评分 8.7，CWE-319）。网络传输过程中，SLMP 协议凭证以明文形式暴露，存在泄露风险。
受影响的设备型号包括 FX5U、FX5UC、FX5UJ 及 FX5S 系列，公告中明确标注了受影响的固件版本阈值。厂商建议采取局域网隔离、强制使用 VPN、IP 过滤及物理访问控制等防护措施。
- 施耐德电气（Schneider Electric）：ICSA-25-240-03 公告涉及 Saitel DR/DP 远程终端单元（RTU），存在权限管理不当漏洞（CVE-2025-8453，CVSS v3 评分 6.7）。已通过身份验证的工程师可通过篡改配置文件提升权限，安装 HUe v11.06.30 版本补丁可修复该漏洞。
- 台达电子（Delta Electronics）：发布两项相关公告：
- ICSA-25-240-04 公告：CNCSoft-G2 软件存在越界写入漏洞（CVE-2025-47728，CVSS v4 评分 8.5）。攻击者可通过构造恶意 DPAX 文件实现任意代码执行，需更新至 v2.1.0.27 及以上版本。
- ICSA-25-240-05 公告：COMMGR 组件存在缓冲区溢出与代码注入漏洞（CVE-2025-53418，CVSS v4 评分 8.8；CVE-2025-53419，CVSS v4 评分 8.4），需打补丁升级至 v2.10.0 版本。
- 通用电气韦尔诺瓦（GE Vernova）：ICSA-25-240-06 公告指出其 CIMPLICITY 人机交互界面（HMI）/ 监控与数据采集（SCADA）系统存在 “不受控搜索路径元素” 漏洞（CVE-2025-7719，CVSS v4 评分 7.0），可能导致本地权限提升，建议升级至 2024 SIM 4 版本。
- 三菱多项工厂自动化（FA）工程软件：ICSA-24-135-04 公告（CVSS v4 评分 4.4）披露了 30 余款软件工具中存在的权限漏洞、资源消耗漏洞及越界写入漏洞（漏洞编号从 CVE-2023-51776 至 CVE-2024-26314）。用户需安装 Update D 更新（公告中列出了各软件最新版本），并遵循纵深防御指南。
- ICONICS 数字解决方案与 MC Works64 软件：ICSA-25-140-04 公告（CVSS v4 评分 6.8）显示，AlarmWorX64 Pager 服务存在 “使用不必要权限执行” 漏洞（CVE-2025-0921）。缓解措施包括禁用 Classic OPC Point Manager 功能，且仅允许管理员账号登录。
- 日立能源（Hitachi Energy）：ICSA-25-184-01 公告涉及 Relion 670/650 系列与 SAM600-IO 系列设备，存在 “异常条件检查不当” 漏洞（CVE-2025-1718，CVSS v4 评分 7.1）。已通过 FTP 身份验证的用户可触发设备重启，安装 2.2.6.4 或 2.2.5.8 及以上版本固件可降低风险。
CISA 强调，相关机构应开展漏洞影响分析、隔离控制网络、部署 VPN 与防火墙，并严格遵循推荐的工业控制系统技术实施指南（ICS-TIP）及纵深防御策略。
各组织若发现疑似漏洞利用行为，应及时上报；同时，需立即安装厂商提供的补丁，避免漏洞被恶意利用。
版权声明·<<<---红客联盟--->>>>·免责声明
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。
联系我们：admin@chnhonker.com
