OSIsoft PI Web API 2019存在安全漏洞，攻击者可在用户浏览器上运行恶意代码
字数 1159 2025-08-15 21:31:11

OSIsoft PI Web API 2019 安全漏洞分析及应对指南

漏洞概述

漏洞编号: CVE-2020-12021 (ICSA-20-163-01)

影响产品: OSIsoft PI System (特别是PI Web API 2019版本)

漏洞类型: 跨站脚本(XSS)漏洞

风险等级: 高危

发现者: Otorio公司安全研究人员

漏洞技术细节

漏洞描述

该漏洞允许攻击者在客户端浏览器上执行恶意代码，具体表现为：

  1. 攻击者可构造特殊的输入字段，当用户光标经过该字段时触发攻击
  2. 漏洞利用会显示伪造的登录表单，诱骗用户重新输入凭据
  3. 攻击成功后，攻击者可获取用户的合法凭据

攻击场景

  1. 攻击者需要能够向PI System中注入恶意代码
  2. 受害者使用浏览器访问包含恶意代码的PI System界面
  3. 当用户光标移动到特定字段时触发攻击
  4. 系统显示伪造的登录表单，诱使用户输入凭据
  5. 攻击者获取用户凭据后，可进一步渗透系统

受影响系统

  • OSIsoft PI Web API 2019版本
  • 使用该API的所有客户端应用程序

漏洞影响

  1. 凭据窃取: 攻击者可获取合法用户凭据
  2. 权限提升: 通过获取高权限账户，攻击者可控制系统
  3. 数据泄露: 可访问PI System中存储的所有工厂数据
  4. 横向移动: 可进一步渗透到连接的OT网络资产

解决方案

官方修复方案

OSIsoft已发布安全更新，建议用户：

  1. 立即升级到PI Web API 2019 SP1版本
  2. 遵循OSIsoft提供的所有安全配置指南

临时缓解措施

若无法立即升级，可考虑：

  1. 限制对PI Web API的访问，仅允许可信网络/IP访问
  2. 实施严格的输入验证，过滤可能的恶意代码
  3. 加强用户教育，警惕异常登录提示
  4. 实施多因素认证，降低凭据泄露风险

漏洞发现与响应过程

  1. Otorio安全团队发现并报告漏洞
  2. OSIsoft迅速响应并修复漏洞
  3. 漏洞信息提交至美国ICS-CERT
  4. 协调披露过程完成

最佳实践建议

  1. 定期更新: 保持PI System所有组件为最新版本
  2. 输入验证: 对所有用户输入实施严格验证
  3. 最小权限: 遵循最小权限原则配置用户权限
  4. 网络隔离: 将PI System部署在隔离的网络区域
  5. 监控审计: 实施全面的日志记录和监控

参考资源

  1. ICS-CERT公告: ICSA-20-163-01
  2. CVE详情: CVE-2020-12021
  3. OSIsoft安全公告
  4. Otorio公司技术报告

总结

CVE-2020-12021是一个影响OSIsoft PI Web API 2019的高危漏洞，可导致凭据泄露和系统入侵。所有使用受影响版本的用户应立即升级到修复版本PI Web API 2019 SP1，并实施全面的安全措施保护关键基础设施系统。

OSIsoft PI Web API 2019 安全漏洞分析及应对指南 漏洞概述 漏洞编号 : CVE-2020-12021 (ICSA-20-163-01) 影响产品 : OSIsoft PI System (特别是PI Web API 2019版本) 漏洞类型 : 跨站脚本(XSS)漏洞 风险等级 : 高危 发现者 : Otorio公司安全研究人员 漏洞技术细节 漏洞描述 该漏洞允许攻击者在客户端浏览器上执行恶意代码，具体表现为： 攻击者可构造特殊的输入字段，当用户光标经过该字段时触发攻击 漏洞利用会显示伪造的登录表单，诱骗用户重新输入凭据 攻击成功后，攻击者可获取用户的合法凭据 攻击场景 攻击者需要能够向PI System中注入恶意代码 受害者使用浏览器访问包含恶意代码的PI System界面 当用户光标移动到特定字段时触发攻击 系统显示伪造的登录表单，诱使用户输入凭据 攻击者获取用户凭据后，可进一步渗透系统 受影响系统 OSIsoft PI Web API 2019版本 使用该API的所有客户端应用程序 漏洞影响 凭据窃取 : 攻击者可获取合法用户凭据 权限提升 : 通过获取高权限账户，攻击者可控制系统 数据泄露 : 可访问PI System中存储的所有工厂数据 横向移动 : 可进一步渗透到连接的OT网络资产 解决方案 官方修复方案 OSIsoft已发布安全更新，建议用户： 立即升级到 PI Web API 2019 SP1 版本 遵循OSIsoft提供的所有安全配置指南 临时缓解措施 若无法立即升级，可考虑： 限制对PI Web API的访问，仅允许可信网络/IP访问 实施严格的输入验证，过滤可能的恶意代码 加强用户教育，警惕异常登录提示 实施多因素认证，降低凭据泄露风险 漏洞发现与响应过程 Otorio安全团队发现并报告漏洞 OSIsoft迅速响应并修复漏洞 漏洞信息提交至美国ICS-CERT 协调披露过程完成 最佳实践建议 定期更新 : 保持PI System所有组件为最新版本 输入验证 : 对所有用户输入实施严格验证 最小权限 : 遵循最小权限原则配置用户权限 网络隔离 : 将PI System部署在隔离的网络区域 监控审计 : 实施全面的日志记录和监控 参考资源 ICS-CERT公告: ICSA-20-163-01 CVE详情: CVE-2020-12021 OSIsoft安全公告 Otorio公司技术报告 总结 CVE-2020-12021是一个影响OSIsoft PI Web API 2019的高危漏洞，可导致凭据泄露和系统入侵。所有使用受影响版本的用户应立即升级到修复版本PI Web API 2019 SP1，并实施全面的安全措施保护关键基础设施系统。