Rockwell工业软件EDS文件漏洞分析与防护指南

漏洞概述

Rockwell Automation公司产品中与EDS(Electronic Data Sheet)文件相关的两个高危漏洞已被发现并修复：

• CVE-2020-12034：可导致拒绝服务攻击和SQL注入
• CVE-2020-12038：允许攻击者触发拒绝服务

受影响产品

• FactoryTalk Linx (原RSLinx Enterprise)
• RSLinx Classic
• RSNetWorx
• Studio 5000 Logix Designer

技术细节

EDS文件功能

EDS文件是简单的文本文件，包含设备的配置数据，网络管理工具使用这些文件进行：

• 设备识别
• 网络调试
• 确定设备类型
• 建立正确通信所需的属性

漏洞机制

1. 解析漏洞：漏洞存在于EDS子系统解析EDS文件内容的功能中
2. 攻击向量：恶意构造的EDS文件可被利用来：
   • 写入Windows批处理文件到任意路径(包括启动目录)
   • 在系统重启时执行任意代码
   • 进行SQL注入攻击
   • 导致拒绝服务

攻击场景

1. 攻击者在目标网络中部署一个虚假设备
2. 网络发现工具(如RSLinx)扫描网络时遇到该设备
3. 工具请求并接收攻击者提供的恶意EDS文件
4. 解析过程中触发漏洞，导致：
   • 任意文件写入(如工程工作站或HMI)
   • SQL注入
   • 服务拒绝

潜在影响

• 权限提升：攻击者可获得工程工作站或HMI的访问权限
• 横向移动：利用获得的立足点在OT网络中扩大访问范围
• 持久化：通过写入启动目录实现持久访问
• 系统中断：通过拒绝服务影响工业流程

防护措施

官方补丁

立即应用Rockwell Automation发布的安全更新：

• 参考CISA发布的安全公告
• 访问Rockwell官方安全通告获取补丁

网络监控

1. 设备发现监控：

   • 监控网络中新出现的设备
   • 建立设备白名单机制
   • 对新设备进行严格验证

2. 网络分段：

   • 实施严格的网络分区
   • 限制工程工作站与其他设备的通信

配置加固

1. 最小权限原则：

   • 限制工程工作站和HMI的权限
   • 应用适当的访问控制

2. 输入验证：

   • 对所有接收的EDS文件进行严格验证
   • 实施数字签名验证机制

检测措施

1. 异常检测：

   • 监控异常的文件写入行为
   • 特别是对系统关键目录的写入

2. 日志分析：

   • 加强相关产品的日志记录
   • 定期审计日志中的异常活动

长期建议

1. 供应商合作：与Rockwell保持联系，获取最新安全信息
2. 安全意识：对操作人员进行安全培训
3. 应急响应：制定针对此类漏洞的应急响应计划
4. 纵深防御：实施多层防御策略，不依赖单一防护措施

参考资源

• Rockwell Automation安全公告
• CISA安全公告(ICS Advisory)
• Claroty研究报告
• NIST漏洞数据库(CVE详情)