Vulnerability in Rockwell Automation’s Verve Asset Manager đã được xác định với CVE-2025-1449, là một lỗ hổng bảo mật nghiêm trọng cho phép kẻ tấn công có quyền truy cập quản trị thực thi các lệnh tùy ý trong bối cảnh của container đang chạy dịch vụ. Dưới đây là những chi tiết chính và các chiến lược giảm thiểu:
Tổng quan về lỗ hổng
- CVE ID: CVE-2025-1449
- Độ nghiêm trọng: Nghiêm trọng (CVSS v3.1: 9.1, CVSS v4.0: 8.9)
- Loại lỗ hổng: Kiểm tra đầu vào không đúng (CWE-1287)
- Tác động: Thực thi lệnh tùy ý trong môi trường container
Sản phẩm bị ảnh hưởng
- Verve Asset Manager: Các phiên bản 1.39 và trước đó.
Chi tiết kỹ thuật
Lỗ hổng này phát sinh từ việc không xác thực đủ biến trong giao diện web quản trị của khả năng Giao diện Active Directory Legacy (ADI) của Verve, đã bị ngừng sử dụng kể từ phiên bản 1.36. Điều này cho phép người dùng thay đổi một biến mà không được kiểm soát đầy đủ, cho phép các đối tượng có quyền quản trị thực hiện lệnh tùy ý.
Chiến lược giảm thiểu
- Nâng cấp lên phiên bản đã sửa lỗi:
- Rockwell Automation đã giải quyết vấn đề bảo mật này trong phiên bản Verve Asset Manager 1.40, được phát hành đồng thời với thông báo bảo mật.
- Thực hiện các nguyên tắc bảo mật tốt nhất:
- Cách ly mạng: Giảm thiểu sự tiếp xúc mạng cho tất cả các thiết bị và hệ thống điều khiển, đảm bảo rằng chúng không thể truy cập từ Internet.
- Truy cập từ xa an toàn: Sử dụng các phương pháp an toàn hơn, chẳng hạn như mạng riêng ảo (VPN), đồng thời nhận thức rằng VPN có thể có các lỗ hổng và nên được cập nhật lên phiên bản mới nhất có sẵn.
- Kiểm soát truy cập: Hạn chế quyền truy cập vào các chức năng quản trị và sử dụng các cơ chế xác thực đầu vào mạnh mẽ.
- Đánh giá và khắc phục rủi ro:
- Thực hiện đánh giá rủi ro ngay lập tức và ưu tiên khắc phục dựa trên sự tiếp xúc và tính quan trọng của các hệ thống chạy phần mềm dễ bị tổn thương.
- Sử dụng Phân loại Lỗ hổng cụ thể cho Các bên liên quan để tạo ra các ưu tiên khắc phục phù hợp hơn với môi trường.
- Các khuyến nghị bổ sung:
- Thường xuyên cập nhật phần mềm và firmware lên các phiên bản mới nhất.
- Tiến hành quét lỗ hổng và đánh giá rủi ro một cách kỹ lưỡng.
- Implement robust access controls, including multi-factor authentication.
- Đào tạo nhân viên nhận diện và phản ứng với các sự cố bảo mật.
Bằng cách thực hiện các chiến lược giảm thiểu này, các tổ chức có thể giải quyết hiệu quả lỗ hổng CVE-2025-1449 và bảo vệ các hệ thống điều khiển công nghiệp khỏi khả năng bị khai thác.
