2022年上半年披露的数百个ICS漏洞

先回顾一下2021年前半年情况，年上2021 年前 6 个月 ，半年百影响 76 家供应商产品的披露 637 个 ICS 缺陷的存在被曝光，其中超过 70% 的数洞漏洞被赋予了严重或高严重性等级。相比之下，年上2020 年下半年仅披露了 449 个漏洞 。半年百

Claroty 进行的披露一项分析表明 ，2021 年上半年披露的数洞绝大多数安全漏洞不需要特殊条件即可利用，四分之三不需要任何特权，年上三分之二无需用户交互即可被利用。半年百

该公司表示，披露61% 的服务器租用数洞漏洞可以被远程利用，其中 65% 的年上漏洞可以被用于拒绝服务 (DoS) 攻击
 ，与 IT 系统相比，半年百这对 ICS 的披露影响可能更大 。

超过 80% 的漏洞是由外部研究人员报告给供应商的。在报告 2021 年上半年披露的缺陷的研究人员中  ，有 42 人是新研究人员。

受影响最大的亿华云供应商是西门子（146 个漏洞） 、施耐德电气（65 个）、罗克韦尔自动化（35 个） 、万可（23 个）和研华（22 个）。值得注意的是 ，受影响的供应商名单还包括 20 家公司
，其产品未受到去年披露的任何缺陷的影响。

大多数安全漏洞会影响运营管理级别的产品（历史学家、OPC 服务器） ，建站模板其次是基本控制（PLC、RTU）和监督控制（HMI、SCADA）级别。

2022年上半年，SynSaber 统计了 CISA 披露的 681 个漏洞 ，略高于2021 年上半年的637个漏洞 。值得注意的是，CISA 并未针对所有公开披露的 ICS 缺陷发布公告，这意味着 1 月至 6 月期间披露的实际问题数量可能会更高。源码下载

在 681 个 CVE 中，大约 13% 没有补丁并且可能永远无法修复——这些被称为“永久漏洞” 
。

然而，在某些情况下，即使漏洞确实有补丁 ，由于 SynSaber 所描述的“复杂的互操作性和保修限制”，应用它可能不是一项简单的任务
。组织可能需要等待受影响的 OEM 供应商批准补丁，并且他们需要在采取任何步骤之前确定运营风险 。

CISA 在 2022 年上半年公开的漏洞中，模板下载超过 22% 的漏洞被评为“严重”严重性等级
，42% 根据其 CVSS 评分被评为“高严重性”等级。

然而 ，正如专家们经常强调的那样，在 ICS 的情况下，CVSS 分数可能会产生误导 。SynSaber 建议组织查看某些指标，以确定漏洞是否可以在其环境中实际利用。例如，如果利用需要用户交互、本地/物理访问或目标系统上的提升权限 ，香港云服务器那么它就不太可能被利用。

在这种特殊情况下，利用 46 个漏洞需要访问和用户交互，198 个需要用户交互。

在 681 个 ICS 漏洞中
，超过一半需要软件补丁，34% 需要固件更新，12% 需要协议更新。

SynSaber 的一项评估表明  ，大约 40% 的漏洞应该立即解决，8% 的漏洞不容易解决 ，可能需要补偿控制以防止利用
。

“仅查看报告的 CVE 的绝对数量可能会让资产所有者感到不知所措，但当我们了解 CVE 的相关性和可操作性的百分比，而哪些仍将是‘永远存在的漏洞’时 ，这些数字似乎就不那么令人生畏了，至少暂时
，”SynSaber 在其报告中说。

很赞哦!（5578）