几个缺陷在Carrier的工业访问控制系统中被报告 媒体
Carrier 派系 LenelS2 HID Mercury 安全漏洞警告
关键要点
Trellix 的研究人员发现 LenelS2 HID Mercury 访问控制系统存在多达四个严重的零日漏洞。这些漏洞可能被攻击者利用来完全控制系统。CISA 已发布通知，建议更新到最新固件版本。最近，The Hacker News 报道，流行的 Carrier LenelS2 HID Mercury 访问控制系统被 Trellix 的研究人员发现受到多达四个严重的零日漏洞的影响，攻击者可利用这些漏洞获取系统的完全控制权。研究人员 Sam Quinn 和 Steve Povolny 表示：“我们发现的漏洞使我们能够远程开锁和锁门，破坏警报，并削弱日志和通知系统。”
具体而言，攻击者可以利用 CVE202231481 实现未经身份验证的远程执行，而 CVE202231749 和 CVE202231486 则可能被用来进行命令注入。CVE202231480 和 CVE202231482 可能导致拒绝服务条件，而 CVE202231484、CVE202231485 和 CVE202231483 则可能被利用来实现用户权限更改、信息伪造和任意文件写入。
闪连加速器官网入口此外，网络安全和基础设施安全局CISA也已发布了一份通知，敦促用户将 LenelS2 HID Mercury 系统升级到最新的固件版本。CISA 表示：“成功利用这些漏洞可能允许攻击者访问设备，监控所有发送到设备和从设备发送的通信，修改板载继电器、更改配置文件、导致设备不稳定以及拒绝服务情况。”
更新： 最初由 The Hacker News 报道的 HID Mercury 访问控制面板是由第三方供应商 HID Mercury 设计和制造，而非 LenelS2，如前所述。