漏洞概述
本文讲的是 施耐德电气重要信息安全通知——M340以太网模块Web服务漏洞，在登录M340web页面时，输入90-100个字符的随机密码可导致M340以太网模块拒绝服务、通讯中断。
受影响用户
使用M340web页面或未关闭web服务，并未经防火墙或其他隔离保护将M340接入其他网络或公共网络的用户。
凡采用施耐德电气整体解决方案的用户，以及由施耐德电气实施的项目，以太网模块与非生产网络之间已经部署了保护或隔离措施。
受影响产品
BMXNOC0401 (版本早于 v2.09)
BMXNOE0100 (版本早于 v3.10)
BMXNOE0100H (版本早于 v3.10)
BMXNOE0110 (版本早于 v6.30)
BMXNOE0110H (版本早于 v6.30)
BMXNOR0200 (版本早于 v1.70)
BMXNOR0200H (版本早于 v1.70)
BMXP342020 (版本早于 v2.80)
BMXP342020H (版本早于 v2.80)
BMXP342030 (版本早于 v2.80)
BMXP3420302 (版本早于 v2.80)
BMXP3420302H (版本早于 v2.80)
BMXPRA0100 (版本早于 v2.80)
施耐德电气对受影响用户的建议
- 不需要使用web服务的用户请关闭该服务，或使用防火墙及其他网络隔离设备保护80端口，具体技术问题请联系施耐德电气产品供应商。
- 需要对其他网络开放M340web服务的用户，请联系施耐德电气产品供应商以获取修复补丁，并对设备进行升级。
- 新版本PLC已经修复了该漏洞，用户可以对照采购产品的生产日期：
BMXNOC0401 2015年12月15日
BMXNOE0100(H) 2015年12月15日
BMXNOE0110(H) 2015年12月15日
BMXNOR0200(H) 2016年01月16日
BMXP342020 2016年01月16日
BMXP3420302 2016年01月16日
BMXPRA0100 2016年01月16日
更多信息
施耐德电气非常感谢Cyber X发现该漏洞并提供相关信息。由于该漏洞有明确的攻击手段和重现方法，施耐德电气通过内部测试，确认了临时补丁和新版本固件已经修复该问题，并已正式对外发布。目前施耐德电气已经与Cyber X取得联系，由漏洞发现者确认修复效果。
为用户提供安全可靠的产品和服务是施耐德电气的客户价值和社会责任，为此施耐德电气本着及时发现、及时修复的原则，始终不遗余力地持续在信息安全方面改进产品。施耐德电气以非常开放的态度欢迎任何用户、机构或个人发掘新漏洞并提供相关技术信息，协助施耐德电气改善产品。
除产品层面外，施耐德电气同时提供符合IEC62443和ISA99的多层次纵深防御信息安全解决方案，解决用户的后顾之忧。