AG公司云
三菱HMI工具E-Designer远程执行代码 手艺剖析与防护计划
2017-09-01
综述
美国工业控制系统网络应急响应小组（ICS-CERT）携手趋势科技（Trend Micro公司）的零日妄想（简称ZDI）披露了多项对三菱电机E-Designer引擎（E-Designer 是用于给 E1000 人机界面（HMI）编程的工具）爆发影响的多项高危清静误差。
软件简介
E-Designer是Beijer公司为三菱开发，用来编写E1000系列人机界面的软件。E-Designer组态软件的工程文件以后缀名为.mpa的文本文件存储，该文本文件存储了工程的详细参数信息，如PLC型号、驱动信息等（图2.1）。
图2.1 E-Designer组态界面以及工程文件
受影响版本
l 三菱电气E-Designer 7.52的所有版本。
误差剖析
E-Designer组态软件的工程文件存储了工程项目的设置以及详细信息。工程文件的起始处为[Project]，包括了工程文件建设的时间、最近修改的时间、PLC装备信息、通讯协议信息等。[Project]后为一些[FontMapTable]、[Drivers]、[Setup]等子项参数。每一个子项参数又包括了更多的子项参数。例如[Setup]子项包括了[SetupIndex]、[SetupSystemSignals]、[SetupClock]等，如图4.1所示：
图4.1 E-Designer工程文件
Ed.exe组态程序翻开工程时，需要加载.mpa工程文件。该组态程序在加载特定的异常.mpa工程文件时，保存堆溢出误差。
.mpa工程文件中[Setup]选项的[SetupAlarm]子选项中有一参数项为Font，在ed.exe中使用C函数库的sscanf()函数举行加载，其参数名堂如下：
"%[A-Za-z]%ux%u%u%u%u%u"
%u体现无符号整形数，%[A-Za-z]为长度为100个字节的字符串。
若是.mpa工程文件保存[SetupAlarm]子选项，并且Font值的字符串凌驾100字节（图4.2所示），会触发堆溢出误差。
图4.2 异常工程文件
使用调试软件举行剖析，当ed.exe程序加载异常工程组态文件时，会将.mpa文件中Font的值载入，最终造成堆溢出，如图4.3所示
图4.3 加载异常工程文件造成堆溢出
误差使用
A. 使用条件
被攻击者装置有E-Designer 7.52版本软件。
攻击者需要将异常的组态文件植入到被攻击者的盘算机中。
B. 植入要领
攻击者可以通过向目的主机发送植入异常组态文件的数据包实现。数据包如图5.1所示
C. 误差使用影响
l 乐成使用该误差，可实现提权执行代码。
l 未乐成使用该误差，可实现该软件的拒绝服务。
检测与防护计划
A. 检测与防护
l 通过网络监控软件，检测网络中是否保存包括异常组态文件的攻击数据包--凭证异常组态文件特征，检测网络中是否有向主机发送.mpa文件。并且检测文件内容中的[SetupAlarm]子项中的Font参数值是否凌驾100字节（图5.1）。
l 使用误差扫描工具检测盘算机中E-Designer软件
1) 检测软件版本是否为7.52（图6.1）
图6.1 E-Designer组态软件版本检查
2) 凭证异常组态文件特征，检测盘算机中E-Designer的.mpa工程组态文件是否保存异常项。
B. 规避计划
l 翻开组态工程时需检查该组态工程文件是否保存异常。
l 升级软件到更高版本以规避该误差。
C. 产品计划
l 使用AG公司科技工控误差扫描系统（ICSScan）举行远程清静评估。
l 使用AG公司科技防护类装备（IPS/NF）举行清静防护。
l 使用AG公司科技清静审计系统举行实时清静监控。
参考链接
https://ics-cert.us-cert.gov/advisories/ICSA-17-213-01
TSL20170802-09 Vulnerability Report (Mitsubishi Electric E-Designer SetupAlarm Font Stack Buffer Overflow).pdf
声明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
