【安全资讯】洛克威尔自动化PowerMonitor 1000设备存在严重安全漏洞：CVSS评分高达9.8/10

概要：

洛克威尔自动化公司发布了一项严重的安全警告，指出其PowerMonitor 1000设备存在三处关键漏洞。这些漏洞可能导致远程代码执行、拒绝服务（DoS）和设备接管，给工业环境带来重大风险。

主要内容：

此次漏洞分别被标记为CVE-2024-12371、CVE-2024-12372和CVE-2024-12373，均获得了CVSS v3.1基础评分9.8/10，显示出其危害性。CVE-2024-12371允许攻击者通过未经身份验证的API调用配置新的特权“政策持有者”用户，该用户拥有最高权限，可以进行编辑操作、创建管理员用户和执行出厂重置。

CVE-2024-12372涉及堆内存损坏，可能会影响系统完整性，利用此漏洞可能导致远程代码执行或拒绝服务攻击。CVE-2024-12373则是一个缓冲区溢出问题，可能导致拒绝服务条件，干扰设备功能，甚至影响工业操作。

受影响的PowerMonitor 1000型号包括PM1k 1408-BC3A-485和PM1k 1408-EM3A-ENT，运行固件版本低于4.020的设备均存在漏洞。洛克威尔自动化强烈建议用户更新至4.020或更高版本的固件，以降低风险。尽管这些漏洞尚未列入已知利用漏洞（KEV）数据库，但鉴于其严重性，潜在的利用风险依然很高，工业环境中的用户应迅速采取行动。