发布日期：2019-10-10
更新日期：2019-10-16

受影响系统：

Siemens SIMATIC PCS 7 9.0
Siemens SIMATIC PCS 7 8.2
Siemens SIMATIC PCS 7 8.1
Siemens SIMATIC PCS 7 8.0
Siemens SIMATIC WinCC 7.5
Siemens SIMATIC WinCC 7.4
Siemens SIMATIC WinCC 7.3
Siemens SIMATIC WinCC 7.2
Siemens WinCC Runtime Professional 15
Siemens WinCC Runtime Professional 14
Siemens SIMATIC WinCC Professional < 15.1 Upd 3
Siemens SIMATIC WinCC Professional < 14 SP1 Upd 9

描述：

---

CVE(CAN) ID: CVE-2019-10935

SIMATIC PCS 7是一套过程控制系统。SIMATIC WinCC是一套自动化的数据采集与监控（SCADA）系统。SIMATIC WinCC DataMonitor web是其中的一个数据分析和显示组件。

Siemens SIMATIC PCS 7和SIMATIC WinCC在SIMATIC WinCC DataMonitor web应用实现中存在不受限制文件类型上传漏洞。攻击者可利用该漏洞上传任意的ASPX代码。成功利用此漏洞无需用户交互，可能影响受影响设备的机密性、完整性、可用性。攻击者可通过web接口而非目录结构利用此漏洞。

<*来源：Xuchen Zhu
        CNCERT/CC
  *>

建议：

---

厂商补丁：

Siemens
-------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

https://www.siemens.com/industrialsecurity
http://www.siemens.com/cert/advisories

浏览次数：1088
严重程度：0（网友投票）