工業網絡安全公司 Applied Risk 的研究人員正在進行一項針對工業控制系統安全控制器的一項研究，他們分析了西門子、ABB、羅克韋爾、Allen Bradley、皮爾茲（Pilz）和菲尼克斯（Phoenix Contact）等幾個大型廠商的安全控制器之后發現，這些控制器中可能存在嚴重的拒絕服務（DoS）漏洞CVE-2017-9312。

攻擊者如何利用這個漏洞？

在新加坡舉辦的2018工控系統網絡安全大會上，研究人員表示工業安全控制器中存在嚴重的漏洞，大量受影響的設備直接暴露在互聯網上，這些問題很容易讓惡意攻擊者發動攻擊并造成損害。

Applied Risk 公司的資深工控系統安全研究人員約科·克爾斯蒂奇表示，遠程攻擊者可利用漏洞CVE-2017-9312讓安全控制器重啟并進入故障模式，必須手動干預恢復設備。惡意攻擊者可能會利用該漏洞發送發送以空操作（NOP）選項開始的 TCP 數據包，致使進入控制器拒絕服務狀態。

要利用該漏洞，攻擊者需依賴 EtherNet/IP 工業網絡協議。出于某種原因，安全控制器無法處理不正確的 TCP 選項包導致設備無法運作，即出現安全控制器故障，進入拒絕服務狀態。鑒于安全控制器在工業環境中的重要作用，致使設備進入拒絕服務狀態可能會造成嚴重的后果，包括設備的物理損壞，甚至造成人身傷害。

克爾斯蒂奇表示，除此之外，發動此類攻擊沒有其它要求。

多廠商工業控制器或受該漏洞影響

研究人員已經在羅克韋爾Allen Bradley 1769 Compact GuardLogix 5370控制器上進行了測試，確認受到漏洞CVE-2017-9312影響。由于底層問題與 Ethernet/IP 有關，研究人員認為其它廠商的產品可能也會受該漏洞影響。目前已識別出十幾個直接暴露在互聯網上的 Allen Bradley 1769 Compact GuardLogix 5370 控制器，但暴露的安全控制器數量遠遠不止這個數。 據 Shodan 搜索結果顯示，暴露的西門子 Simatic S7 設備約900個，包括安全控制器。

預計2018年5月發布補丁

Applied Risk 已經通知了所有受影響的廠商，預計將在2018年5月發布補丁。

安全系統的設計目的是將過程恢復到安全狀態或在參數表明可能存在潛在危險時將其關閉，從而防止工業環境中發生事故。雖然這些設備在確保人身安全方面發揮者至關重要的作用，但它們也可能被黑客盯上，例如遭遇 Triton/Trisis/Hatman 攻擊。Triton 攻擊利用的是施耐德電氣 Triconex 安全儀表控制系統（SIS）控制器中的0Day漏洞。

Triton 攻擊事件表明，向控制器寫入惡意程序前提條件設備的按鍵開關設置為“程序”（Program）模式。正是因為如此，Applied Risk一直在研究遠程繞過按鍵開關的方式，雖然目前尚未取得成功，但專家對目前為止的研究進展持樂觀態度。