美國網路安全暨基礎設施安全局（CISA）在最新發布的資安公告中揭露這些漏洞。Honeywell Experion PKS 產品（R520.2 TCU9 Hot Fix 1 與 R530 TCU3 Hot Fix 1 之前的版本）受到六個資安漏洞影響，其中包括被評為「重大」和「高風險」等級的弱點。
這些嚴重與高風險漏洞主要影響控制資料存取（CDA）元件，可能導致遠端程式碼執行的風險。其中，兩個高風險漏洞可被利用來發動阻斷服務（DoS）攻擊，而另一個中度風險漏洞則可被用於操控通訊管道，進而造成系統行為異常。
CISA 指出，受影響產品在全球廣泛使用，包括關鍵基礎設施領域，如重要製造業、化工業、能源業、水資源與醫療保健等產業。
Honeywell 表示，已更新 Experion PKS 產品（包括 C300 PCNT02、C300 PCNT05、EHB、EHPM、ELMM、Classic ENIM、ETN、FIM4、FIM8、UOC、CN100、HCA、C300PM、PGM、RFIM 和 C200E）及 OneWireless WDM。
所有使用者必須將系統更新至資安公告中指定的版本，以加強系統安全性。
這些漏洞由俄羅斯資安公司 Positive Technologies 向 Honeywell 通報。Positive Technologies 的工業控制系統 (ICS) 資安團隊負責人 Dmitry Sklyar 指出，這些漏洞存在於 Experion PKS 設備中，特別是現場層級網路轉換器與輸入/輸出模組。
專家指出，受影響的設備通常部署在工業設施的隔離網路區段中，因此較不容易透過網際網路遭受遠端攻擊。這些漏洞存在於缺乏身分識別與認證機制的網路協定處理程式中，使得取得隔離網段的存取權限成為唯一的利用條件。
研究人員表示，這些漏洞可能讓攻擊者在受影響設備上執行任意程式碼，從而控制工業製程和設備—例如停止或重啟設備、變更網路設定、修改製程參數等。為防範這類風險，建議建立完善的漏洞管理機制。
本月稍早，Nozomi Networks 公開了十多個在 Honeywell 旗下 Tridium 開發的 Niagara 框架中發現的資安漏洞細節。
延伸閱讀：Niagara 框架存在嚴重資安漏洞 威脅全球智慧建築與工業控制系統
本文轉載自 SecurityWeek。