本周，西门子发布五个新的安全公告，说明了在交换机、路由器、构建自动化产品和医疗设备中的多个漏洞问题。
其中一个安全公告说明了一个高危缺陷，可导致低权限攻击者通过向受感染设备的 DHCP 请求发送特殊构造的 DHCP 响应提升权限并执行任意代码。
该缺陷影响的是 SCALANCE X 交换机、SCALANCE X-204RNA 访问点、RUGGEDCOM WiMAX 私有无线 WAN 设备以及 RFID 181-EIP 和 SIMATIC RF182 RFID 通信模块。
西门子已为某些 SCALANCE X 交换机发布漏洞的补丁更新；不过对于其它产品而言，西门子建议客户应用一些缓解措施阻止攻击。
某些 SCALANCE X 交换机也遭两个跨站点脚本 (XSS) 缺陷的影响，其中一个具有可持续性。西门子也为这两个漏洞发布了更新和缓解措施。
西门子还告知客户称，SCALANCE M875 工控路由器受六个漏洞的影响。其中三个漏洞被评级为高危，包括可遭认证且具有管理员权限的攻击者利用的两个命令执行缺陷以及一个跨站请求伪造漏洞。其它三个漏洞被评为“中危”，分别是任意文件下载问题、XSS 漏洞以及不安全的管理员密码存储问题。要利用这些漏洞都需要获取访问目标设备网络接口的权限，而在某些情况下要求说服用户点击链接或访问某个网页。
西门子已发布 SCALANCE M876-4 路由器解决这些漏洞问题，不过用户也可通过应用西门子推荐的缓解措施保护设备的安全。
除此以外，西门子本周还发布了另外一份安全报告，说明了两个影响 Healthineers RAPID-Lab 1200 系列和 RIPIDPoint 400/405/500 血气分析仪的高危漏洞。这些漏洞中包含一个权限提升问题，可遭本地和远程利用，而默认账户可导致攻击者访问 TCP 端口5900 上的设备。
西门子还发布了一份安全公告，说明了由于使用 Gemalto 许可管理系统而导致构建自动化产品易受攻击。西门子表示在安全公告发布时并未发现漏洞遭利用的证据。
本文由360代码卫士翻译自SecurityWeek
声明：本文来自代码卫士，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
