研究人员在博世力士乐的 NXA-155-36V-B 产品即无绳手持式气动扭矩扳手（也被称作螺丝机）中发现多个安全漏洞。该产品为安全关键的紧固操作而设计。

该机器具有一个内置显示，向操作人员提供实时数据，且通过一个嵌入式无线模块连接至无线网络，使其能够将数据传输至历史站并允许用户对其进行远程重新编程。

两种攻击场景

研究人员发现了20多个漏洞，其中多数位于NEXO-OS操作系统的管理应用中，一些与旨在集成 SCADA、PLC和其它系统的通信协议有关。利用这些漏洞可导致未认证攻击者完全控制螺丝机。研究人员开展的实验室测试展示了攻击者如何发动勒索攻击，导致设备不可操作并在内置屏幕上展示勒索信息。更糟糕的是，这类攻击可被自动化，入侵一家公司所有的螺丝机，从而对生产线造成重大破坏。

实验展示的另外一个攻击场景是，攻击者更改了紧固程序配置，具体而言更改了扭矩值，导致螺栓松动，从而可能造成安全风险，或者制造有缺陷的产品，可能造成经济或名誉损失。

研究人员解释称，“在关键的应用程序中，适用到机械紧固件的最终扭矩级别经过计算，以确保满足设备的整体设计和运营性能。例如，用于电源控制板中的螺栓、螺母和夹具必须扭转正确，确保当前组件如高压母线维持较低的阻力。连接松动可能导致更高的运行温度，因此长时间可能导致火灾。”

另外一方面，过于紧固的连接对螺栓和螺母施加过多压力，能够引发机械故障，从而可能导致维保索赔和声誉受损。该公司指出，“根据制造者使用和业务配置的不同，螺丝机这样的设备可能对企业的质量管理和保证项目至关重要，很有可能是企业的最后一道质量保证。攻陷质量链最后一环中的完整性可能难以被检测到，并且会因为产品质量受陷而造成深远的经济影响。”

共25个CVE漏洞

这些漏洞获得25个CVE漏洞编号，其中11个的评级为“高危”。

能够像目标设备发送网络数据包的未认证攻击者可以 root 权限实现远程代码执行，完全攻陷系统。虽然利用其中一些漏洞要求进行认证，但通过组合利用其它漏洞如硬编码凭据可实现这一要求。

其它设备或受影响

虽然这些漏洞是从 NXA0155-36V-B产品中发现的，但其它力士乐的 Nexo 螺丝机可能也受影响，如NXA、NXP和 NXV 系列设备。博世力士乐已获悉这些漏洞，研究人员表示公司正在尽力于2024年1月末修复这些漏洞。博世已发布安全公告。

无补丁

博世发布邮件声明指出，“安全是博世力士乐的优先事项。我们的专家持续监控任何威胁并在必要情况下采取及时措施予以应对，如通过制造商提供的更新进行应对等。通过这种方式，我们能够保证博世力士乐的高标准安全。”另外，该公司还指出，“Nozomi Networks 在几周前告知我们，他们找到了智能螺丝机 NXA0155-36V-B中的一个漏洞。博世力士乐立即采纳该建议并着手推出补丁。该补丁将在2024年1月末推出。”

研究人员并未公开任何技术详情，以阻止漏洞遭恶意利用。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~