關於亞控科技組態王存在證書溢出漏洞的情況通報
一、漏洞情況分析
KingView（組態王）是亞控科技根據當前的自動化技術的發展趨勢，面向低端自動化市場及應用，以實現企業一體化為目標開發的一套軟體產品。該產品以搭建戰略性工業應用服務平台為目標，集成了對亞控科技自主研發的工業實時資料庫（KingHistorian）的支持，可以為企業提供一個對整個生產流程進行數據匯總、分析及管理的有效平台，使企業能夠及時有效地獲取信息，及時地做出反應，以獲得最優化的結果。
亞控科技組態王（KingView）存在整數溢出漏洞，該漏洞是由於stgopenstorage讀取失敗，返回的錯誤代碼超出int在32位系統中的範圍。攻擊者可利用該漏洞執行任意代碼。
二、漏洞影響範圍
該漏洞的綜合評級為「高危」。
根據生產廠商以及漏洞研究者的測試結果，該漏洞影響的產品為組態王（KingView）7.5SP1。
截止當前，我中心通過監測手段發現國內若干暴露在互聯網上的設備，詳細信息見附錄一和附錄二。
三、漏洞處置建議
此外，建議相關用戶應採取的其他安全防護措施如下：
（1）最大限度地減少所有控制系統設備和/或系統的網路暴露，並確保無法從Internet訪問。
（2）定位防火牆防護的控制系統網路和遠程設備，並將其與業務網路隔離。
（3）當需要遠程訪問時，請使用安全方法如虛擬專用網路（VPN），要認識到VPN可能存在的漏洞，需將VPN更新到最新版本。
工業互聯網安全應急保障中心將持續跟蹤漏洞處置情況，如需技術支援，請及時與我們聯繫。
微信公眾號：工業互聯網安全應急保障中心
相關安全公告鏈接參考如下：
http://www.cnvd.org.cn/flaw/show/CNVD-2018-00995
附錄一國內暴露在互聯網的部分KingView相關設備信息
附錄二國內暴露在互聯網的KingView相關設備分布圖
