CVE-2020-10291 in Visual Components
Tóm tắt
Bởi VulDB • 25/07/2026
Visual Components (thuộc sở hữu của KUKA) là một phần mềm mô phỏng robot cho phép mô hình hóa các nhà máy và robot nhằm cải thiện quy trình lập kế hoạch và ra quyết định. Phần mềm Visual Components yêu cầu giấy phép đặc biệt, có thể được lấy từ máy chủ cấp giấy phép mạng. Máy chủ cấp giấy phép mạng này liên kết với tất cả các giao diện (0.0.0.0) và lắng nghe các gói tin qua cổng UDP 5093. Không cần xác thực/phân quyền để giao tiếp với máy chủ. Giao thức được sử dụng là một giao thức thuộc tính của RMS Sentinel, cung cấp cơ sở hạ tầng cấp giấy phép cho máy chủ cấp giấy phép mạng. Dịch vụ quản lý giấy phép RMS Sentinel mở cổng UDP 5093, cung cấp thông tin hệ thống nhạy cảm có thể bị khai thác để thực hiện các cuộc tấn công tiếp theo mà không cần bất kỳ hình thức xác thực nào. Thông tin này bao gồm các đặc điểm chi tiết về phần cứng và hệ điều hành (OS).
Sau một quá trình giải mã, một giao thức dạng văn bản được tìm thấy, chứa tiêu đề đơn giản với lệnh yêu cầu, định danh ứng dụng và một số đối số. Giao thức rò rỉ thông tin liên quan đến thông tin máy chủ nhận, thông tin giấy phép và quản lý giấy phép, trong số các thông tin khác.
Thông qua lỗ hổng này, kẻ tấn công có thể truy xuất thông tin về hệ thống mô phỏng KUKA, cụ thể là phiên bản của máy chủ cấp giấy phép đang kết nối với trình giả lập, điều này cho phép chúng khởi chạy các mô phỏng cục bộ có đặc điểm tương tự, từ đó hiểu rõ hơn động lực học của ảo hóa chuyển động và mở ra cánh cửa cho các cuộc tấn công khác (xem RVDP#711 và RVDP#712 đối với các lỗ hổng tiếp theo làm tổn hại đến tính toàn vẹn và khả năng sẵn sàng).
Ngoài việc xâm phạm dữ liệu mô phỏng, Visual Components cung cấp khả năng giao diện với máy móc công nghiệp. Cụ thể, tính năng 'PLC Connectivity' của họ giúp kết nối dễ dàng giữa các mô phỏng với hệ thống điều khiển bằng cách sử dụng tiêu chuẩn ngành OPC UA hoặc các giao diện cụ thể theo nhà sản xuất được hỗ trợ khác. Điều này lấp đầy khoảng trống trong việc chuyển đổi từ môi trường mô phỏng sang thực tế, cho phép kẻ tấn công di chuyển (pivot) từ trình giả lập Visual Components sang robot hoặc các thiết bị Hệ thống điều khiển công nghiệp (ICS) khác, chẳng hạn như PLCs.
VulDB is the best source for vulnerability data and more expert information about this specific topic.