约翰逊控制 Frick Quantum HD 漏洞可导致远程代码执行

约翰逊控制 Frick Quantum HD 漏洞使 OT 系统面临远程攻击风险

美国网络安全与基础设施安全局（CISA）发布了一份安全公告（ICSA-26-057-01），详细披露了 Johnson Controls, Inc. Frick Controls Quantum HD 系统中存在的多个严重漏洞。成功利用这些漏洞可能导致 无需身份验证的远程代码执行（RCE）、信息泄露或拒绝服务（DoS） 等问题，影响运营技术（OT）环境。

受影响系统

这些漏洞影响以下版本的 Frick Controls Quantum HD，这是一种广泛部署的工业控制系统（ICS）解决方案：

• 所有版本（最新修补版本发布前）。

技术细节

尽管 CISA 的公告未提供完整技术细节，但 通用安全公告框架（CSAF）文档 概述了以下风险：

• 无需身份验证的远程代码执行（RCE）：攻击者可在无需有效凭据的情况下，在易受攻击的系统上执行任意代码。
• 信息泄露：可能暴露敏感的系统数据或配置信息。
• 拒绝服务（DoS）：漏洞利用可能导致系统崩溃或中断关键 OT 流程。

公告强调，这些漏洞 可远程利用，增加了工业环境中未修补系统的风险。

影响分析

Frick Controls Quantum HD 系统广泛应用于 暖通空调（HVAC）、制冷及工业流程控制 等领域。漏洞利用可能导致：

• 工业设备被未授权控制，带来安全和运营风险。
• 数据泄露，暴露专有或敏感的运营数据。
• 关键基础设施中断，包括制造、食品储存或制药生产。

由于这些漏洞具有 无需身份验证 的特性，使用受影响版本的组织面临更高的定向攻击风险，包括来自对 OT 网络访问有限的威胁行为者。

建议措施

CISA 敦促组织立即采取以下行动：

1. 应用补丁：尽快将 Frick Controls Quantum HD 系统更新至最新安全版本。由于 Johnson Controls 未公开披露修补版本，用户应联系供应商获取指导。
2. 网络隔离：将 OT 系统与企业网络及互联网隔离，限制暴露风险。
3. 监控漏洞利用：部署入侵检测/防御系统（IDS/IPS），监测针对易受攻击系统的异常活动。
4. 审查访问控制：限制仅授权人员访问 Quantum HD 系统，并尽可能采用多因素身份验证（MFA）。
5. 参考 CISA 公告：查阅 完整公告 及 CSAF 文档，获取更多技术细节和缓解策略。

组织如怀疑遭受攻击，可通过 CISA 的 报告门户 进行举报。