西门子能源紧急警报：专用 5G 核心中的关键漏洞 (CVSS 9.9) 暴露了敏感数据！

西门子已就其能源服务平台(以前称为托管应用程序和服务)发布了关键安全公告,警告利用Elspec G5数字故障记录器(G5DFR)的系统中涉及默认凭据的严重漏洞。该漏洞被跟踪为CVE-2025-40585,其CVSS v3.1基本得分为9.9,突显了其破坏关键基础设施的潜力。

西门子表示:“使用Elspec G5 Digital Fault Recorder的解决方案包含具有管理权限的默认凭据。具有远程访问的客户端配置可以允许攻击者远程控制G5DFR组件并从设备中篡改输出。

核心问题源于受影响系统中存在硬编码的默认用户名和密码。如果保持不变,这些凭据可能会被未经身份验证的远程攻击者利用来控制G5DFR组件,从而能够操纵故障监控数据或触发电网中的错误读数等输出。

“使用G5DFR的受影响解决方案包含默认凭据。这可能允许攻击者控制G5DFR组件并篡改设备的输出,“该咨询警告说。

该漏洞已归类为CWE-276:不正确的默认权限,当在工业控制系统(ICS)和操作技术(OT)设备中发现时,这是一个常见但极具影响力的弱点。

受影响的产品包括:

• ①西门子能源服务与Elspec G5DFR
• ②当前部署的所有版本

在咨询时没有软件补丁可用。相反,西门子提供了一条直接的缓解路线:

使用 G5DFR Web 界面更改默认用户名、密码和权限级别。联系客户支持以获取进一步帮助 。 ”

除了证书变更外,西门子还敦促所有运营商(特别是传输系统运营商(TSO)和配电系统运营商(DSO))采用弹性、多层保护策略。这包括针对网络引起的故障验证网格设计并保护网络边界。

西门子还强调确保更广泛的OT环境的重要性:

“西门子强烈建议通过适当的机制(例如防火墙、分段、VPN)来保护网络访问……并根据我们的运营指南配置环境。