CISA警告：严重缺陷（CVE-2025-5310）暴露加油站设备

美国网络安全和基础设施安全局 （CISA） 发布了一份紧急安全公告，警告燃料基础设施运营商注意一个影响 Dover Fueling Solutions 的 ProGauge MagLink 监控设备的严重漏洞。该漏洞被跟踪为 CVE-2025-5310，CVSS v3 基本评分为 9.8，表明其对运营技术的潜在严重影响。

“成功利用此漏洞可能会导致攻击者获得对监控设备的控制权、纵加油作、删除系统配置或部署恶意软件，”该公告指出。

该漏洞存在于 ProGauge MagLink LX 系列燃油和水箱监控系统中，具体来说：

• MagLink LX 4：4.20.3 之前的版本
• MagLink LX Plus：4.20.3 之前的版本
• MagLink LX Ultimate：5.20.3 之前的版本

这些设备广泛用于加油站和燃料物流网络，以监测燃料水平、水污染和油箱状况，这对于安全高效的加注作至关重要。

该问题源于特定端口上公开的未记录且未经身份验证的 Target Communication Framework （TCF） 接口。根据 CISA 的说法，此缺陷允许远程攻击者：

• 创建、删除或修改系统文件
• 可能实现远程代码执行
• 未经身份验证即可篡改作控制

Microsec （microsec.io） 的安全研究员 Souvik Kandar 因负责任地向 CISA 披露该问题而受到赞誉。

Dover Fueling Solutions 通过发布修补的固件版本来做出回应。强烈建议用户：

• 将 MagLink LX 4 和 LX Plus 升级到版本 4.20.3 或更高版本
• 将 MagLink LX Ultimate 升级到版本 5.20.3 或更高版本

所有更新均可通过 Dover Fueling Solutions 网站获得。

虽然在撰写本文时尚未报告已知的公开利用行为，但该漏洞的性质（尤其是对核心设备功能的未经身份验证的访问）意味着该漏洞可能吸引针对燃料基础设施的针对性攻击或国家资助的行动。