OT 网络安全公司 Nozomi Networks 表示，在汽车行业使用的博世力士乐螺母扳手中发现的漏洞可能会被寻求直接经济利益的黑客或试图对目标组织造成破坏或声誉损害的威胁行为者利用。

Nozomi 研究人员在博世力士乐的 NXA015S-36V-B 产品中发现了安全漏洞，该产品是一款无线手持式气动扭矩扳手（也称为螺母扳手），专为安全关键的拧紧操作而设计。

该机器有一个内置显示器，为操作员提供实时数据，它还可以通过嵌入式 Wi-Fi 模块连接到无线网络，使其能够将数据传输到历史服务器，并允许用户远程重新编程。

Nozomi 研究人员发现了二十多个漏洞，其中大部分存在于 NEXO-OS 操作系统的管理应用程序中，还有一些与为与 SCADA、PLC 和其他系统集成而设计的通信协议有关。

利用这些漏洞可能会让未经身份验证的攻击者完全控制坚果跑者。该网络安全公司进行的实验室测试展示了攻击者如何发起勒索软件攻击，其中包括使设备无法操作并在其内置屏幕上显示勒索消息。更糟糕的是，这种攻击可以自动攻击公司的所有螺母操作员，从而导致生产线严重中断。

在该公司在实验室模拟的另一个攻击场景中，攻击者改变了拧紧程序配置，特别是扭矩值。这可能会导致螺栓松动，从而导致安全风险，或者制造出有缺陷的产品，从而导致财务或声誉损失。

“在关键应用中，应用到机械紧固件的最终扭矩水平经过计算和设计，以确保满足设备的整体设计和操作性能，”Nozomi 解释道。“例如，电气配电盘中使用的螺栓、螺母和固定装置必须适当拧紧，以确保高压母线等载流部件之间的连接保持低电阻。连接松动会导致工作温度升高，随着时间的推移，可能会引起火灾。”

另一方面，过度拧紧的连接会给螺栓和螺母带来过大的压力，这可能会导致机械故障，可能导致过多的保修索赔和企业声誉受损，Nozomi 解释道。

“根据制造商的用途和业务配置，拧紧扳手等设备可能构成企业质量管理和保证计划的关键部分，甚至可能是质量保证的最后一道防线。质量链最后一个环节的完整性受损可能很难被发现，并且随着时间的推移，生产质量受损会产生深远的财务后果，”该公司补充道。

总共 25 个 CVE 标识符已分配给这些缺陷，其中 11 个具有“高严重性”评级。

未经身份验证的攻击者如果能够向目标设备发送网络数据包，就可以利用 root 权限实现远程代码执行，从而彻底破坏系统。虽然利用某些缺陷需要身份验证，但可以通过将它们与其他漏洞（例如硬编码凭据）链接来实现此要求。

虽然这些漏洞是在 NXA015S-36V-B 产品中发现的，但其他力士乐 Nexo 螺母扳手也受到影响，包括多个 NXA、NXP 和 NXV 系列设备。

Bosch Rexroth 已获悉这些漏洞，Nozomi 表示该公司计划在 2024 年 1 月底之前修复这些漏洞。该供应商已发布了自己的安全公告。

“安全是博世力士乐的首要任务。我们的专家持续监控任何威胁，并在必要时立即采取对策，例如通过制造商提供的更新。通过这种方法，我们可以保证博世力士乐的高标准安全性。”博世力士乐在一份电子邮件声明中告诉《SecurityWeek》。

它补充说：“Nozomi Networks 几周前通知我们，他们发现博世力士乐 NXA015S-36V-B（一款智能螺母扳手/气动扭矩扳手）存在一个漏洞。博世力士乐立即采纳了这一建议，并正在开发补丁来解决该问题。该补丁将于 2024 年 1 月下旬发布。”