Rockwell 修复 Arena 仿真软件中的代码执行漏洞

根据 CISA 和 Rockwell 发布的公告，Rockwell Automation 已修复其 Arena Simulation 软件中的四个漏洞，这些漏洞可能允许攻击者在受影响系统上执行任意代码。
Arena Simulation 是一款离散事件仿真软件，为组织提供一个虚拟环境来建模、可视化和测试复杂的运营工作流程，使其能够在将流程变更投入生产之前识别问题并评估变更。
这四个高严重性漏洞——CVE-2026-8085、CVE-2026-8312、CVE-2026-8313 和 CVE-2026-8314——是由于对用户提供的数据验证不当导致的内存损坏问题，可能引发越界写入。
成功利用可能允许攻击者在当前进程的上下文中执行任意代码。Arena 版本 17.00.00 及更早版本受到影响。Rockwell 已在版本 17.00.01 中修复了这些漏洞。
在没有用户交互的情况下无法远程利用——攻击者需要说服用户打开恶意文件才能触发这四个漏洞中的任何一个。
发现这些漏洞的研究员 Michael Heinzl 告诉 SecurityWeek，所涉及的文件类型（Arena 实验文件和模型文件）是用户在日常工作流程中常规打开的，这意味着在社会工程攻击中，一个被植入恶意代码的文件对 Arena 用户来说不一定显眼。
当被问及考虑到 Arena 是仿真软件而非实时工业控制系统（ICS），攻击者实际能实现什么时，该研究员表示，代码执行将被限制在与 Arena 进程本身相同的权限范围内。攻击者能否从那里跳转到更敏感的系统，取决于组织如何在网络上部署和隔离 Arena。
该研究员还指出，Arena 的广泛覆盖范围是这些漏洞重要的原因，尽管该软件不直接控制物理过程。他引用了 Rockwell 自身的客户资料，其中描述了该软件在全球顶级供应链公司、多个国家的医院以及国防承包商等组织中的采用情况。
CISA 和 Rockwell 发布的公告表明，没有证据显示存在野外利用。
Heinzl 指出，他实际上在 Arena 中发现了 17 个不同的漏洞，但 Rockwell 决定按受影响组件进行分组，结果只分配了四个 CVE 编号。