[Actualización 10/09/2021] Ejecución remota de código en Base Software para SoftControl de ABB
ABB Base Software para SoftControl, todas las versiones hasta la 6.1 inclusive.
El investigador Flavian Dola de AIRBUS ha reportado a ABB una vulnerabilidad de severidad crítica que podría permitir a un atacante remoto la inyección o ejecución de código arbitrario.
Actualizar a la versión System 800xA 6.1.1, cuando esté disponible.
Hasta entonces, el fabricante recomienda:
- Ejecutar el software solo cuando sea necesario, en el momento justo antes de descargar un proyecto o en un entorno controlado con conexiones limitadas.
- Habilitar la función InhibitDownload para evitar descargas al software.
- Cerrar el puerto TCP 102 en Windows firewall o en su defecto, proteger la red contra accesos no autorizados.
[Actualización 10/09/2021]
La vulnerabilidad se ha corregido en System 800xA 6.1.1 con la introducción de aplicaciones firmadas, disponibles en SoftController.
Una vulnerabilidad debida a la falta de un control de acceso y una validación de los datos de entrada en SoftController, podrá permitir a un atacante, no autenticado y remoto, la inyección y ejecución de código arbitrario en el ordenador que ejecuta el software afectado, mediante el envío de un mensaje especialmente diseñado. Se ha asignado el identificador CVE-2021-24672 para esta vulnerabilidad.
