Múltiples vulnerabilidades en productos de ABB
Fecha de publicación 16/12/2020
Importancia
5 - Crítica
Recursos Afectados
- ABB Ability™ Symphony®Plus:
- S+ Operations 1.1;
- S+ Operations 2.0, todos los Service Packs;
- S+ Operations 2.1, Service Pack 1 (SP1), para Melody y otros Heritage systems;
- S+ Operations 2.1, Service Pack 2 (SP2);
- S+ Operations 3.0;
- S+ Operations 3.1;
- S+ Operations 3.2;
- S+ Operations 3.3.
- ABB Ability™ Symphony®Plus:
- S+ Historian 3.0 y 3.1.
- ABB Central Licensing System (CLS) en ABB Ability™ Symphony Plus Operations (desde la 3.0 hasta la 3.3);
- ABB Central Licensing System (CLS) en ABB Ability™ Symphony Plus Engineering (desde la 1.0 hasta la 2.3);
- ABB Central Licensing System (CLS) en Composer Harmony (5.1, 6.0 y 6.1);
- ABB Central Licensing System (CLS) en Composer Melody (5.3 y 6.1);
- ABB Central Licensing System (CLS) en HarmonyOPC Server (6.0, 6.1 y 7.0).
Descripción
ABB ha publicado múltiples vulnerabilidades que podrían permitir a un atacante abusar de las funcionalidades de los productos afectados.
Solución
- Para S+ Operations:
- Actualizar a la versión 3.3 Service Pack 1.
- Para S+ Operations, versiones anteriores a la 3.X, se esperan tres actualizaciones:
- Q4 2020: S+ Operations 2.1 SP 2 Rollup 2 (Harmony, SD y Freelance);
- Q1 2021: S+ Operations 2.2 (Melody y Procontrol P14);
- Q3 2021: S+ Operations 2.2 Rollup 1 (Procontrol P13).
- Para ABB Ability™ Symphony®Plus:
- Actualizar a S+ Historian 3.2.
- Para Sym-phony Plus, Composer Harmony, Composer Melody y HarmonyOPC Server:
- Actualizar a la última versión disponible y aplicar las medidas de seguridad genéricas, descritas en el aviso 2PAA121231.
Detalle
- Las vulnerabilidades críticas que afectan al producto ABB Ability™ Symphony®Plus Operations y ABB Ability™ Symphony®Plus Historian, son del tipo:
- SQL Injection. Se ha asignado el identificador CVE-2020-24673 para esta vulnerabilidad.
- Método de autenticación débil. Se ha asignado el identificador CVE-2020-24675 para esta vulnerabilidad.
- Omisión de autenticación. Solo afecta a S+ Operations. Se ha asignado el identificador CVE-2020-24683 para esta vulnerabilidad.
- Las vulnerabilidades críticas que afectan a los productos Sym-phony Plus, Composer Harmony, Composer Melody y HarmonyOPC Server, son del tipo:
- XXE. Se ha asignado el identificador CVE-2020-8479 para esta vulnerabilidad.
- Divulgación de información. Se ha asignado el identificador CVE-2020-8481 para esta vulnerabilidad.
Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2020-24674, CVE-2020-24676, CVE-2020-24677, CVE-2020-24678, CVE-2020-24679, CVE-2020-24680, CVE-2020-8481 y CVE-2020-8471.
Listado de referencias
Etiquetas