Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Múltiples vulnerabilidades en productos de ABB

Fecha de publicación 16/12/2020
Importancia
5 - Crítica
Recursos Afectados
  • ABB Ability™ Symphony®Plus:
    • S+ Operations 1.1;
    • S+ Operations 2.0, todos los Service Packs;
    • S+ Operations 2.1, Service Pack 1 (SP1), para Melody y otros Heritage systems;
    • S+ Operations 2.1, Service Pack 2 (SP2);
    • S+ Operations 3.0;
    • S+ Operations 3.1;
    • S+ Operations 3.2;
    • S+ Operations 3.3.
  • ABB Ability™ Symphony®Plus:
    • S+ Historian 3.0 y 3.1.
  • ABB Central Licensing System (CLS) en ABB Ability™ Symphony Plus Operations (desde la 3.0 hasta la 3.3);
  • ABB Central Licensing System (CLS) en ABB Ability™ Symphony Plus Engineering (desde la 1.0 hasta la 2.3);
  • ABB Central Licensing System (CLS) en Composer Harmony (5.1, 6.0 y 6.1);
  • ABB Central Licensing System (CLS) en Composer Melody (5.3 y 6.1);
  • ABB Central Licensing System (CLS) en HarmonyOPC Server (6.0, 6.1 y 7.0).
Descripción

ABB ha publicado múltiples vulnerabilidades que podrían permitir a un atacante abusar de las funcionalidades de los productos afectados.

Solución
  • Para S+ Operations:
    • Actualizar a la versión 3.3 Service Pack 1.
  • Para S+ Operations, versiones anteriores a la 3.X, se esperan tres actualizaciones:
    • Q4 2020: S+ Operations 2.1 SP 2 Rollup 2 (Harmony, SD y Freelance);
    • Q1 2021: S+ Operations 2.2 (Melody y Procontrol P14);
    • Q3 2021: S+ Operations 2.2 Rollup 1 (Procontrol P13).
  • Para ABB Ability™ Symphony®Plus:
    • Actualizar a S+ Historian 3.2.
  • Para Sym-phony Plus, Composer Harmony, Composer Melody y HarmonyOPC Server:
    • Actualizar a la última versión disponible y aplicar las medidas de seguridad genéricas, descritas en el aviso 2PAA121231.
Detalle
  • Las vulnerabilidades críticas que afectan al producto ABB Ability™ Symphony®Plus Operations y ABB Ability™ Symphony®Plus Historian, son del tipo:
    • SQL Injection. Se ha asignado el identificador CVE-2020-24673 para esta vulnerabilidad.
    • Método de autenticación débil. Se ha asignado el identificador CVE-2020-24675 para esta vulnerabilidad.
    • Omisión de autenticación. Solo afecta a S+ Operations. Se ha asignado el identificador CVE-2020-24683 para esta vulnerabilidad.
  • Las vulnerabilidades críticas que afectan a los productos Sym-phony Plus, Composer Harmony, Composer Melody y HarmonyOPC Server, son del tipo:
    • XXE. Se ha asignado el identificador CVE-2020-8479 para esta vulnerabilidad.
    • Divulgación de información. Se ha asignado el identificador CVE-2020-8481 para esta vulnerabilidad.

Para el resto de vulnerabilidades se han asignado los identificadores: CVE-2020-24674, CVE-2020-24676, CVE-2020-24677, CVE-2020-24678, CVE-2020-24679, CVE-2020-24680,  CVE-2020-8481 y CVE-2020-8471.

Encuesta valoración