Inicio / Alerta Temprana / Avisos Sci / [Actualización 30/06/2021] Múltiples vulnerabilidades en AutoBuild de AVEVA

[Actualización 30/06/2021] Múltiples vulnerabilidades en AutoBuild de AVEVA

Fecha de publicación: 
28/06/2021
Importancia: 
4 - Alta
Recursos afectados: 

AutoBuild, versiones desde la 2017 hasta la 2020 R2 P01 (inclusive) de AVEVA System Platform.

Descripción: 

Sharon Brizinov, de Claroty, ha reportado estas vulnerabilidades de severidad alta, que podrían permitir a un atacante ejecutar código arbitrario con privilegios del sistema o provocar una denegación de servicio.

Solución: 

Desactivar las versiones de la Plataforma del Sistema de 2017 a 2020 R2 P01 (inclusive) afectadas por las vulnerabilidades.

Actualizar a una de las versiones de la Plataforma del Sistema que se enumeran a continuación, y luego aplicar la actualización de seguridad correspondiente.

Detalle: 

El servicio AutoBuild está destinado a ser utilizado sólo en el Nodo GR de la Plataforma del Sistema durante la configuración. Debe desactivarse en todos los nodos de tiempo de ejecución mediante el applet de servicio de Windows. Además, si la funcionalidad AutoBuild no se utiliza en el Nodo GR, el servicio AutoBuild también puede desactivarse en el Nodo GR como una mitigación alternativa que no requiere parches.

Aquellos productos que necesiten utilizar continuamente la funcionalidad AutoBuild y no puedan desactivarla en las versiones de la Plataforma del Sistema de 2017 a 2020 R2 P01 (inclusive) se ven afectados por las vulnerabilidades y deben actualizar primero a una de las versiones de la Plataforma del Sistema que se enumeran a continuación, y luego aplicar la actualización de seguridad correspondiente.

[Actualización 30/06/2021]:

  • El software no realiza ninguna autenticación para las funciones que requieren una identidad de usuario demostrable. Se ha asignado el identificador CVE-2021-33008 para esta vulnerabilidad.
  • Se lanza una excepción desde una función que no se maneja adecuadamente, lo que podría permitir a un atacante la denegación de servicio. Se ha asignado el identificador CVE-2021-33010 para esta vulnerabilidad.

Encuesta valoración