Inicio / Alerta Temprana / Avisos Sci / Múltiples vulnerabilidades en dispositivos de ABB

Múltiples vulnerabilidades en dispositivos de ABB

Fecha de publicación: 
05/06/2019
Importancia: 
4 - Alta
Recursos afectados: 
  • Índice de revisión G1 con BSP UN31, versión 1.76 y anteriores, de los siguientes productos:
    • CP620 y CP620-WEB
    • CP630 y CP630-WEB
    • CP635, CP635-B y CP635-WEB
  • Versiones desde 1.91 hasta 2.8.0.367 de:
    • PB610 Panel Builder 600
  • Índice de revisión B1 con BSP UN30, versión 1.76 y anteriores, de los siguientes productos:
    • CP651
    • CP661
    • CP665
    • CP676
  • Índice de revisión A0 con BSP UN30, versión 1.76 y anteriores, de los siguientes productos:
    • CP651-WEB
    • CP661-WEB
    • CP665-WEB
    • CP676-WEB
Descripción: 

ABB agradece a Xen1thLabs, a Darkmatter Company, a United Arab Emirates y a Abu Dhabi el reporte de la información y pruebas de concepto sobre las vulnerabilidades de tipo componentes de software desactualizado, credenciales embebidas, ausencia de comprobación de firma, cuentas administrativas ocultas, salto de directorio en servidor FTP, ausencia de control en el formato de cadenas enviado a los servidores FTP y HTTP, desbordamiento de búfer basado en pila y evasión de autenticación en el servidor web. Un atacante remoto podría llegar a ejecutar código arbitrario y generar un funcionamiento erróneo en los dispositivos afectados por las vulnerabilidades, si logra la explotación de las mismas.

Solución: 

El fabricante ha puesto a disposición de los usuarios las siguientes actualizaciones:

Detalle: 
  • Dispositivos ABB CP635 HMI y CP651 HMI:
    • Disponen de una cuenta de administración embebida en el código, la cual es utilizada en la fase de implantación del HMI. Estas credenciales permitirían a un posible atacante, con acceso a la herramienta de configuración “Panel Builder 600”, utilizarlas para crear nuevas interfaces en el HMI o que modifique las etiquetas de los valores (MODBUS coils) que se mapean en el HMI. Se ha reservado el identificador CVE-2019-7225 para esta vulnerabilidad.
    • Debido a una falta de cifrado en la transmisión de los archivos durante la actualización de los dispositivos, la verificación de las actualizaciones se realiza a través de comparación de hashes de los archivos binarios entre el paquete de actualización y la transmisión final. Un atacante con accesos a la red o al paquete de actualización puede manipular estos ficheros binarios, comprometiendo el dispositivo totalmente. Se ha reservado el identificador CVE-2019-7229 para esta vulnerabilidad.
    • Los dispositivos disponen de componentes de software desactualizados y vulnerables que se encuentran enlazados estáticamente en los archivos de firmware y servicios binarios.
  • ABB PB610:
    • Dispone de una cuenta de administración embebida en el código, la cual es utilizada en la fase de implantación del HMI. Estas credenciales permitirían a un posible atacante, con acceso a la herramienta de configuración “Panel Builder 600”, utilizarlas para crear nuevas interfaces en el HMI o que modifique las etiquetas de los valores (MODBUS coils) que se mapean en el HMI. Se ha reservado el identificador CVE-2019-7225 para esta vulnerabilidad.
    • El servidor IDAL HTTP CGI tiene accesible una URL que permite a un atacante saltarse la autenticación y acceder a funciones con privilegios elevados. Se ha reservado el identificador CVE-2019-7226 para esta vulnerabilidad.
    • El servidor IDAL FTP no gestiona de manera correcta las solicitudes de cambio de directorio y un atacante podría acceder a cualquier ruta de ficheros, fuera del ámbito del servidor FTP. Se ha reservado el identificador CVE-2019-7227 para esta vulnerabilidad.
    • El servidor IDAL HTTP y el servidor IDAL FTP no validan de forma correcta las entradas de los usuarios, permitiendo a un atacante corromper la memoria con entradas malformadas, para saltarse la autenticación o para ejecutar código remoto. Se han reservado los identificadores CVE-2019-7228 y CVE-2019-7230 para estas vulnerabilidades.
    • El servidor HTTP es vulnerable a un desbordamiento de búfer. Un atacante remoto puede modificar el campo host en la cabecera de la petición HTTP para provocar un desbordamiento de búfer y sobrescribir la dirección del Structure Exception Handler (SEH) con un búfer mayor.

Encuesta valoración