BDU:2019-02432

Опубликовано: 05 июн. 2019

Источник: fstec

CVSS3: 8.3

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость интерфейса HMI панелей управления систем автоматизации ABB CP620 (1SAP520100R0001), CP620 (1SAP520100R4001), CP620-WEB (1SAP520200R0001), CP630 (1SAP530100R0001), CP630-WEB (1SAP530200R0001CP), CP635 (1SAP535100R0001), CP635 (1SAP535100R5001), CP635-B (1SAP535100R2001), CP635-WEB (1SAP535200R0001), CP651 (1SAP551100R0001), CP651-WEB (1SAP551200R0001), CP661 (1SAP561100R0001), CP661-WEB (1SAP561200R0001), CP665 (1SAP565100R0001), CP665-WEB (1SAP565200R0001), CP676 (1SAP576100R0001), CP676-WEB (1SAP576200R0001) связана с отсутствием технических мер по защите информации при обновлении программных компонентов посредством USB/SD-карты или при удаленной инициализации с помощью ABB Panel Builder 600 через FTP-протокол. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации

Вендор

Asea Brown Boveri Ltd.

Наименование ПО

CP620 (1SAP520100R0001)

CP620 (1SAP520100R4001)

CP620-WEB (1SAP520200R0001)

CP630 (1SAP530100R0001)

CP630-WEB (1SAP530200R0001CP)

CP635 (1SAP535100R0001)

CP635 (1SAP535100R5001)

CP635-B (1SAP535100R2001)

CP635-WEB (1SAP535200R0001)

CP651-WEB (1SAP551200R0001)

CP661 (1SAP561100R0001)

CP661-WEB (1SAP561200R0001)

CP665 (1SAP565100R0001)

CP665-WEB (1SAP565200R0001)

CP676 (1SAP576100R0001)

CP676-WEB (1SAP576200R0001)

CP651 (1SAP551100R0001)

Версия ПО

до BSP UN31 V1.76 (index G1) (CP620 (1SAP520100R0001))

до BSP UN31 V1.76 (index G1) (CP620 (1SAP520100R4001))

до BSP UN31 V1.76 (index G1) (CP620-WEB (1SAP520200R0001))

до BSP UN31 V1.76 (index G1) (CP630 (1SAP530100R0001))

до BSP UN31 V1.76 (index G1) (CP630-WEB (1SAP530200R0001CP))

до BSP UN31 V1.76 (index G1) (CP635 (1SAP535100R0001))

до BSP UN31 V1.76 (index G1) (CP635 (1SAP535100R5001))

до BSP UN31 V1.76 (index G1) (CP635-B (1SAP535100R2001))

до BSP UN31 V1.76 (index G1) (CP635-WEB (1SAP535200R0001))

до BSP UN30 V1.76 (index A0) (CP651-WEB (1SAP551200R0001))

до BSP UN30 V1.76 (index B1) (CP661 (1SAP561100R0001))

до BSP UN30 V1.76 (index A0) (CP661-WEB (1SAP561200R0001))

до BSP UN30 V1.76 (index B1) (CP665 (1SAP565100R0001))

до BSP UN30 V1.76 (index A0) (CP665-WEB (1SAP565200R0001))

до BSP UN30 V1.76 (index B1) (CP676 (1SAP576100R0001))

до BSP UN30 V1.76 (index A0) (CP676-WEB (1SAP576200R0001))

до BSP UN30 V1.76 (index B1) (CP651 (1SAP551100R0001))

Тип ПО

ПО программно-аппаратного средства АСУ ТП

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://search.abb.com/library/Download.aspx?DocumentID=3ADR010376&LanguageCode=en&DocumentPartId=&Action=Launch

https://search.abb.com/library/Download.aspx?DocumentID=3ADR010402&LanguageCode=en&DocumentPartId=&Action=Launch

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-7229
CVE

EPSS

Процентиль: 25%

0.00085

Низкий

8.3 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2019-7229

CVSS3: 8.3

nvd

больше 6 лет назад

The ABB CP635 HMI uses two different transmission methods to upgrade its firmware and its software components: "Utilization of USB/SD Card to flash the device" and "Remote provisioning process via ABB Panel Builder 600 over FTP." Neither of these transmission methods implements any form of encryption or authenticity checks against the new firmware HMI software binary files.

GHSA-rrrj-wqph-2cmr

github

больше 3 лет назад