Urządzenia ABB ASPECT Enterprise, NEXUS Series oraz MATRIX Series w wersji 3.07.02 posiadają publicznie znane domyślne dane uwierzytelniające, które nie są wymuszane do zmiany podczas instalacji. Umożliwia to nieautoryzowany zdalny dostęp do urządzenia bez żadnych specjalnych umiejętności technicznych.
▸ Pokaż oryginał (EN)
Default Credentail vulnerabilities allows access to an Aspect device using publicly available default credentials since the system does not require the installer to change default credentials. Affected products: ABB ASPECT - Enterprise v3.07.02; NEXUS Series v3.07.02; MATRIX Series v3.07.02
System nie wymaga od instalatora zmiany domyślnych danych uwierzytelniających podczas konfiguracji urządzenia. Ponieważ domyślne poświadczenia są publicznie dostępne, atakujący z dostępem sieciowym może użyć ich bezpośrednio do zalogowania się na urządzenie. Podatność klasyfikowana jest jako CWE-1393 (Use of Default Credentials), co oznacza brak mechanizmu wymuszającego ustawienie indywidualnych poświadczeń przy pierwszym uruchomieniu.
Atakujący może uzyskać nieautoryzowany, pełny dostęp do urządzenia ABB ASPECT, co zagraża poufności, integralności oraz dostępności systemu, potencjalnie umożliwiając przejęcie kontroli nad infrastrukturą budynkową lub przemysłową obsługiwaną przez te urządzenia.
Należy niezwłocznie zmienić domyślne dane uwierzytelniające na wszystkich urządzeniach oraz zastosować patche dostępne u producenta zgodnie z referencjami: https://search.abb.com/library/Download.aspx?DocumentID=9AKK108469A7497&LanguageCode=en&DocumentPartId=&Action=Launch
ABB ASPECT - Enterprise v3.07.02, NEXUS Series v3.07.02, MATRIX Series v3.07.02
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X