CVE-2024-6298

Błąd klasyfikacji lub walidacji danych wejściowych (CWE-1287) w serwerze WEB produktów ABB ASPECT pozwala atakującemu na uzyskanie nieautoryzowanego dostępu do plików systemowych bez uwierzytelnienia. Wykorzystując tę lukę, atakujący działający w tym samym segmencie sieci może przesłać lub odczytać pliki w sposób umożliwiający zdalne wykonanie kodu (RCE) na podatnym urządzeniu.

Atakujący może zdalnie wykonać dowolny kod na urządzeniu bez posiadania jakichkolwiek uprawnień, uzyskując pełną kontrolę nad systemem zarządzania budynkiem oraz potencjalnie nad infrastrukturą sieciową z nim powiązaną.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o aktualizacjach dostępne są w dokumencie ABB o identyfikatorze 9AKK108469A7497. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu WEB wyłącznie do zaufanych segmentów sieci oraz wdrożenie segmentacji sieciowej dla urządzeń ASPECT.

ABB ASPECT - Enterprise w wersji v3.08.01, ABB NEXUS Series w wersji v3.08.01, ABB MATRIX Series w wersji v3.08.01 (w tym produkty Aspect-Ent-12, Aspect-Ent-2, Aspect-Ent-256 i ich oprogramowanie układowe).

Podatność wymaga dostępu sieciowego z poziomu sieci lokalnej (wektor AV:A), co nieco ogranicza powierzchnię ataku w porównaniu z podatnościami dostępnymi przez Internet, jednak w środowiskach przemysłowych i budynkowych sieci OT/BAS mogą być dostępne dla szerszego grona użytkowników.