Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Autenticación incorrecta en ABB Ability Symphony Plus

Fecha de publicación 02/03/2023
Identificador

INCIBE-2023-0078

Importancia
4 - Alta
Recursos Afectados

Ability Symphony Plus, versiones:

  • S+ Operations 3.3 SP2 (parte de SPR 2023.0);
  • S+ Operations 3.3 SP1 y versiones 3.x anteriores;
  • S+ Operations 2.2;
  • S+ Operations 2.1 SP2 y versiones 2.x anteriores.
Descripción

ABB ha identificado una vulnerabilidad, de severidad alta, que podría permitir a un cliente no autorizado conectarse a los servidores de S+ Operations para actuar como un cliente legítimo.

Solución

Aplicar las medidas de mitigación descritas en la sección Mitigating factors del aviso del fabricante para los siguientes productos afectados:

  • S+ Operations 3.3 SP2 (parte de SPR 2023.0): la actualización se publicará en el tercer trimestre de 2023;
  • S+ Operations 3.3 SP1 y versiones 3.x anteriores: la actualización se publicará en el cuarto trimestre de 2023;
  • S+ Operations 2.2: la actualización se publicará en el cuarto trimestre de 2023.

Respecto al último producto afectado, S+ Operations 2.1 SP2 y versiones 2.x anteriores, actualizar a la versión 3.3.

Detalle

Un cliente no autorizado, con conexión a los servidores de S+ Operations, podría suplantar a un cliente legítimo de S+ Operations, acceder a sus datos y cambiar su configuración, provocando la corrupción de los mismos, la divulgación no autorizada de información, el funcionamiento inesperado del equipo o la parada del producto/sistema (DoS). Se ha asignado el identificador CVE-2023-0228 para esta vulnerabilidad.

Encuesta valoración