Escritura fuera de límites en Advanced Batch Management de ABB
Advanced Batch Management (ABM), versiones 1.0, 1.1, 1.1b, 1.2 y 1.2.1, cuando incorporen una versión vulnerable de Node.js. La versión instalada puede variar entre proyectos.
ABB ha publicado una vulnerabilidad de severidad crítica en el decodificador Brotli de Node.js utilizado por Advanced Batch Management. Su explotación podría permitir interrumpir el servicio, divulgar memoria del proceso o ejecutar código arbitrario.
En la configuración estándar revisada, ABB no ha identificado una vía predeterminada para alcanzar el decodificador vulnerable; los nodos y flujos personalizados requieren una revisión específica.
Actualizar manualmente Node.js siguiendo el boletín de ABB:
- ABM 1.2 y 1.2.1 con Node.js 24.x: instalar Node.js 24.22.1 o posterior de esa rama.
- ABM 1.0, 1.1 y 1.1b con Node.js 20.x y Node-RED 4: migrar a Node.js 24.22.1 o posterior y comprobar la compatibilidad de nodos y flujos.
- Si se utiliza Node-RED 3: actualizar primero a Node-RED 4 o posterior y validar ambos cambios antes de aplicarlos en producción.
Mientras no sea posible actualizar, deshabilitar la descompresión automática de respuestas Brotli en las llamadas HTTP personalizadas o rechazar respuestas con Content-Encoding: br. Si ABM utiliza componentes .NET, instalar también sus correcciones.
CVE-2026-111497: un valor de retorno no comprobado en el decodificador Brotli permite continuar acumulando datos en un búfer interno tras un cambio de bloque no válido. Esto puede provocar una escritura fuera de límites, corrupción de memoria, divulgación de información, denegación de servicio o ejecución de código.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-111497 | Crítica | No | ABB |
