[Actualización 29/07/2025] Múltiples vulnerabilidades en productos de ABB
En función de la vulnerabilidad se ven afectados diferentes productos.
- Para las vulnerabilidades CVE-2025-3394 y CVE-2025-3395:
- Todas las versiones de Automation Builder;
- Para las vulnerabilidades CVE-2024-47784, CVE-2024-9876 y CVE-2024-9877:
- ANC, versión 1.1.4 y anteriores;
- ANC-L;
- ANC-mini, versión 1.1.4 y anteriores.
ABB ha reportado 5 vulnerabilidades, 3 altas, 1 media y 1 baja que, en caso de ser explotadas, podrían, entre otras acciones, modificar partes de ciertos archivos importantes del sistema que anulen la gestión de usuarios o acceder a una página de administrador sin los permisos necesarios y realizar acciones simulando dicho rol.
Para los productos ANC, ANC-L y ANC-mini, actualizar a la versión 1.1.5.
Para Automation Builder no hay un parche que solucione el problema -está previsto para julio 2025-, sin embargo, el fabricante recomienda realizar las siguientes acciones para paliarlo: Acceder a: 'Project' > 'Project Settings…' > 'Security' y activar las siguientes opciones:
- Integrity check
- Encription
[Actualización 29/09/2025]
Con la última versión de Automation Builder (a partir de la versión 2.8.1), el valor predeterminado de 'Security' está establecido en 'Integrity check'. Si se mantiene este valor predeterminado sin cambios, CVE-2025-3394 no puede ser explotado.
Las vulnerabilidades se severidad alta son:
- Producto Automation Builder
- CVE-2025-3394: el producto almacena toda la información de gestión de usuarios en el archivo del proyecto. A pesar de que las contraseñas están cifradas, un atacante podría intentar modificar partes del archivo del proyecto de Automation Builder con contenido especialmente diseñado para anular la gestión de usuarios.
- CVE-2025-3395: los proyectos de Automation Builder, incluidos los dispositivos AC500 V2 o SM560-S, contienen los archivos de aplicación del dispositivo. Un atacante podría intentar modificar parte de estos archivos para alterar el proyecto y, así, anular la gestión de usuarios.
- Producto ANC
- CVE-2024-9876: la aplicación es vulnerable a la escalada de privilegios. Un usuario no administrador podría acceder a una página de administración donde podría realizar todas las acciones que deberían estar restringidas a un usuario administrador. La vulnerabilidad se produce por una validación incorrecta en el servidor web HMI.
Las otras dos vulnerabilidades, una de severidad media y otra baja, se pueden consultar en el enlace de las referencias relacionado con ANC.
