CVE-2019-5620

Brak uwierzytelnienia dla krytycznej funkcji w ABB MicroSCADA Pro SYS600

CVSS 9.8v3.1pub. 2020-04-29upd. 2024-11-21

ABB MicroSCADA Pro SYS600 w wersji 9.3 nie wymaga uwierzytelnienia dla krytycznych funkcji systemu, co umożliwia nieautoryzowany dostęp zdalny bez jakichkolwiek poświadczeń. Podatność uzyskała ocenę CVSS 9.8, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

ABB MicroSCADA Pro SYS600 version 9.3 suffers from an instance of CWE-306: Missing Authentication for Critical Function.

🤖 Analiza AI

Jak działa

Podatność wynika z braku mechanizmu uwierzytelnienia (CWE-306) dla krytycznych funkcji eksponowanych przez oprogramowanie MicroSCADA Pro SYS600. Osoba atakująca może uzyskać dostęp do tych funkcji przez sieć bez konieczności podawania nazwy użytkownika ani hasła. Dostępny publicznie moduł exploit w bazie Rapid7 (exploit/windows/scada/abb_wserver_exec) wskazuje, że mechanizm ataku jest znany i udokumentowany.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem, w tym poufność, integralność i dostępność danych — wszystkie trzy aspekty bezpieczeństwa są ocenione jako zagrożone na poziomie wysokim. W kontekście systemu SCADA może to oznaczać zakłócenie lub manipulację procesami przemysłowymi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się izolację systemów SCADA od sieci zewnętrznych, stosowanie firewall oraz ograniczenie dostępu sieciowego do urządzeń MicroSCADA wyłącznie do zaufanych hostów.

Kogo dotyczy

ABB MicroSCADA Pro SYS600 w wersji 9.3 działający na systemach Microsoft Windows 7 oraz Microsoft Windows XP

Uwagi

Dla podatności istnieje publicznie dostępny moduł exploit w bazie Rapid7 (exploit/windows/scada/abb_wserver_exec), co znacząco podnosi ryzyko wykorzystania mimo braku wpisu w CISA KEV.