BDU:2023-04381 (CVE-2023-3324) — уязвимость программной платформы управления операционными данными для оптимизации производства ABB Ability zenon
По данным БДУ ФСТЭК России, по состоянию на 03.08.2023.
Средний — 6.7/10 Устранена
Уязвимость программной платформы управления операционными данными для оптимизации производства ABB Ability zenon связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю читать и обновлять произвольные данные в различных каталогах системы
Кого касается и что делать
- Уязвимое ПО: zenon (Asea Brown Boveri) — версии от 11 до 11 build 106404 включительно
- Что делать: уязвимость устранена производителем — применить исправления: search.abb.com
Сведения об уязвимости
| Идентификаторы | BDU:2023-04381 · CVE-2023-3324 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.7; CVSS 2.0 — 6.0) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, высокая сложность, нужны права пользователя, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость программной платформы управления операционными данными для оптимизации производства ABB Ability zenon, связанная с восстановлением в памяти недостоверных данных, позволяющая нарушителю читать и обновлять произвольные данные в различных каталогах системы |
| Даты | Опубликована: 03.08.2023 · Обновлена ФСТЭК: 03.08.2023 · Выявлена: 24.07.2023 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: организационные меры) |
| Тип ошибки | CWE-502 — восстановление в памяти недостоверных данных |
| Класс уязвимости | Уязвимость архитектуры · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- zenon (Asea Brown Boveri) — от 11 до 11 build 106404 включительно · программное средство АСУ ТП
Возможные меры по устранению уязвимости
Если обновиться нельзя
- 1. В приложении Engineering Studio удалить файлы.cdwpf из графической папки каждого проекта, содержащего файлы.cdwpf, созданные инструментом 3D Configurator.
- 2. В системе с Engineering Studio для каждого проекта удалить папку RT, содержащую файлы Service Engine.
- 3. Скомпилировать новые файлы в Engineering Studio для каждого затрагиваемого проекта.
- 4. В системе с компонентом Service Engine удалить папку RT каждого затрагиваемого проекта.
- 5. Перенести в систему или разместить в ней с помощью компонента Service Engine вновь созданные файлы компонента Service Engine, которые больше не содержат файлы.cdwpf.
- Использование рекомендаций
- search.abb.com/library/Download.aspx
Уязвимость существует только в том случае, если инструмент 3D-конфигуратора используется для создания файлов.cdwpf, которые используются на экранах в проектах для отображения 3D-моделей
