BDU:2023-04413 (CVE-2023-3323) — уязвимость программной платформы управления операционными данными для оптимизации производства ABB Ability zenon
По данным БДУ ФСТЭК России, по состоянию на 03.08.2023.
Уязвимость программной платформы управления операционными данными для оптимизации производства ABB Ability zenon связана с ошибками использования стандартных разрешений. Эксплуатация уязвимости может позволить нарушителю читать и обновлять произвольные данные в различных каталогах системы
Кого касается и что делать
- Уязвимое ПО: zenon (Asea Brown Boveri) — версии от 11 до 11 build 106404 включительно
- Что делать: уязвимость устранена производителем — применить исправления: search.abb.com
Сведения об уязвимости
| Идентификаторы | BDU:2023-04413 · CVE-2023-3323 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.3; CVSS 2.0 — 6.0) |
| Вектор CVSS 3.1 | AV:P/ нужен физический доступ, высокая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость программной платформы управления операционными данными для оптимизации производства ABB Ability zenon, связанная с ошибками использования стандартных разрешений, позволяющая нарушителю читать и обновлять произвольные данные в различных каталогах системы |
| Даты | Опубликована: 03.08.2023 · Обновлена ФСТЭК: 03.08.2023 · Выявлена: 24.07.2023 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: организационные меры) |
| Тип ошибки | CWE-276 — неправильные стандартные разрешения |
| Класс уязвимости | Уязвимость архитектуры · Способ эксплуатации: нарушение авторизации |
Уязвимое ПО
- zenon (Asea Brown Boveri) — от 11 до 11 build 106404 включительно · программное средство АСУ ТП
Возможные меры по устранению уязвимости
Если обновиться нельзя
- 1.Рекомендуемые методы включают в себя физическую защиту систем управления процессами, отсутствие прямых подключений к Интернету и отделение от других сетей с помощью межсетевого экрана, имеющего минимальное количество открытых портов.
- 2. Удалить разрешения каталога по умолчанию для «Everyone» в сервисной сетке, утилитах ABB и zenon_Projects каталогах и предоставить доступ только определенным пользователям, которые должны получить доступ к zenon.
- 3. Установить службы IIoT, т.е. компонент сети услуг, в отдельную систему.
- 4. Обезопасить связанные c ZEE600 исполняемые файлы в каталоге «C:\ProgureData\ABB\ABButilities», удалив группу с именем «Everyone».
- 5.Каталог проекта должен иметь доступ только к группе пользователей (исключая администратора), в которой пользователи могут использовать zenon _ Projects.
- Использование рекомендаций
- search.abb.com/library/Download.aspx
Пример: Создаваемая группа пользователей с именем «zenon _ Projects Group» является единственной группой, имеющей доступ на запись в каталог zenon _ Projects. Если у системы есть 2 пользователя, такие как test1 (Часть zenonOwnersGroup) и test2 (не в zenonOwnersGroup). Каталог проекта (C:\Users\Public\Documents\zenon _ Projects) должен иметь доступ на запись только для группы ZEGroup и ни для кого другого. Теперь test1 должен иметь доступ на запись в каталог zenon_Project, а test2 не должен
