Plataforma
other
Componente
abb-ability-symphony-plus-operations
Corregido en
3.3 Service Pack 1
2.1 SP2 Rollup 2
2.2
La vulnerabilidad CVE-2020-24673 es una inyección SQL presente en ABB Ability™ Symphony® Plus Operations y S+ Historian. Esta falla permite a un atacante ejecutar código SQL malicioso, comprometiendo la integridad y confidencialidad de los datos. Afecta a versiones hasta 3.3 Service Pack 1. Se recomienda actualizar a la versión 3.3 Service Pack 1 para solucionar el problema.
Un atacante que explote con éxito esta vulnerabilidad de inyección SQL puede acceder a información sensible almacenada en la base de datos, incluyendo credenciales y datos de configuración. Además, puede modificar datos existentes, insertar nuevos registros o incluso eliminar información crítica. La capacidad de ejecutar operaciones administrativas en la base de datos, como el apagado del sistema de gestión de bases de datos (DBMS), representa un riesgo significativo para la disponibilidad del sistema. En escenarios más graves, la vulnerabilidad permite ejecutar comandos directamente en el sistema operativo subyacente, abriendo la puerta a la toma de control completa del sistema. Esta capacidad de ejecución de comandos en el SO amplía considerablemente el radio de explosión y el potencial de daño, similar a vulnerabilidades que permiten la ejecución remota de código (RCE).
La vulnerabilidad CVE-2020-24673 fue publicada el 22 de diciembre de 2020. Actualmente, no se dispone de información pública sobre campañas de explotación activas. Sin embargo, dada la severidad de la vulnerabilidad (CVSS 9.8) y la posibilidad de ejecución de comandos en el sistema operativo, es probable que sea objeto de escaneo y explotación por parte de actores maliciosos. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad sospechosa.
Organizations utilizing ABB Ability™ Symphony® Plus Operations in critical infrastructure sectors, particularly those with legacy configurations or inadequate network segmentation, are at heightened risk. Shared hosting environments where multiple tenants share a database instance are also vulnerable if the application is not properly secured.
• linux / server:
journalctl -u symphony_plus | grep -i "SQL injection"• generic web:
curl -I <affected_endpoint> | grep -i "SQL injection"disclosure
patch
Estado del Exploit
EPSS
0.40% (61% percentil)
Vector CVSS
La mitigación principal para CVE-2020-24673 es actualizar ABB Ability™ Symphony® Plus Operations y S+ Historian a la versión 3.3 Service Pack 1. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Estas medidas pueden incluir la configuración de un firewall para restringir el acceso a la base de datos solo a fuentes confiables, la implementación de reglas en un Web Application Firewall (WAF) para detectar y bloquear intentos de inyección SQL, y la revisión de la configuración de la base de datos para asegurar que se apliquen los principios de mínimo privilegio. Además, monitorear los registros de la base de datos en busca de patrones sospechosos puede ayudar a detectar y responder a posibles ataques. Después de la actualización, confirme la mitigación revisando los registros de auditoría y realizando pruebas de penetración para verificar que la vulnerabilidad ha sido corregida.
Actualizar a la versión 3.3 Service Pack 1, 2.1 SP2 Rollup 2 o 2.2 (o superior) según corresponda a la versión instalada de ABB Ability™ Symphony® Plus Operations. Esto solucionará la vulnerabilidad de inyección SQL (SQL Injection).
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2020-24673 is a critical SQL injection vulnerability in ABB Ability™ Symphony® Plus Operations ≤3.3 SP1, allowing attackers to potentially read, modify, or delete database data and execute operating system commands.
If you are running ABB Ability™ Symphony® Plus Operations versions prior to 3.3 Service Pack 1, you are potentially affected by this vulnerability.
The recommended fix is to upgrade to ABB Ability™ Symphony® Plus Operations version 3.3 Service Pack 1 or later. Implement temporary workarounds if an immediate upgrade is not possible.
While no active exploitation campaigns have been publicly confirmed, the vulnerability's severity warrants immediate attention and mitigation.
Refer to the official ABB security advisory for detailed information and mitigation guidance: [https://www.abb.com/security-advisories](https://www.abb.com/security-advisories)
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.