CVE-2024-51547（CVSS9.8）：ABB ASPECT中的硬编码证书

ABB 发布了一则网络安全公告，警示其 ASPECT 能源管理系统中存在一个严重的硬编码凭证漏洞（CVE – 2024 – 51547，通用漏洞评分系统（CVSS）评分 9.8），该漏洞可能使未经授权的攻击者获得系统的完全访问权限。

此漏洞存在于多个 ASPECT 产品线中，包括：

1.ASPECT – Enterprise（<= 3.08.03）

2.NEXUS 系列（<= 3.08.03）

3.MATRIX 系列（<= 3.08.03）

ABB 警告称，如果受影响的系统暴露在互联网或不可信网络中，该漏洞可能会被远程利用。该漏洞使攻击者能够：

1.解密存储在设备数据库中的用户名和密码。

2.篡改数据，破坏系统完整性。

3.拦截 ASPECT 设备之间的通信。

4.获得未经授权的管理权限，有可能导致整个系统被攻破。

据 ABB 称，“成功利用这些漏洞的攻击者有可能获得未经授权的访问权限，并有可能破坏系统以及日志文件的保密性、完整性和可用性。”

ABB 强调，ASPECT 设备不应直接暴露在互联网上。虽然目前尚未检测到主动利用该漏洞的情况，但 ABB 警告称，只有在 ASPECT 配置错误并暴露在不安全网络中的情况下，该漏洞才可能被利用。

由于目前尚无可用的固件更新，ABB 建议采取以下措施以将风险降至最低：

✅断开 ASPECT 设备与互联网的直接连接（包括 NAT 端口转发）。

✅实施严格的物理安全措施，防止未经授权的人员访问。

✅一旦 ABB 发布补丁，立即升级到最新的固件版本。

✅使用 VPN 网关进行安全的远程访问，而不是直接暴露 ASPECT 设备。

✅确保日志文件受到保护，防止未经授权的访问。

✅如果自安装以来默认凭证未被修改，立即更改所有默认凭证。