ABB EIBPORT Punya Celah XSS, Sistem Otomasi Gedung Bisa Dibobol Tanpa Autentikasi

CLB.my.id - Badan Keamanan Siber AS (CISA) merilis advisory terbaru yang mengungkap celah keamanan pada sistem otomasi gedung buatan ABB. Produk yang terdampak adalah EIBPORT, sebuah sistem manajemen bangunan berbasis protokol KNX yang digunakan di gedung komersial dan industri di seluruh dunia.

Detail Celah Keamanan

Vulnerability yang dilaporkan memiliki kode CVE-2021-22291 dan tergolong jenis Cross-site Scripting (XSS) dengan skor CVSS v3.1 sebesar 8,0 dalam kategori High. Celah ini memungkinkan penyerang mendapatkan akses ke perangkat EIBPORT tanpa autentikasi, mengambil alih session ID, dan mengubah konfigurasi perangkat.

Serangan XSS terjadi ketika aplikasi web memasukkan input pengguna yang tidak divalidasi ke dalam output halaman. Pada kasus EIBPORT, kegagalan dalam manajemen session yang aman pada firmware rentan membuka celah bagi penyerang untuk menyisipkan kode berbahaya dan mengambil kendali perangkat.

Perangkat yang Terdampak

Celah ini mempengaruhi semua versi firmware sebelum 3.9.2 untuk tiga model EIBPORT, yaitu EIBPORT V3 KNX dengan kode produk 2CLA963710W1001, EIBPORT V3 KNX dengan kode 2CSM256242R2001, dan EIBPORT V3 KNX GSM dengan kode 2CLA963720W1001. Ketiga model ini merupakan bagian dari lini sistem otomasi bangunan KNX yang diproduksi ABB.

EIBPORT sendiri adalah sistem manajemen dan otomasi bangunan berbasis protokol KNX, standar komunikasi yang banyak dipakai untuk mengontrol pencahayaan, HVAC, keamanan, dan sistem lainnya di gedung modern. Produk ini digunakan di sektor manufaktur kritis dan teknologi informasi, dengan distribusi di seluruh dunia.

Risiko di Dunia Nyata

Meskipun celah ini secara teknis tidak dapat dieksploitasi dari jarak jauh jika sistem diterapkan sesuai praktik terbaik, ABB mengidentifikasi bahwa beberapa pelanggan memiliki konfigurasi yang tidak tepat dengan perangkat yang terpapar ke internet. Kondisi ini secara signifikan meningkatkan risiko eksploitasi.

Penyerang yang berhasil memanfaatkan celah ini dapat mengakses informasi sensitif yang tersimpan di dalam perangkat dan mengubah konfigurasi sistem otomasi gedung. Dalam skenario terburuk, ini bisa berarti manipulasi sistem pencahayaan, pendingin udara, atau bahkan kontrol akses di gedung komersial.

Namun, ABB menegaskan bahwa EIBPORT bukanlah perangkat keselamatan fungsional, sehingga eksploitasi celah ini tidak menimbulkan risiko langsung terhadap keselamatan jiwa.

Patch dan Mitigasi

ABB telah merilis pembaruan firmware versi 3.9.2 yang menyelesaikan kerentanan ini. Pembaruan memodifikasi firmware untuk memverifikasi kredensial login dan token session secara aman, serta memperkuat konfigurasi perangkat. Pelanggan diminta untuk memperbarui firmware sesegera mungkin.

Bagi organisasi yang tidak dapat langsung melakukan patch, CISA merekomendasikan beberapa langkah mitigasi tambahan. Isolasi jaringan kontrol di balik firewall menjadi langkah utama, dengan memastikan perangkat tidak dapat diakses dari internet. Perlindungan fisik terhadap akses langsung yang tidak sah juga sangat dianjurkan.

Untuk koneksi jarak jauh yang diperlukan, penggunaan VPN yang selalu diperbarui menjadi prasyarat. CISA juga menyarankan pemindai perangkat komputer portabel dan media removable sebelum menghubungkannya ke jaringan sistem kontrol, serta tidak menggunakan sistem kontrol untuk browsing web umum, email, atau pesan instan.

Pelaporan dan Dampak

Kerentanan ini dilaporkan secara privat oleh peneliti keamanan bernama Psytester. Pada saat advisory dirilis, belum ada eksploitasi publik yang diketahui. ABB pertama kali merilis advisory vendor pada Oktober 2025, sementara CISA menerbitkan kembali advisory ini pada 28 Mei 2026.

Kasus ini menjadi pengingat bahwa sistem otomasi gedung yang semakin terhubung ke jaringan juga membuka permukaan serangan baru. Bagi pengelola gedung komersial dan fasilitas industri, menjaga firmware tetap terbaru dan menerapkan segmentasi jaringan yang ketat bukan lagi pilihan, melainkan keharusan.***