Avis du CERT-FR
Objet : Multiples vulnérabilités dans système SCADA Siemens WinCC
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Injection de code indirecte à distance
Systèmes affectés
WinCC version 7.0 SP3 et antérieures.
Résumé
Cinq vulnérabilités ont été corrigées dans le système SCADA Siemens WinCC. Parmis elles :
- deux concernent des injections de code indirecte à distance (XSS) ;
- une permet de récupérer des données d'autres utilisateurs ;
- une concerne une injection de type SQL ;
- la dernière permet d'obtenir l'identifiant et le mot de passe d'un utilisateur au moyen d'un ActiveX.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Siemens ssa-864051 du 10 septembre 2012 :
http://www.siemens.com/corporate-technology/pool/de/forschungsfelder/siemens_security_advisory_ssa-864051.pdf -
Référence CVE CVE-2012-3028
https://www.cve.org/CVERecord?id=CVE-2012-3028 -
Référence CVE CVE-2012-3030
https://www.cve.org/CVERecord?id=CVE-2012-3030 -
Référence CVE CVE-2012-3031
https://www.cve.org/CVERecord?id=CVE-2012-3031 -
Référence CVE CVE-2012-3032
https://www.cve.org/CVERecord?id=CVE-2012-3032 -
Référence CVE CVE-2012-3034
https://www.cve.org/CVERecord?id=CVE-2012-3034
Gestion détaillée du document
| Date | Description |
|---|---|
| 14 septembre 2012 | version initiale. |