Avis du CERT-FR
Objet : Multiples vulnérabilités dans SCADA les produits Siemens
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Déni de service à distance
- Exécution de code arbitraire à distance
- Injection de code indirecte à distance (XSS)
- Injection de requêtes illégitimes par rebond (CSRF)
- Élévation de privilèges
Systèmes affectés
- Annual Shading versions V1.0.4 et V1.1 sans le dernier correctif de sécurité
- Desigo ABT versions V3.1.0, V3.0.1 et antérieures sans le dernier correctif de sécurité
- Desigo CC / Cerberus DMS versions V1.1, V2.0, V2.1 et V3.0 sans le dernier correctif de sécurité
- Desigo Configuration Manager (DCM) versions V6.1 SP2 et antérieures, V6.0 SP1 et antérieures, sans le dernier correctif de sécurité
- Desigo XWP versions V6.1 et antérieures sans le dernier correctif de sécurité
- License Management System (LMS) versions 2.1 et antérieures sans le dernier correctif de sécurité
- RAPIDLab série 1200 versions antérieures à V3.3
- SCALANCE M875
- SCALANCE X-200 IRT versions antérieures à V5.4.1
- SCALANCE X-200 versions antérieures à V5.2.3
- SiteIQ Analytics versions V1.1, V1.2 et V1.3 sans le dernier correctif de sécurité
- Siveillance Identity version V1.1 sans le dernier correctif de sécurité
Résumé
De multiples vulnérabilités ont été découvertes dans SCADA les produits Siemens . Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité SCADA ssa-181018 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-181018.pdf -
Bulletin de sécurité SCADA ssa-480829 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-480829.pdf -
Bulletin de sécurité SCADA ssa-566773 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-566773.pdf -
Bulletin de sécurité SCADA ssa-755010 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-755010.pdf -
Bulletin de sécurité SCADA ssa-977428 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-977428.pdf -
Référence CVE CVE-2018-11447
https://www.cve.org/CVERecord?id=CVE-2018-11447 -
Référence CVE CVE-2018-11448
https://www.cve.org/CVERecord?id=CVE-2018-11448 -
Référence CVE CVE-2018-11449
https://www.cve.org/CVERecord?id=CVE-2018-11449 -
Référence CVE CVE-2018-4833
https://www.cve.org/CVERecord?id=CVE-2018-4833 -
Référence CVE CVE-2018-4842
https://www.cve.org/CVERecord?id=CVE-2018-4842 -
Référence CVE CVE-2018-4845
https://www.cve.org/CVERecord?id=CVE-2018-4845 -
Référence CVE CVE-2018-4846
https://www.cve.org/CVERecord?id=CVE-2018-4846 -
Référence CVE CVE-2018-4848
https://www.cve.org/CVERecord?id=CVE-2018-4848 -
Référence CVE CVE-2018-4859
https://www.cve.org/CVERecord?id=CVE-2018-4859 -
Référence CVE CVE-2018-4860
https://www.cve.org/CVERecord?id=CVE-2018-4860 -
Référence CVE CVE-2018-4861
https://www.cve.org/CVERecord?id=CVE-2018-4861 -
Référence CVE CVE-2018-6304
https://www.cve.org/CVERecord?id=CVE-2018-6304 -
Référence CVE CVE-2018-6305
https://www.cve.org/CVERecord?id=CVE-2018-6305 -
Référence CVE CVE-2018-8900
https://www.cve.org/CVERecord?id=CVE-2018-8900
Gestion détaillée du document
| Date | Description |
|---|---|
| 12 juin 2018 | Version initiale |