Avis du CERT-FR

Json

Objet : SCADA Multiples vulnérabilités dans les produits Siemens

Gestion du document

Référence	CERTFR-2019-AVI-004
Titre	SCADA Multiples vulnérabilités dans les produits Siemens
Date de la première version	08 janvier 2019
Date de la dernière version	08 janvier 2019
Source(s)	Bulletin de sécurité Siemens SSA-180635 du 8 janvier 2019 Bulletin de sécurité Siemens SSA-306710 du 8 janvier 2019 Bulletin de sécurité Siemens SSA-325546 du 8 janvier 2019 Bulletin de sécurité Siemens SSA-559174 du 8 janvier 2019 Bulletin de sécurité Siemens SSA-579309 du 8 janvier 2019

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Déni de service à distance
Injection de code indirecte à distance (XSS)
Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

CP 1604 toutes versions antérieures à 2.8
CP 1616 toutes versions antérieures à 2.8
Microgiciel variante IEC 61850 pour module EN100 Ethernet toutes versions antérieures à 4.33
SICAM A8000 CP-8000 toutes versions antérieures à 14
SICAM A8000 CP-802X toutes versions antérieures à 14
SICAM A8000 CP-8050 toutes versions antérieures à 2.00
SIMATIC S7-1500 CPU toutes versions antérieures à 1.8.5
SIMATIC S7-1500 CPU toutes versions postérieures à 2.0 et antérieures à 2.5
SIMATIC S7-300 CPUs toutes versions antérieures à 3.X.16

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et une injection de code indirecte à distance (XSS).

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Siemens SSA-180635 du 8 janvier 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-180635.pdf
Bulletin de sécurité Siemens SSA-306710 du 8 janvier 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-306710.pdf
Bulletin de sécurité Siemens SSA-325546 du 8 janvier 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-325546.pdf
Bulletin de sécurité Siemens SSA-559174 du 8 janvier 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-559174.pdf
Bulletin de sécurité Siemens SSA-579309 du 8 janvier 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-579309.pdf
Référence CVE CVE-2018-11451
https://www.cve.org/CVERecord?id=CVE-2018-11451
Référence CVE CVE-2018-11452
https://www.cve.org/CVERecord?id=CVE-2018-11452
Référence CVE CVE-2018-13798
https://www.cve.org/CVERecord?id=CVE-2018-13798
Référence CVE CVE-2018-13808
https://www.cve.org/CVERecord?id=CVE-2018-13808
Référence CVE CVE-2018-13809
https://www.cve.org/CVERecord?id=CVE-2018-13809
Référence CVE CVE-2018-13810
https://www.cve.org/CVERecord?id=CVE-2018-13810
Référence CVE CVE-2018-16558
https://www.cve.org/CVERecord?id=CVE-2018-16558
Référence CVE CVE-2018-16559
https://www.cve.org/CVERecord?id=CVE-2018-16559
Référence CVE CVE-2018-16561
https://www.cve.org/CVERecord?id=CVE-2018-16561

Gestion détaillée du document

Date	Description
08 janvier 2019	Version initiale