Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits Schneider

Gestion du document

Référence	CERTFR-2022-AVI-017
Titre	Multiples vulnérabilités dans les produits Schneider
Date de la première version	11 janvier 2022
Date de la dernière version	11 janvier 2022
Source(s)	Bulletin de sécurité Schneider SEVD-2022-011-01 du 11 janvier 2022 Bulletin de sécurité Schneider SEVD-2022-011-02 du 11 janvier 2022 Bulletin de sécurité Schneider SEVD-2022-011-03 du 11 janvier 2022 Bulletin de sécurité Schneider SEVD-2022-011-04 du 11 janvier 2022 Bulletin de sécurité Schneider SEVD-2022-011-05 du 11 janvier 2022 Bulletin de sécurité Schneider SEVD-2022-011-06 du 11 janvier 2022 Bulletin de sécurité Schneider SEVD-2022-011-07 du 11 janvier 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire
Injection de code indirecte à distance (XSS)

Systèmes affectés

CODESYS V3, vérifier l'avis SEVD-2022-011-06 pour identifier les périphériques utilisant ce système d'exploitation et appliquer les mesures de contournement suggérées par l'éditeur
ConneXium Tofino Firewall TCSEFEA23F3F20 et 21, toutes versions. Ces produits ne sont plus maintenus par l'éditeur qui incite fortement à mettre à jour vers la gamme TCSEFA23F3F22
ConneXium Tofino Firewall TCSEFEA23F3F22, versions antérieures à 03.23
ConneXium Tofino OPC-LSM TCSEFM0000, versions antérieures à 03.23
Easergy P3, versions antérieures à 30.205, se référer aux informations fournies par l'éditeur pour appliquer les mesures de contournement
Easergy P5, versions antérieures à 01.401.101, se référer aux informations fournies par l'éditeur pour appliquer les mesures de contournement
Easergy T300, versions antérieures à 2.7.1
EcoStruxure Power Monitoring Expert 2020, versions antérieures à 2020 CU3 sans le composant Floating License Manager 2.7
EcoStruxure Power Monitoring Expert 9.0, toutes versions. Ces produits ne sont plus maintenus par l'éditeur qui incite fortement à mettre à jour vers la gamme Power Monitoring Expert 2021
Modicon M340 Quantum et Premium Quantum CPUs, vérifier l'avis SEVD-2022-011-01 pour identifier les autres systèmes Modicon vulnérables et appliquer les mesures de contournement suggérées par l'éditeur

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Schneider. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Schneider SEVD-2022-011-01 du 11 janvier 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-01
Bulletin de sécurité Schneider SEVD-2022-011-02 du 11 janvier 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-02
Bulletin de sécurité Schneider SEVD-2022-011-03 du 11 janvier 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-03
Bulletin de sécurité Schneider SEVD-2022-011-04 du 11 janvier 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-04
Bulletin de sécurité Schneider SEVD-2022-011-05 du 11 janvier 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-05
Bulletin de sécurité Schneider SEVD-2022-011-06 du 11 janvier 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-06
Bulletin de sécurité Schneider SEVD-2022-011-07 du 11 janvier 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-011-07
Référence CVE CVE-2019-8963
https://www.cve.org/CVERecord?id=CVE-2019-8963
Référence CVE CVE-2020-7534
https://www.cve.org/CVERecord?id=CVE-2020-7534
Référence CVE CVE-2020-8597
https://www.cve.org/CVERecord?id=CVE-2020-8597
Référence CVE CVE-2021-21863
https://www.cve.org/CVERecord?id=CVE-2021-21863
Référence CVE CVE-2021-21864
https://www.cve.org/CVERecord?id=CVE-2021-21864
Référence CVE CVE-2021-21865
https://www.cve.org/CVERecord?id=CVE-2021-21865
Référence CVE CVE-2021-21866
https://www.cve.org/CVERecord?id=CVE-2021-21866
Référence CVE CVE-2021-21867
https://www.cve.org/CVERecord?id=CVE-2021-21867
Référence CVE CVE-2021-21868
https://www.cve.org/CVERecord?id=CVE-2021-21868
Référence CVE CVE-2021-21869
https://www.cve.org/CVERecord?id=CVE-2021-21869
Référence CVE CVE-2021-29240
https://www.cve.org/CVERecord?id=CVE-2021-29240
Référence CVE CVE-2021-29241
https://www.cve.org/CVERecord?id=CVE-2021-29241
Référence CVE CVE-2021-30061
https://www.cve.org/CVERecord?id=CVE-2021-30061
Référence CVE CVE-2021-30062
https://www.cve.org/CVERecord?id=CVE-2021-30062
Référence CVE CVE-2021-30063
https://www.cve.org/CVERecord?id=CVE-2021-30063
Référence CVE CVE-2021-30064
https://www.cve.org/CVERecord?id=CVE-2021-30064
Référence CVE CVE-2021-30065
https://www.cve.org/CVERecord?id=CVE-2021-30065
Référence CVE CVE-2021-30066
https://www.cve.org/CVERecord?id=CVE-2021-30066
Référence CVE CVE-2021-33485
https://www.cve.org/CVERecord?id=CVE-2021-33485
Référence CVE CVE-2022-22722
https://www.cve.org/CVERecord?id=CVE-2022-22722
Référence CVE CVE-2022-22723
https://www.cve.org/CVERecord?id=CVE-2022-22723
Référence CVE CVE-2022-22724
https://www.cve.org/CVERecord?id=CVE-2022-22724
Référence CVE CVE-2022-22725
https://www.cve.org/CVERecord?id=CVE-2022-22725
Référence CVE CVE-2022-22726
https://www.cve.org/CVERecord?id=CVE-2022-22726
Référence CVE CVE-2022-22727
https://www.cve.org/CVERecord?id=CVE-2022-22727
Référence CVE CVE-2022-22804
https://www.cve.org/CVERecord?id=CVE-2022-22804

Gestion détaillée du document

Date	Description
11 janvier 2022	Version initiale