Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits Siemens

Gestion du document

Référence	CERTFR-2022-AVI-018
Titre	Multiples vulnérabilités dans les produits Siemens
Date de la première version	11 janvier 2022
Date de la dernière version	11 janvier 2022
Source(s)	Bulletin de sécurité Siemens ssa-173318 du 11 janvier 2022 Bulletin de sécurité Siemens ssa-324998 du 11 janvier 2022 Bulletin de sécurité Siemens ssa-439673 du 11 janvier 2022 Bulletin de sécurité Siemens ssa-845392 du 11 janvier 2022 Bulletin de sécurité Siemens ssa-995338 du 11 janvier 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance
Injection de code indirecte à distance (XSS)
Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

COMOS Web, versions antérieures à 10.4.1
CP-8000 MASTER -25 à +70°C, versions antérieures à 16.20
CP-8000 MASTER MODULE -40 à +70°C, versions antérieures à 16.20
CP-8021 MASTER MODULE, versions antérieures à 16.20
CP-8022 MASTER MODULE, versions antérieures à 16.20
PLUSCONTROL première génération, toutes les versions, se référer au bulletin de sécurité de l'éditeur afin d'appliquer les mesures de contournement
SICAM PQ Analyzer, versions antérieures à 3.18
SIPROTEC 5 Compact 7SX800, versions antérieures à 8.83
SIPROTEC 5 depuis la gamme 6MD85 jusqu'à la gamme 7VK87, vérifier l'avis ssa-439673 pour identifier plus précisément les gammes vulnérables, versions antérieures à 8.83

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Siemens ssa-173318 du 11 janvier 2022
https://cert-portal.siemens.com/productcert/pdf/ssa-173318.pdf
Bulletin de sécurité Siemens ssa-324998 du 11 janvier 2022
https://cert-portal.siemens.com/productcert/pdf/ssa-324998.pdf
Bulletin de sécurité Siemens ssa-439673 du 11 janvier 2022
https://cert-portal.siemens.com/productcert/pdf/ssa-439673.pdf
Bulletin de sécurité Siemens ssa-845392 du 11 janvier 2022
https://cert-portal.siemens.com/productcert/pdf/ssa-845392.pdf
Bulletin de sécurité Siemens ssa-995338 du 11 janvier 2022
https://cert-portal.siemens.com/productcert/pdf/ssa-995338.pdf
Référence CVE CVE-2021-31344
https://www.cve.org/CVERecord?id=CVE-2021-31344
Référence CVE CVE-2021-31345
https://www.cve.org/CVERecord?id=CVE-2021-31345
Référence CVE CVE-2021-31346
https://www.cve.org/CVERecord?id=CVE-2021-31346
Référence CVE CVE-2021-31885
https://www.cve.org/CVERecord?id=CVE-2021-31885
Référence CVE CVE-2021-31889
https://www.cve.org/CVERecord?id=CVE-2021-31889
Référence CVE CVE-2021-31890
https://www.cve.org/CVERecord?id=CVE-2021-31890
Référence CVE CVE-2021-37195
https://www.cve.org/CVERecord?id=CVE-2021-37195
Référence CVE CVE-2021-37196
https://www.cve.org/CVERecord?id=CVE-2021-37196
Référence CVE CVE-2021-37197
https://www.cve.org/CVERecord?id=CVE-2021-37197
Référence CVE CVE-2021-37198
https://www.cve.org/CVERecord?id=CVE-2021-37198
Référence CVE CVE-2021-41769
https://www.cve.org/CVERecord?id=CVE-2021-41769
Référence CVE CVE-2021-45033
https://www.cve.org/CVERecord?id=CVE-2021-45033
Référence CVE CVE-2021-45034
https://www.cve.org/CVERecord?id=CVE-2021-45034
Référence CVE CVE-2021-45460
https://www.cve.org/CVERecord?id=CVE-2021-45460

Gestion détaillée du document

Date	Description
11 janvier 2022	Version initiale