Avis du CERT-FR
Objet : Multiples vulnérabilités dans les produits Schneider
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Déni de service à distance
- Exécution de code arbitraire à distance
- Injection de requêtes illégitimes par rebond (CSRF)
Systèmes affectés
- CanBRASS versions antérieures à 7.6
- Clipsal C-Bus Network Automation Controller 5500NAC versions antérieures à 1.11.0
- Clipsal C-Bus Network Automation Controller 5500SHAC versions antérieures à 1.11.0
- Conext ComBox toutes versions
- EcoStruxure Cybersecurity Admin Expert (CAE) versions antérieures à 2.4
- EcoStruxure Power Build: Rapsody Software versions antérieures à 2.1.13
- EcoStruxure Power Commission versions antérieures à 2.22
- EPC2000 versions antérieures à 4.03
- Geo SCADA Mobile versions antérieures au Build 202205171
- IGSS Data Server versions antérieures à 15.0.0.22170
- SCADAPack RemoteConnect pour x70 versions antérieures à R2.7.3
- Schneider Electric C-Bus Network Automation Controller LSS5500NAC versions antérieures à 1.11.0
- Schneider Electric C-Bus Network Automation Controller LSS5500SHAC versions antérieures à 1.11.0
- Smart-UPS SCL Series versions antérieures à 15.1
- Smart-UPS SMT SMC, SMX, SRC, XU, XP, SURTD, CHS2 et SRTL Series toutes versions
- Smart-UPS SRT Series versions antérieures à 15.0
- SpaceLogic C-Bus Network Automation Controller 5500AC2 versions antérieures à 1.11.0
- SpaceLogic C-Bus Network Automation Controller 5500NAC2 versions antérieures à 1.11.0
- StruxureWare Data Center Expert versions antérieures à 7.9.1
- Versadac versions antérieures à 2.43
Résumé
De multiples vulnérabilités ont été découvertes dans les produits Schneider. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Schneider SEVD-2021-012-02 du 12 janvier 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2021-012-02_EcoStruxure_Power_Build_Rapsody_Security_Notification_V2.0.pdf -
Bulletin de sécurité Schneider SEVD-2021-313-05 du 09 novembre 2021
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2021-313-05_Badalloc_Vulnerabilities_Security_Notification_V8.0.pdf -
Bulletin de sécurité Schneider SEVD-2022-067-01 du 08 mars 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-067-01_EcoStruxure_Control_Expert_and_EcoStruxure_Process_Expert_Security_Notification_V2.0.pdf -
Bulletin de sécurité Schneider SEVD-2022-067-02 du 08 mars 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-067-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-067-02_APC-Smart-UPS_Security_Notification_V6.0.pdf -
Bulletin de sécurité Schneider SEVD-2022-165-01 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-01_IGSS_Security_Notification.pdf -
Bulletin de sécurité Schneider SEVD-2022-165-02 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-02_Geo_SCADA_Android_App_Security_Notification.pdf -
Bulletin de sécurité Schneider SEVD-2022-165-03 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-03_ConextCombox_Security_Notification.pdf -
Bulletin de sécurité Schneider SEVD-2022-165-04 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-04_%20StruxureWare_Data_Center_Expert_Security_Notification.pdf -
Bulletin de sécurité Schneider SEVD-2022-165-05 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-05_EcoStruxure_Power_Commission_Security_Notification.pdf -
Bulletin de sécurité Schneider SEVD-2022-165-06 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-06_C-Bus_Home_Automation_Products_Security_Notification.pdf -
Bulletin de sécurité Schneider SEVD-2022-165-07 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-07_CanBRASS_Security_Notification.pdf -
Bulletin de sécurité Schneider SEVD-2022-165-08 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-08_Cybersecurity_Admin_Expert_Security_Notification.pdf -
Référence CVE CVE-2020-28895
https://www.cve.org/CVERecord?id=CVE-2020-28895 -
Référence CVE CVE-2020-35198
https://www.cve.org/CVERecord?id=CVE-2020-35198 -
Référence CVE CVE-2021-22697
https://www.cve.org/CVERecord?id=CVE-2021-22697 -
Référence CVE CVE-2021-22698
https://www.cve.org/CVERecord?id=CVE-2021-22698 -
Référence CVE CVE-2022-0223
https://www.cve.org/CVERecord?id=CVE-2022-0223 -
Référence CVE CVE-2022-0715
https://www.cve.org/CVERecord?id=CVE-2022-0715 -
Référence CVE CVE-2022-22731
https://www.cve.org/CVERecord?id=CVE-2022-22731 -
Référence CVE CVE-2022-22732
https://www.cve.org/CVERecord?id=CVE-2022-22732 -
Référence CVE CVE-2022-22805
https://www.cve.org/CVERecord?id=CVE-2022-22805 -
Référence CVE CVE-2022-22806
https://www.cve.org/CVERecord?id=CVE-2022-22806 -
Référence CVE CVE-2022-24322
https://www.cve.org/CVERecord?id=CVE-2022-24322 -
Référence CVE CVE-2022-24323
https://www.cve.org/CVERecord?id=CVE-2022-24323 -
Référence CVE CVE-2022-32512
https://www.cve.org/CVERecord?id=CVE-2022-32512 -
Référence CVE CVE-2022-32513
https://www.cve.org/CVERecord?id=CVE-2022-32513 -
Référence CVE CVE-2022-32514
https://www.cve.org/CVERecord?id=CVE-2022-32514 -
Référence CVE CVE-2022-32515
https://www.cve.org/CVERecord?id=CVE-2022-32515 -
Référence CVE CVE-2022-32516
https://www.cve.org/CVERecord?id=CVE-2022-32516 -
Référence CVE CVE-2022-32517
https://www.cve.org/CVERecord?id=CVE-2022-32517 -
Référence CVE CVE-2022-32518
https://www.cve.org/CVERecord?id=CVE-2022-32518 -
Référence CVE CVE-2022-32519
https://www.cve.org/CVERecord?id=CVE-2022-32519 -
Référence CVE CVE-2022-32520
https://www.cve.org/CVERecord?id=CVE-2022-32520 -
Référence CVE CVE-2022-32521
https://www.cve.org/CVERecord?id=CVE-2022-32521 -
Référence CVE CVE-2022-32522
https://www.cve.org/CVERecord?id=CVE-2022-32522 -
Référence CVE CVE-2022-32523
https://www.cve.org/CVERecord?id=CVE-2022-32523 -
Référence CVE CVE-2022-32524
https://www.cve.org/CVERecord?id=CVE-2022-32524 -
Référence CVE CVE-2022-32525
https://www.cve.org/CVERecord?id=CVE-2022-32525 -
Référence CVE CVE-2022-32526
https://www.cve.org/CVERecord?id=CVE-2022-32526 -
Référence CVE CVE-2022-32527
https://www.cve.org/CVERecord?id=CVE-2022-32527 -
Référence CVE CVE-2022-32528
https://www.cve.org/CVERecord?id=CVE-2022-32528 -
Référence CVE CVE-2022-32529
https://www.cve.org/CVERecord?id=CVE-2022-32529 -
Référence CVE CVE-2022-32530
https://www.cve.org/CVERecord?id=CVE-2022-32530 -
Référence CVE CVE-2022-32747
https://www.cve.org/CVERecord?id=CVE-2022-32747 -
Référence CVE CVE-2022-32748
https://www.cve.org/CVERecord?id=CVE-2022-32748
Gestion détaillée du document
| Date | Description |
|---|---|
| 15 juin 2022 | Version initiale |
| 23 juin 2022 | Modification de la version des produits IGSS Data Server |
| 19 août 2022 | Mise à jour du lien du bulletin de sécurité Schneider SEVD-2022-067-02 du 08 mars 2022. |