Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans les produits Schneider Electric

Gestion du document

Référence	CERTFR-2025-AVI-0565
Titre	Multiples vulnérabilités dans les produits Schneider Electric
Date de la première version	08 juillet 2025
Date de la dernière version	08 juillet 2025
Source(s)	Bulletin de sécurité Schneider Electric SEVD-2025-189-01 du 08 juillet 2025 Bulletin de sécurité Schneider Electric SEVD-2025-189-03 du 08 juillet 2025 Bulletin de sécurité Schneider Electric SEVD-2025-189-04 du 08 juillet 2025

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Atteinte à la confidentialité des données
Contournement de la politique de sécurité
Déni de service à distance
Exécution de code arbitraire à distance
Falsification de requêtes côté serveur (SSRF)
Non spécifié par l'éditeur
Élévation de privilèges

Systèmes affectés

EcoStruxure IT Data Center Expert versions antérieures ou égales à 8.3
EcoStruxure Power Monitoring Expert (PME) versions antérieures à 2023
EcoStruxure Power Monitoring Expert (PME) versions antérieures à 2023 R2
EcoStruxure Power Monitoring Expert (PME) versions antérieures à 2024
EcoStruxure Power Monitoring Expert (PME) versions antérieures à 2024 R2
EcoStruxure Power Operation (EPO) 2022 versions antérieures ou égales à CU6 pour les vulnérabilités CVE-2023-50447, CVE-2024-28219, CVE-2022-45198, CVE-2023-5217, CVE-2023-35945 et CVE-2023-44487.
EcoStruxure Power Operation (EPO) 2024 versions antérieures ou égales à CU1 pour les vulnérabilités CVE-2023-50447, CVE-2024-28219, CVE-2022-45198, CVE-2023-5217, CVE-2023-35945 et CVE-2023-44487.
EcoStruxure Power Operation (EPO) Advanced Reporting and Dashboards Module versions antérieures à 2022 pour la vulnérabilité CVE-2025-6788
EcoStruxure Power Operation (EPO) Advanced Reporting and Dashboards Module versions antérieures à 2024 pour la vulnérabilité CVE-2025-6788

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Schneider Electric. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et un déni de service à distance.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Schneider Electric SEVD-2025-189-01 du 08 juillet 2025
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-189-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-189-01.pdf
Bulletin de sécurité Schneider Electric SEVD-2025-189-03 du 08 juillet 2025
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-189-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-189-03.pdf
Bulletin de sécurité Schneider Electric SEVD-2025-189-04 du 08 juillet 2025
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2025-189-04&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2025-189-04.pdf
Référence CVE CVE-2022-45198
https://www.cve.org/CVERecord?id=CVE-2022-45198
Référence CVE CVE-2023-35945
https://www.cve.org/CVERecord?id=CVE-2023-35945
Référence CVE CVE-2023-44487
https://www.cve.org/CVERecord?id=CVE-2023-44487
Référence CVE CVE-2023-50447
https://www.cve.org/CVERecord?id=CVE-2023-50447
Référence CVE CVE-2023-5217
https://www.cve.org/CVERecord?id=CVE-2023-5217
Référence CVE CVE-2024-28219
https://www.cve.org/CVERecord?id=CVE-2024-28219
Référence CVE CVE-2025-50121
https://www.cve.org/CVERecord?id=CVE-2025-50121
Référence CVE CVE-2025-50122
https://www.cve.org/CVERecord?id=CVE-2025-50122
Référence CVE CVE-2025-50123
https://www.cve.org/CVERecord?id=CVE-2025-50123
Référence CVE CVE-2025-50124
https://www.cve.org/CVERecord?id=CVE-2025-50124
Référence CVE CVE-2025-50125
https://www.cve.org/CVERecord?id=CVE-2025-50125
Référence CVE CVE-2025-6438
https://www.cve.org/CVERecord?id=CVE-2025-6438
Référence CVE CVE-2025-6788
https://www.cve.org/CVERecord?id=CVE-2025-6788

Gestion détaillée du document

Date	Description
08 juillet 2025	Version initiale