Accueil > Alertes CERT-MC > AVIS CERTFR - 2019 - AVI - 311

AVIS CERTFR - 2019 - AVI - 311

Objet : [SCADA] Multiples vulnérabilités dans les produits Siemens

Référence : CERTFR-2019-AVI-311

Risque(s)

- Exécution de code arbitraire à distance
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Injection de code indirecte à distance (XSS)

Systèmes affectés

- SIMATIC PCS 7 V8.2 avec WinCC versions antérieures à V7.4 SP1 Upd 11
- SIMATIC PCS 7 V9.0 avec WinCC versions antérieures à V7.4 SP1 Upd 11
- SIMATIC WinCC V7.4 versions antérieures à V7.4 SP1 Upd 11
- SIMATIC WinCC V7.5 versions antérieures à V7.5 Upd 3
- Sensis SIS Server Machine, Mat. Nr. 06648153: versions antérieures à VC11D, VC12M, VD11B sans le correctif AX037/19/P
- Sensis High End SIS Server, Mat. Nr. 10140973: versions antérieures à VC11D, VC12M sans le correctif AX037/19/P
- SENSIS Dell High-End Server (VC12), Mat. Nr.10910620: versions antérieures à VC12M sans le correctif AX037/19/P
- VM SIS Virtual Server, Mat. Nr. 10765502: versions antérieures à VC12M sans le correctif AX037/19/P
- SIMATIC RF615R versions antérieures à V3.2.1
- SIMATIC RF68XR versions antérieures à V3.2.1
- RAPIDPoint 500
- SIMATIC IPC427E avec un BIOS d'une version antérieure à V21.01.11
- SIMATIC IPC477E avec un BIOS d'une version antérieure à V21.01.11
- SIMATIC IPC477E Pro avec un BIOS d'une version antérieure à V21.01.11
- SIMATIC IPC627E avec un BIOS d'une version antérieure à V25.02.04
- SIMATIC IPC647E avec un BIOS d'une version antérieure à V25.02.04
- SIMATIC IPC677E avec un BIOS d'une version antérieure à V25.02.04
- SIMATIC IPC847E avec un BIOS d'une version antérieure à V25.02.04
- TIA Administrator versions antérieures à V1.0 SP1 Upd1
- Spectrum Power 3, 4, 5 et 7
- SIPROTEC 5 types 6MD85, 6MD86,6MD89, 7UM85, 7SA87, 7SD87, 7SL87, 7VK87,7SA82, 7SA86, 7SD82, 7SD86, 7SL82, 7SL86,7SJ86, 7SK82, 7SK85, 7SJ82, 7SJ85, 7UT82,7UT85, 7UT86, 7UT87 et 7VE85 versions antérieures à V7.90
- DIGSI 5 versions antérieures à V7.90

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à l'intégrité des données et une atteinte à la confidentialité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

- Bulletin de sécurité Siemens ssa-121293 du 09 juillet 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-121293.pdf
- Bulletin de sécurité Siemens ssa-166360 du 09 juillet 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-166360.pdf
- Bulletin de sécurité Siemens ssa-556833 du 09 juillet 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-556833.pdf
- Bulletin de sécurité Siemens ssa-616199 du 09 juillet 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-616199.pdf
- Bulletin de sécurité Siemens ssa-616472 du 09 juillet 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-616472.pdf
- Bulletin de sécurité Siemens ssa-721298 du 09 juillet 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-721298.pdf
- Bulletin de sécurité Siemens ssa-747162 du 09 juillet 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-747162.pdf
- Bulletin de sécurité Siemens ssa-899560 du 09 juillet 2019
https://cert-portal.siemens.com/productcert/pdf/ssa-899560.pdf
- Référence CVE CVE-2019-10935
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10935
- Référence CVE CVE-2019-0708
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-0708
- Référence CVE CVE-2011-3389
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3389
- Référence CVE CVE-2016-6329
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-6329
- Référence CVE CVE-2013-0169
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0169
- Référence CVE CVE-2018-12126
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-12126
- Référence CVE CVE-2018-12127
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-12127
- Référence CVE CVE-2018-12130
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-12130
- Référence CVE CVE-2019-11091
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-11091
- Référence CVE CVE-2019-10915
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10915
- Référence CVE CVE-2019-10933
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10933
- Référence CVE CVE-2019-10930
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10930
- Référence CVE CVE-2019-10931
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10931

Dernière version du document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2019-AVI-311/

AVIS CERTFR - 2019 - AVI - 411

23 août 2019
actualite

Objet : Vulnérabilité dans Palo Alto TwistlockRéférence : CERTFR-2019-AVI-411Risque(s)- Élévation de privilèges - Injection de code indirecte à dis... Lire la suite[+]

AVIS CERTFR - 2019 - AVI - 410

22 août 2019
actualite

Objet : Multiples vulnérabilités dans les produits CiscoRéférence : CERTFR-2019-AVI-410Risque(s) - Exécution de code arbitraire à distance - Déni d... Lire la suite[+]

Contact

Agence Monégasque de Sécurité Numérique
24 rue du Gabian 
98000 MONACO

AMSN_contact@gouv.mc

Téléphone : (+377) 98 98 24 93
Bouton Alertes CSIRT-MC oiv
//amsn.gouv.mc/Alertes-CERT-MC/AVIS-CERTFR-2019-AVI-311