Accueil > Alertes CERT-MC > AVIS CERTFR - 2022 - AVI - 435

AVIS CERTFR - 2022 - AVI - 435

Objet : [SCADA] Multiples vulnérabilités dans les produits Siemens

Référence : CERTFR-2022-AVI-435

Risque(s)

- Exécution de code arbitraire à distance
- Déni de service à distance
- Contournement de la politique de sécurité
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Injection de code indirecte à distance (XSS)

Systèmes affectés

- SICAM P850 versions antérieures à 3.00
- Simcenter Femap versions antérieures à 2022.2
- SIMATIC NET PC Software versions 14.x antérieures à 14 SP1 Update 14
- SIMATIC NET PC Software versions 17.x antérieures à 17 SP1
- SIMATIC Process Historian OPC UA Server versions antérieures à 2020 SP1
- SIMATIC WinCC versions 7.5.x antérieures à V7.5 SP2 Update 8
- SIMATIC CP 442-1 RNA versions antérieures à 1.5.18
- SIMATIC CP 443-1 RNA versions antérieures à 1.5.18
- JT2Go versions antérieures à 13.3.0.3
- Teamcenter Visualization versions 13.3.x antérieures à 13.3.0.3
- Teamcenter Visualization versions 14.0.x antérieures à 14.0.0.1
- Desigo DXR2 versions antérieures à 01.21.142.5-22
- Desigo PXC3 versions antérieures à 01.21.142.4-18
- Desigo PXC4 versions antérieures à 02.20.142.10-10884
- Desigo PXC5 versions antérieures à 02.20.142.10-10884
- RUGGEDCOM RM1224 LTE(4G) EU et RM1224 LTE(4G) NAM versions antérieures à 7.1
- SCALANCE M804PB, M812-1 ADSL-Router (Annex A) (6GK5812-1AA00-2AA2), M812-1 ADSL-Router (Annex B) (6GK5812-1BA00-2AA2), M816-1 ADSL-Router (Annex A) (6GK5816-1AA00-2AA2), M816-1 ADSL-Router (Annex B) (6GK5816-1BA00-2AA2), M826-2 SHDSL-Router (6GK5826-2AB00-2AB2), M874-2 (6GK5874-2AA00-2AA2), M874-3 (6GK5874-3AA00-2AA2), M876-3 (EVDO) (6GK5876-3AA02-2BA2), M876-3 (ROK) (6GK5876-3AA02-2EA2), M876-4 (EU) (6GK5876-4AA00-2BA2), M876-4 (NAM) (6GK5876-4AA00-2DA2), MUM856-1 (EU) (6GK5856-2EA00-3DA1), MUM856-1 (RoW) (6GK5856-2EA00-3AA1) et S615 (6GK5615-0AA00-2AA2) versions antérieures à 7.1
- SIMATIC CP 1543-1 (6GK7543-1AX00-0XE0) versions antérieures à 3.0.22
- SIMATIC RTU3010C (6NH3112-0BA00-0XX0), RTU3030C (6NH3112-3BA00-0XX0), RTU3031C (6NH3112-3BB00-0XX0) et RTU3041C (6NH3112-4BB00-0XX0) versions antérieures à 5.0.14
- SIPLUS NET CP 1543-1 versions antérieures à 3.0.22
- OpenV2G versions antérieures à 0.9.5
- Teamcenter versions 12.4.x antérieures à 12.4.0.13
- Teamcenter versions 13.0.x antérieures à 13.0.0.9
- Teamcenter versions 13.2.x antérieures à 13.2.0.8
- Teamcenter versions 13.3.x antérieures à 13.3.0.3
- SIMATIC Reader RF610R CMIIT (6GT2811-6BC10-2AA0), RF610R ETSI (6GT2811-6BC10-0AA0), RF610R FCC (6GT2811-6BC10-1AA0), RF615R CMIIT (6GT2811-6CC10-2AA0), RF615R ETSI (6GT2811-6CC10-0AA0), RF615R FCC (6GT2811-6CC10-1AA0), RF650R ARIB (6GT2811-6AB20-4AA0), RF650R CMIIT (6GT2811-6AB20-2AA0), RF650R ETSI (6GT2811-6AB20-0AA0), RF650R FCC (6GT2811-6AB20-1AA0), RF680R ARIB (6GT2811-6AA10-4AA0), RF680R CMIIT (6GT2811-6AA10-2AA0), RF680R ETSI (6GT2811-6AA10-0AA0), RF680R FCC (6GT2811-6AA10-1AA0), RF685R ARIB (6GT2811-6CA10-4AA0), RF685R CMIIT (6GT2811-6CA10-2AA0), RF685R ETSI (6GT2811-6CA10-0AA0) et RF685R FCC (6GT2811-6CA10-1AA0) versions 3.0.x antérieures à 4.0
- SIMATIC RF166C (6GT2002-0EE20), RF185C (6GT2002-0JE10), RF186C (6GT2002-0JE20), RF186CI (6GT2002-0JE50), RF188C (6GT2002-0JE40) et RF188CI (6GT2002-0JE60) versions 1.1.x antérieures à 1.3.2
- SIMATIC RF360R (6GT2801-5BA30) versions antérieures à 2.0

En fonction de la vulnérabilité, l'éditeur ne prévoit pas de correctif de sécurité pour les produits suivants :

- SITOP Manager toutes versions
- TeleControl Server Basic versions 3.x
- SIMATIC NET PC Software versions 15.x
- SIMATIC NET PC Software versions 16.x
- SIMATIC WinCC versions 16.x
- SIMATIC WinCC versions 17.x
- SIMATIC WinCC Runtime Professional toutes versions
- SIMATIC WinCC Unified Scada Runtime toutes versions
- SIMATIC PCS 7 versions 9.0.x et antérieures
- SIMATIC PCS 7 versions 9.1.x
- LOGO! CMR family toutes versions
- SIMATIC CP 1545-1 (6GK7545-1GX00-0XE0) toutes versions
- Teamcenter versions 13.1.x
- Teamcenter versions 14.0.x

Se référer aux mesures de contournement listées dans les avis de l'éditeur.

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

- Bulletin de sécurité Siemens ssa-165073 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-165073.html  
- Bulletin de sécurité Siemens ssa-162616 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-162616.html  
- Bulletin de sécurité Siemens ssa-285795 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-285795.html  
- Bulletin de sécurité Siemens ssa-321292 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-321292.html  
- Bulletin de sécurité Siemens ssa-363107 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-363107.html  
- Bulletin de sécurité Siemens ssa-480937 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-480937.html  
- Bulletin de sécurité Siemens ssa-553086 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-553086.html  
- Bulletin de sécurité Siemens ssa-626968 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-626968.html  
- Bulletin de sécurité Siemens ssa-662649 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-662649.html  
- Bulletin de sécurité Siemens ssa-732250 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-732250.html  
- Bulletin de sécurité Siemens ssa-736385 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-736385.html  
- Bulletin de sécurité Siemens ssa-789162 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-789162.html  
- Bulletin de sécurité Siemens ssa-787292 du 10 mai 2022 https://cert-portal.siemens.com/productcert/html/ssa-787292.html  
- Référence CVE CVE-2022-29872
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29872  
- Référence CVE CVE-2022-29873
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29873  
- Référence CVE CVE-2022-29874
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29874  
- Référence CVE CVE-2022-29876
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29876  
- Référence CVE CVE-2022-29877
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29877  
- Référence CVE CVE-2022-29878
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29878  
- Référence CVE CVE-2022-29879
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29879  
- Référence CVE CVE-2022-29880
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29880  
- Référence CVE CVE-2022-29881
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29881  
- Référence CVE CVE-2022-29882
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29882  
- Référence CVE CVE-2022-29883
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29883  
- Référence CVE CVE-2022-27653
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-27653  
- Référence CVE CVE-2021-45117
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45117  
- Référence CVE CVE-2021-40142
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40142  
- Référence CVE CVE-2022-24287
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24287  
- Référence CVE CVE-2022-27640
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-27640  
- Référence CVE CVE-2022-29028
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29028  
- Référence CVE CVE-2022-29029
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29029  
- Référence CVE CVE-2022-29030
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29030  
- Référence CVE CVE-2022-29031
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29031  
- Référence CVE CVE-2022-29032
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29032  
- Référence CVE CVE-2022-29033
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29033  
- Référence CVE CVE-2022-24040
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24040  
- Référence CVE CVE-2022-24041
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24041  
- Référence CVE CVE-2022-24042
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24042  
- Référence CVE CVE-2022-24043
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24043  
- Référence CVE CVE-2022-24044
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24044  
- Référence CVE CVE-2022-24045
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24045  
- Référence CVE CVE-2022-24039
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24039  
- Référence CVE CVE-2021-41545
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-41545  
- Référence CVE CVE-2021-22924
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22924  
- Référence CVE CVE-2021-22901
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22901  
- Référence CVE CVE-2022-27242
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-27242  
- Référence CVE CVE-2022-29801
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29801  
- Référence CVE CVE-2022-24290
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24290  
- Référence CVE CVE-2021-31340
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31340  

Dernière version de ce document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-435/  

 

AVIS CERTFR - 2022 - AVI - 496

25 mai 2022
actualite

Objet : Multiples vulnérabilités dans le noyau Linux de Red HatRéférence : CERTFR-2022-AVI-496Risque(s)- Exécution de code arbitraire à distanceSys... Lire la suite[+]

AVIS CERTFR - 2022 - AVI - 495

25 mai 2022
actualite

Objet : Multiples vulnérabilités dans le noyau Linux de UbuntuRéférence : CERTFR-2022-AVI-495Risque(s) - Exécution de code arbitraire - Déni de ser... Lire la suite[+]

Contact

Agence Monégasque de Sécurité Numérique
24 rue du Gabian 
98000 MONACO

AMSN_contact@gouv.mc

Téléphone : (+377) 98 98 24 93
Bouton Alertes CSIRT-MC


       INFORMATIONS            PRATIQUES
Demande d'autorisation loi n°1.383
Conseils élémentaires
//amsn.gouv.mc/Alertes-CERT-MC/AVIS-CERTFR-2022-AVI-435