Accueil > Alertes CERT-MC > AVIS CERTFR - 2022 - AVI - 546

AVIS CERTFR - 2022 - AVI - 546

Objet : Multiples vulnérabilités dans les produits Schneider

Référence : CERTFR-2022-AVI-546

Risque(s)

- Exécution de code arbitraire à distance
- Déni de service à distance
- Contournement de la politique de sécurité
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

- IGSS Data Server versions antérieures à 15.0.0.22140
- Geo SCADA Mobile versions antérieures au Build 202205171
- Conext ComBox toutes versions
- StruxureWare Data Center Expert versions antérieures à 7.9.1
- EcoStruxure Power Commission versions antérieures à 2.22
- Schneider Electric C-Bus Network Automation Controller LSS5500NAC versions antérieures à 1.11.0
- Schneider Electric C-Bus Network Automation Controller LSS5500SHAC versions antérieures à 1.11.0
- Clipsal C-Bus Network Automation Controller 5500NAC versions antérieures à 1.11.0
- Clipsal C-Bus Network Automation Controller 5500SHAC versions antérieures à 1.11.0
- SpaceLogic C-Bus Network Automation Controller 5500NAC2 versions antérieures à 1.11.0
- SpaceLogic C-Bus Network Automation Controller 5500AC2 versions antérieures à 1.11.0
- CanBRASS versions antérieures à 7.6
- EcoStruxure Cybersecurity Admin Expert (CAE) versions antérieures à 2.4
- EPC2000 versions antérieures à 4.03
- Versadac versions antérieures à 2.43
- EcoStruxure Power Build: Rapsody Software versions antérieures à 2.1.13
- SCADAPack RemoteConnect pour x70 versions antérieures à R2.7.3
- Smart-UPS SCL Series versions antérieures à 15.1
- Smart-UPS SRT Series versions antérieures à 15.0
- Smart-UPS SMT SMC, SMX, SRC, XU, XP, SURTD, CHS2 et SRTL Series toutes versions

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Schneider. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

- Bulletin de sécurité Schneider SEVD-2022-165-01 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-01_IGSS_Security_Notification.pdf  
- Bulletin de sécurité Schneider SEVD-2022-165-02 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-02_Geo_SCADA_Android_App_Security_Notification.pdf  
- Bulletin de sécurité Schneider SEVD-2022-165-03 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-03_ConextCombox_Security_Notification.pdf  
- Bulletin de sécurité Schneider SEVD-2022-165-04 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-04_%20StruxureWare_Data_Center_Expert_Security_Notification.pdf  
- Bulletin de sécurité Schneider SEVD-2022-165-05 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-05_EcoStruxure_Power_Commission_Security_Notification.pdf  
- Bulletin de sécurité Schneider SEVD-2022-165-06 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-06_C-Bus_Home_Automation_Products_Security_Notification.pdf  
- Bulletin de sécurité Schneider SEVD-2022-165-07 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-07_CanBRASS_Security_Notification.pdf  
- Bulletin de sécurité Schneider SEVD-2022-165-08 du 14 juin 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-08_Cybersecurity_Admin_Expert_Security_Notification.pdf  
- Bulletin de sécurité Schneider SEVD-2021-313-05 du 09 novembre 2021
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2021-313-05_Badalloc_Vulnerabilities_Security_Notification_V8.0.pdf  
- Bulletin de sécurité Schneider SEVD-2021-012-02 du 12 janvier 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2021-012-02_EcoStruxure_Power_Build_Rapsody_Security_Notification_V2.0.pdf  
- Bulletin de sécurité Schneider SEVD-2022-067-01 du 08 mars 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-067-01_EcoStruxure_Control_Expert_and_EcoStruxure_Process_Expert_Security_Notification_V2.0.pdf  
- Bulletin de sécurité Schneider SEVD-2022-067-02 du 08 mars 2022
https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-067-02_APC_Smart-UPS_Security_Notification_V4.0_EN.pdf  
- Référence CVE CVE-2022-32522
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32522  
- Référence CVE CVE-2022-32523
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32523  
- Référence CVE CVE-2022-32524
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32524  
- Référence CVE CVE-2022-32525
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32525  
- Référence CVE CVE-2022-32526
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32526  
- Référence CVE CVE-2022-32527
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32527  
- Référence CVE CVE-2022-32528
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32528  
- Référence CVE CVE-2022-32529
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32529  
- Référence CVE CVE-2022-32530
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32530  
- Référence CVE CVE-2022-32515
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32515  
- Référence CVE CVE-2022-32516
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32516  
- Référence CVE CVE-2022-32517
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32517  
- Référence CVE CVE-2022-32518
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32518  
- Référence CVE CVE-2022-32520
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32520  
- Référence CVE CVE-2022-32519
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32519  
- Référence CVE CVE-2022-32521
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32521  
- Référence CVE CVE-2022-0223
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0223  
- Référence CVE CVE-2022-22731
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22731  
- Référence CVE CVE-2022-22732
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22732  
- Référence CVE CVE-2022-32513
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32513  
- Référence CVE CVE-2022-32514
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32514  
- Référence CVE CVE-2022-32512
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32512  
- Référence CVE CVE-2022-32747
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32747  
- Référence CVE CVE-2022-32748
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32748  
- Référence CVE CVE-2020-35198
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-35198  
- Référence CVE CVE-2020-28895
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28895  
- Référence CVE CVE-2021-22697
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22697  
- Référence CVE CVE-2021-22698
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22698  
- Référence CVE CVE-2022-24322
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24322  
- Référence CVE CVE-2022-24323
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24323  
- Référence CVE CVE-2022-22805
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22805  
- Référence CVE CVE-2022-22806
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22806  
- Référence CVE CVE-2022-0715
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0715  

Dernière version de ce document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-546/  

 

 

AVIS CERTFR - 2022 - AVI - 579

23 juin 2022
actualite

Objet : Vulnérabilité dans Apache TomcatRéférence : CERTFR-2022-AVI-579Risque(s)- Injection de code indirecte à distance (XSS)Systèmes affectés - A... Lire la suite[+]

AVIS CERTFR - 2022 - AVI - 578

22 juin 2022
actualite

Objet : Multiples vulnérabilités dans le noyau Linux de Red HatRéférence : CERTFR-2022-AVI-578Risque(s)- Élévation de privilègesSystèmes affectés-... Lire la suite[+]

Contact

Agence Monégasque de Sécurité Numérique
24 rue du Gabian 
98000 MONACO

AMSN_contact@gouv.mc

Téléphone : (+377) 98 98 24 93
Bouton Alertes CSIRT-MC


       INFORMATIONS            PRATIQUES
Demande d'autorisation loi n°1.383
Conseils élémentaires
//amsn.gouv.mc/Alertes-CERT-MC/AVIS-CERTFR-2022-AVI-546