AVIS CERTFR - 2018 - AVI - 543

AVIS CERT
CERT-FR

Publié le 14 novembre 2018 à 18h02 - Mis à jour le 14 novembre 2018 à 18h04

Objet : SCADA Multiples vulnérabilités dans les produits Siemens

Référence : CERTFR-2018-AVI-543

Risque(s)

- Déni de service à distance
- Contournement de la politique de sécurité
- Atteinte à la confidentialité des données
- Injection de code indirecte à distance (XSS)

Systèmes affectés

- SIMATIC S7-410 versions antérieures à V8.2.1
- SIMATIC HMI Comfort Panels 4" - 22" versions antérieures à V15 Update 4
- SIMATIC HMI Comfort Outdoor Panels 7" & 15" versions antérieures à V15 Update 4
- SIMATIC HMI KTP Mobile Panels KTP400F, KTP700, KTP700F, KTP900 et KTP900F versions antérieures à V15 Update 4
- SIMATIC WinCC Runtime Advanced versions antérieures à V15 Update 4
- SIMATIC WinCC Runtime Professional versions antérieures à V15 Update 4
- SIMATIC WinCC (TIA Portal) versions antérieures à V15 Update 4
- SCALANCE S602, S612, S623 et 627-2M versions antérieures à V4.0.1.1
- SIMATIC S7-1500 versions antérieures à V2.6
- SIMATIC STEP 7 (TIA Portal) versions antérieures à V15.1
- SIMATIC IT Production Suite versions 7.1 antérieures à V7.1 Upd3

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens . Certaines d'entre elles permettent à un attaquant de provoquer un déni de service à distance, un contournement de la politique de sécurité et une atteinte à la confidentialité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

- Bulletin de sécurité Siemens ssa-113131 du 13 novembre 2018

https://cert-portal.siemens.com/productcert/pdf/ssa-113131.pdf

- Bulletin de sécurité Siemens ssa-233109 du 13 novembre 2018

https://cert-portal.siemens.com/productcert/pdf/ssa-233109.pdf

- Bulletin de sécurité Siemens ssa-242982 du 13 novembre 2018

https://cert-portal.siemens.com/productcert/pdf/ssa-242982.pdf

- Bulletin de sécurité Siemens ssa-584286 du 13 novembre 2018

https://cert-portal.siemens.com/productcert/pdf/ssa-584286.pdf

- Bulletin de sécurité Siemens ssa-621493 du 13 novembre 2018

https://cert-portal.siemens.com/productcert/pdf/ssa-621493.pdf

- Bulletin de sécurité Siemens ssa-886615 du 13 novembre 2018

https://cert-portal.siemens.com/productcert/pdf/ssa-886615.pdf

- Bulletin de sécurité Siemens ssa-944083 du 13 novembre 2018

https://cert-portal.siemens.com/productcert/pdf/ssa-944083.pdf

- Référence CVE CVE-2018-16556

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16556

- Référence CVE CVE-2018-16557

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16557

- Référence CVE CVE-2018-13812

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13812

- Référence CVE CVE-2018-13813

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13813

- Référence CVE CVE-2018-16555

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-16555

- Référence CVE CVE-2018-13815

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13815

- Référence CVE CVE-2018-13811

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13811

- Référence CVE CVE-2018-13804

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13804

- Référence CVE CVE-2018-13814

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13814

Dernière version du document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2018-AVI-543/