AVIS CERTFR - 2022 - AVI - 123

AVIS CERT
CERT-FR

Publié le 9 février 2022 à 17h55 - Mis à jour le 9 février 2022 à 18h01

Objet : [SCADA] Multiples vulnérabilités dans les produits Schneider

Référence : CERTFR-2022-AVI-123


RISQUE(S)

Exécution de code arbitraire à distance
Déni de service à distance
Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Injection de code indirecte à distance (XSS)
Injection de requêtes illégitimes par rebond (CSRF)


SYSTÈMES AFFECTÉS

IGSS Data Server versions antérieures à V15.0.0.22021
EcoStruxure EV Charging Expert versions antérieures à V4.0.0.13 SP8 (Version 01)
Easergy P40 Series model numbers avec option Ethernet (produit ayant le code Q, R, S)
spaceLYnk versions antérieures à 2.7.0
Wiser for KNX product versions antérieures à 2.7.0
fellerLYnk product versions antérieures à 2.7.0
EcoStruxure Geo SCADA Expert versions antérieures à 2021
ClearSCADA versions antérieures à 2017 R3 August 2021 Monthly Update.
Harmony/Magelis iPC Series sans le correctif fourni avec Vijeo Designer version V6.2 SP11 Multi HotFix 4
Vijeo Designer versions antérieures à V6.2 SP11 Multi HotFix 4
Vijeo Designer Basic versions antérieures à v1.2.1
M241/M251 toutes versions
EcoStruxure Machine Expert toutes versions
Harmony/Magelis modèles HMISTU, HMIGTO, HMIGTU, HMIGTUX, HMIGK, HMISCU
Eurotherm E+PLC100 toutes versions
Eurotherm E+PLC400 toutes versions
Eurotherm E+PLC tools toutes versions
Easy Harmony ET6 (HMIET) sans le correctif fourni avec Vijeo Designer Basic version V1.2.1
Easy Harmony GXU (HMIGXU) sans le correctif fourni avec Vijeo Designer Basic version V1.2.1
Harmony/ Magelis modèles HMIGTU, HMIGTUX, HMIGK sans le correctif fourni avec Vijeo Designer version V6.2 SP11 Multi HotFix 4
Modicon M241/M251 Logic Controllers versions antérieures à V5.1.9.34
Modicon M262 Logic Controllers versions antérieures à V5.1.6.1
Easergy MiCOM P30 versions 660 -674
Easergy MiCOM P40 toutes versions


RÉSUMÉ

De multiples vulnérabilités ont été découvertes dans les produits Schneider. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.


SOLUTION

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).


DOCUMENTATION

Bulletin de sécurité Schneider SEVD-2022-039-01 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-01 
Bulletin de sécurité Schneider SEVD-2022-039-02 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-02 
Bulletin de sécurité Schneider SEVD-2022-039-03 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-03 
Bulletin de sécurité Schneider SEVD-2022-039-04 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-04 
Bulletin de sécurité Schneider SEVD-2022-039-05 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-05 
Bulletin de sécurité Schneider SEVD-2022-039-06 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-06 
Bulletin de sécurité Schneider SEVD-2021-313-05 du 09 novembre 2021
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2021-313-05 

Référence CVE CVE-2022-24310
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24310 

Référence CVE CVE-2022-24314
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24314 

Référence CVE CVE-2022-24311
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24311 

Référence CVE CVE-2022-24312
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24312 

Référence CVE CVE-2022-24313
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24313 

Référence CVE CVE-2022-24315
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24315 

Référence CVE CVE-2022-24316
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24316 

Référence CVE CVE-2022-24317
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24317 

Référence CVE CVE-2022-22808
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22808 

Référence CVE CVE-2022-22807
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22807 

Référence CVE CVE-2022-22813
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22813 

Référence CVE CVE-2022-22809
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22809 

Référence CVE CVE-2022-22810
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22810 

Référence CVE CVE-2022-22811
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22811 

Référence CVE CVE-2022-22812
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22812 

Référence CVE CVE-2022-24321
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24321 

Référence CVE CVE-2022-24318
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24318 

Référence CVE CVE-2022-24319
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24319 

Référence CVE CVE-2022-24320
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24320 

Référence CVE CVE-2021-22817
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22817 

Référence CVE CVE-2021-29240
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-29240 

Référence CVE CVE-2020-28895
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28895 

Référence CVE CVE-2020-35198
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-35198 

Dernière version du document

https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-123/