AVIS CERTFR - 2022 - AVI - 123
Publié le 9 février 2022 à 17h55 - Mis à jour le 9 février 2022 à 18h01
Objet : [SCADA] Multiples vulnérabilités dans les produits Schneider
Référence : CERTFR-2022-AVI-123
RISQUE(S)
Exécution de code arbitraire à distance
Déni de service à distance
Atteinte à l'intégrité des données
Atteinte à la confidentialité des données
Injection de code indirecte à distance (XSS)
Injection de requêtes illégitimes par rebond (CSRF)
SYSTÈMES AFFECTÉS
IGSS Data Server versions antérieures à V15.0.0.22021
EcoStruxure EV Charging Expert versions antérieures à V4.0.0.13 SP8 (Version 01)
Easergy P40 Series model numbers avec option Ethernet (produit ayant le code Q, R, S)
spaceLYnk versions antérieures à 2.7.0
Wiser for KNX product versions antérieures à 2.7.0
fellerLYnk product versions antérieures à 2.7.0
EcoStruxure Geo SCADA Expert versions antérieures à 2021
ClearSCADA versions antérieures à 2017 R3 August 2021 Monthly Update.
Harmony/Magelis iPC Series sans le correctif fourni avec Vijeo Designer version V6.2 SP11 Multi HotFix 4
Vijeo Designer versions antérieures à V6.2 SP11 Multi HotFix 4
Vijeo Designer Basic versions antérieures à v1.2.1
M241/M251 toutes versions
EcoStruxure Machine Expert toutes versions
Harmony/Magelis modèles HMISTU, HMIGTO, HMIGTU, HMIGTUX, HMIGK, HMISCU
Eurotherm E+PLC100 toutes versions
Eurotherm E+PLC400 toutes versions
Eurotherm E+PLC tools toutes versions
Easy Harmony ET6 (HMIET) sans le correctif fourni avec Vijeo Designer Basic version V1.2.1
Easy Harmony GXU (HMIGXU) sans le correctif fourni avec Vijeo Designer Basic version V1.2.1
Harmony/ Magelis modèles HMIGTU, HMIGTUX, HMIGK sans le correctif fourni avec Vijeo Designer version V6.2 SP11 Multi HotFix 4
Modicon M241/M251 Logic Controllers versions antérieures à V5.1.9.34
Modicon M262 Logic Controllers versions antérieures à V5.1.6.1
Easergy MiCOM P30 versions 660 -674
Easergy MiCOM P40 toutes versions
RÉSUMÉ
De multiples vulnérabilités ont été découvertes dans les produits Schneider. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
SOLUTION
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
DOCUMENTATION
Bulletin de sécurité Schneider SEVD-2022-039-01 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-01
Bulletin de sécurité Schneider SEVD-2022-039-02 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-02
Bulletin de sécurité Schneider SEVD-2022-039-03 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-03
Bulletin de sécurité Schneider SEVD-2022-039-04 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-04
Bulletin de sécurité Schneider SEVD-2022-039-05 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-05
Bulletin de sécurité Schneider SEVD-2022-039-06 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-06
Bulletin de sécurité Schneider SEVD-2021-313-05 du 09 novembre 2021
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2021-313-05
Référence CVE CVE-2022-24310
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24310
Référence CVE CVE-2022-24314
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24314
Référence CVE CVE-2022-24311
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24311
Référence CVE CVE-2022-24312
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24312
Référence CVE CVE-2022-24313
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24313
Référence CVE CVE-2022-24315
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24315
Référence CVE CVE-2022-24316
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24316
Référence CVE CVE-2022-24317
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24317
Référence CVE CVE-2022-22808
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22808
Référence CVE CVE-2022-22807
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22807
Référence CVE CVE-2022-22813
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22813
Référence CVE CVE-2022-22809
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22809
Référence CVE CVE-2022-22810
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22810
Référence CVE CVE-2022-22811
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22811
Référence CVE CVE-2022-22812
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22812
Référence CVE CVE-2022-24321
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24321
Référence CVE CVE-2022-24318
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24318
Référence CVE CVE-2022-24319
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24319
Référence CVE CVE-2022-24320
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24320
Référence CVE CVE-2021-22817
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22817
Référence CVE CVE-2021-29240
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-29240
Référence CVE CVE-2020-28895
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28895
Référence CVE CVE-2020-35198
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-35198
Dernière version du document