Risque(s)
- Exécution de code arbitraire à distance
- Déni de service à distance
- Atteinte à la confidentialité des données
- Élévation de privilèges
- Injection de code indirecte à distance (XSS)
- Injection de requêtes illégitimes par rebond (CSRF)
Systèmes affectés
- License Management System (LMS) versions 2.1 et antérieures sans le dernier correctif de sécurité
- Annual Shading versions V1.0.4 et V1.1 sans le dernier correctif de sécurité
- Desigo ABT versions V3.1.0, V3.0.1 et antérieures sans le dernier correctif de sécurité
- Desigo CC / Cerberus DMS versions V1.1, V2.0, V2.1 et V3.0 sans le dernier correctif de sécurité
- Desigo Configuration Manager (DCM) versions V6.1 SP2 et antérieures, V6.0 SP1 et antérieures, sans le dernier correctif de sécurité
- Desigo XWP versions V6.1 et antérieures sans le dernier correctif de sécurité
- SiteIQ Analytics versions V1.1, V1.2 et V1.3 sans le dernier correctif de sécurité
- Siveillance Identity version V1.1 sans le dernier correctif de sécurité
- SCALANCE M875
- SCALANCE X-200 versions antérieures à V5.2.3
- SCALANCE X-200 IRT versions antérieures à V5.4.1
- RAPIDLab série 1200 versions antérieures à V3.3
Résumé
De multiples vulnérabilités ont été découvertes dans SCADA les produits Siemens . Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité SCADA ssa-566773 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-566773.pdf - Bulletin de sécurité SCADA ssa-977428 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-977428.pdf - Bulletin de sécurité SCADA ssa-480829 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-480829.pdf - Bulletin de sécurité SCADA ssa-181018 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-181018.pdf - Bulletin de sécurité SCADA ssa-755010 Siemens du 12 juin 2018
https://cert-portal.siemens.com/productcert/pdf/ssa-755010.pdf - Référence CVE CVE-2018-6304
https://www.cve.org/CVERecord?id=CVE-2018-6304 - Référence CVE CVE-2018-6305
https://www.cve.org/CVERecord?id=CVE-2018-6305 - Référence CVE CVE-2018-8900
https://www.cve.org/CVERecord?id=CVE-2018-8900 - Référence CVE CVE-2018-11449
https://www.cve.org/CVERecord?id=CVE-2018-11449 - Référence CVE CVE-2018-11448
https://www.cve.org/CVERecord?id=CVE-2018-11448 - Référence CVE CVE-2018-11447
https://www.cve.org/CVERecord?id=CVE-2018-11447 - Référence CVE CVE-2018-4861
https://www.cve.org/CVERecord?id=CVE-2018-4861 - Référence CVE CVE-2018-4860
https://www.cve.org/CVERecord?id=CVE-2018-4860 - Référence CVE CVE-2018-4859
https://www.cve.org/CVERecord?id=CVE-2018-4859 - Référence CVE CVE-2018-4842
https://www.cve.org/CVERecord?id=CVE-2018-4842 - Référence CVE CVE-2018-4848
https://www.cve.org/CVERecord?id=CVE-2018-4848 - Référence CVE CVE-2018-4833
https://www.cve.org/CVERecord?id=CVE-2018-4833 - Référence CVE CVE-2018-4845
https://www.cve.org/CVERecord?id=CVE-2018-4845 - Référence CVE CVE-2018-4846
https://www.cve.org/CVERecord?id=CVE-2018-4846
