Avis du CERT-FR
Objet : Multiples vulnérabilités dans les produits Schneider Electric
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
- EcoStruxure Machine Expert
- EcoStruxure Machine Expert – Basic
- Modicon M100 Logic Controller
- Modicon M200 Logic Controller
- Modicon M218 Logic Controller
- Modicon M221 Logic Controller
- Modicon M241 Logic Controller
- Modicon M251 Logic Controller
- Modicon M258 Logic Controller
- Modicon M340
- Modicon Premium et Quantum
- SoMachine Basic
- SoMachine, SoMachine Motion
- Tricon TCM Model 4351, 4352, 4351A/B et 4352A/B versions v10.x antérieures à v10.5.x
- TriStation TS1131 versions v4.0.x à v4.9.x antérieures à v4.9.1
- TriStation TS1131 versions v4.10.x antérieures à v4.10.1
- Vijeo Designer Basic versions V1.1 HotFix 15 et antérieures
- Vijeo Designer versions V6.9 SP9 et antérieures
Résumé
De multiples vulnérabilités ont été découvertes dans les produits Schneider Electric. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Schneider Electric SESB-2020-105-01 du 14 avril 2020
https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SESB-2020-105-01_Legacy_Triconex_Product_Vulnerabilities_Security_Bulletin_V2.1.pdf&p_Doc_Ref=SESB-2020-105-01 -
Bulletin de sécurité Schneider Electric SEVD-2019-316-02 du 12 novembre 2019
https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2019-316-02-Modicon_Controllers_Security_Notification_V2.0.pdf&p_Doc_Ref=SEVD-2019-316-02 -
Bulletin de sécurité Schneider Electric SEVD-2020-105-01 du 14 avril 2020
https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2020-105-01_Modicon+M100_M200_M221_and_EcoStruxure%E2%84%A2_Machine+Expert_Basic_Security_Notification.pdf&p_Doc_Ref=SEVD-2020-105-01 -
Bulletin de sécurité Schneider Electric SEVD-2020-105-02 du 14 avril 2020
https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2020-105-02_Modicon+M218_M241_M251_M258_M258_Logic_Controllers_SoMachine_SoMachine_Motion_EcoStruxure_Machine_Expert_Security_Notification.pdf&p_Doc_Ref=SEVD-2020-105-02 -
Bulletin de sécurité Schneider Electric SEVD-2020-105-03 du 14 avril 2020
https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2020-105-03_Vijeo_Designer_and_Vijeo_Designer_Basic_Security_Notification.pdf&p_Doc_Ref=SEVD-2020-105-03 -
Référence CVE CVE-2019-6852
https://www.cve.org/CVERecord?id=CVE-2019-6852 -
Référence CVE CVE-2019-6859
https://www.cve.org/CVERecord?id=CVE-2019-6859 -
Référence CVE CVE-2020-7483
https://www.cve.org/CVERecord?id=CVE-2020-7483 -
Référence CVE CVE-2020-7484
https://www.cve.org/CVERecord?id=CVE-2020-7484 -
Référence CVE CVE-2020-7485
https://www.cve.org/CVERecord?id=CVE-2020-7485 -
Référence CVE CVE-2020-7486
https://www.cve.org/CVERecord?id=CVE-2020-7486 -
Référence CVE CVE-2020-7487
https://www.cve.org/CVERecord?id=CVE-2020-7487 -
Référence CVE CVE-2020-7488
https://www.cve.org/CVERecord?id=CVE-2020-7488 -
Référence CVE CVE-2020-7489
https://www.cve.org/CVERecord?id=CVE-2020-7489 -
Référence CVE CVE-2020-7490
https://www.cve.org/CVERecord?id=CVE-2020-7490
Gestion détaillée du document
| Date | Description |
|---|---|
| 15 avril 2020 | Version initiale |
| 31 juillet 2020 | Correction du lien vers le bulletin de sécurité SESB-2020-105-01 pour pointer sur la dernière version du document. |