Risque(s)
- Exécution de code arbitraire à distance
- Déni de service à distance
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Injection de code indirecte à distance (XSS)
- Injection de requêtes illégitimes par rebond (CSRF)
Systèmes affectés
IGSS Data Server versions antérieures à V15.0.0.22021
EcoStruxure EV Charging Expert versions antérieures à V4.0.0.13 SP8 (Version 01)
Easergy P40 Series model numbers avec option Ethernet (produit ayant le code Q, R, S)
spaceLYnk versions antérieures à 2.7.0
Wiser for KNX product versions antérieures à 2.7.0
fellerLYnk product versions antérieures à 2.7.0
EcoStruxure Geo SCADA Expert versions antérieures à 2021
ClearSCADA versions antérieures à 2017 R3 August 2021 Monthly Update.
Harmony/Magelis iPC Series sans le correctif fourni avec Vijeo Designer version V6.2 SP11 Multi HotFix 4
Vijeo Designer versions antérieures à V6.2 SP11 Multi HotFix 4
Vijeo Designer Basic versions antérieures à v1.2.1
M241/M251 toutes versions
EcoStruxure Machine Expert toutes versions
Harmony/Magelis modèles HMISTU, HMIGTO, HMIGTU, HMIGTUX, HMIGK, HMISCU
Eurotherm E+PLC100 toutes versions
Eurotherm E+PLC400 toutes versions
Eurotherm E+PLC tools toutes versions
Easy Harmony ET6 (HMIET) sans le correctif fourni avec Vijeo Designer Basic version V1.2.1
Easy Harmony GXU (HMIGXU) sans le correctif fourni avec Vijeo Designer Basic version V1.2.1
Harmony/ Magelis modèles HMIGTU, HMIGTUX, HMIGK sans le correctif fourni avec Vijeo Designer version V6.2 SP11 Multi HotFix 4
Modicon M241/M251 Logic Controllers versions antérieures à V5.1.9.34
Modicon M262 Logic Controllers versions antérieures à V5.1.6.1
Easergy MiCOM P30 versions 660 -674
Easergy MiCOM P40 toutes versions
Résumé
De multiples vulnérabilités ont été découvertes dans les produits Schneider. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Schneider SEVD-2022-039-01 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-01 - Bulletin de sécurité Schneider SEVD-2022-039-02 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-02 - Bulletin de sécurité Schneider SEVD-2022-039-03 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-03 - Bulletin de sécurité Schneider SEVD-2022-039-04 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-04 - Bulletin de sécurité Schneider SEVD-2022-039-05 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-05 - Bulletin de sécurité Schneider SEVD-2022-039-06 du 08 février 2022
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-06 - Bulletin de sécurité Schneider SEVD-2021-313-05 du 09 novembre 2021
https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2021-313-05 - Référence CVE CVE-2022-24310
https://www.cve.org/CVERecord?id=CVE-2022-24310 - Référence CVE CVE-2022-24314
https://www.cve.org/CVERecord?id=CVE-2022-24314 - Référence CVE CVE-2022-24311
https://www.cve.org/CVERecord?id=CVE-2022-24311 - Référence CVE CVE-2022-24312
https://www.cve.org/CVERecord?id=CVE-2022-24312 - Référence CVE CVE-2022-24313
https://www.cve.org/CVERecord?id=CVE-2022-24313 - Référence CVE CVE-2022-24315
https://www.cve.org/CVERecord?id=CVE-2022-24315 - Référence CVE CVE-2022-24316
https://www.cve.org/CVERecord?id=CVE-2022-24316 - Référence CVE CVE-2022-24317
https://www.cve.org/CVERecord?id=CVE-2022-24317 - Référence CVE CVE-2022-22808
https://www.cve.org/CVERecord?id=CVE-2022-22808 - Référence CVE CVE-2022-22807
https://www.cve.org/CVERecord?id=CVE-2022-22807 - Référence CVE CVE-2022-22813
https://www.cve.org/CVERecord?id=CVE-2022-22813 - Référence CVE CVE-2022-22809
https://www.cve.org/CVERecord?id=CVE-2022-22809 - Référence CVE CVE-2022-22810
https://www.cve.org/CVERecord?id=CVE-2022-22810 - Référence CVE CVE-2022-22811
https://www.cve.org/CVERecord?id=CVE-2022-22811 - Référence CVE CVE-2022-22812
https://www.cve.org/CVERecord?id=CVE-2022-22812 - Référence CVE CVE-2022-24321
https://www.cve.org/CVERecord?id=CVE-2022-24321 - Référence CVE CVE-2022-24318
https://www.cve.org/CVERecord?id=CVE-2022-24318 - Référence CVE CVE-2022-24319
https://www.cve.org/CVERecord?id=CVE-2022-24319 - Référence CVE CVE-2022-24320
https://www.cve.org/CVERecord?id=CVE-2022-24320 - Référence CVE CVE-2021-22817
https://www.cve.org/CVERecord?id=CVE-2021-22817 - Référence CVE CVE-2021-29240
https://www.cve.org/CVERecord?id=CVE-2021-29240 - Référence CVE CVE-2020-28895
https://www.cve.org/CVERecord?id=CVE-2020-28895 - Référence CVE CVE-2020-35198
https://www.cve.org/CVERecord?id=CVE-2020-35198