Objet: Multiples vulnérabilités dans système SCADA Siemens WinCC

• Référence: CERTA-2012-AVI-507
• Titre: Multiples vulnérabilités dans système SCADA Siemens WinCC
• Date de la première version: 14 septembre 2012
• Date de la dernière version: 14 septembre 2012
• Source(s): Bulletin de sécurité Siemens ssa-864051 du 10 septembre 2012
• Pièce(s) jointe(s): Aucune(s)

Risque

• Contournement de la politique de sécurité ;
• atteinte à la confidentialité des données ;
• injection de code indirecte à distance.

Systèmes affectés

WinCC version 7.0 SP3 et antérieures.

Résumé

Cinq vulnérabilités ont été corrigées dans le système SCADA Siemens WinCC. Parmis elles :

• deux concernent des injections de code indirecte à distance (XSS) ;
• une permet de récupérer des données d'autres utilisateurs ;
• une concerne une injection de type SQL ;
• la dernière permet d'obtenir l'identifiant et le mot de passe d'un utilisateur au moyen d'un ActiveX.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Siemens ssa-864051 du 10 septembre 2012 :

  http://www.siemens.com/corporate-technology/pool/de/forschungsfelder/siemens_security_advisory_ssa-864051.pdf
  

• Référence CVE CVE-2012-3034 :

  https://www.cve.org/CVERecord?id=CVE-2012-3034
  

• Référence CVE CVE-2012-3032 :

  https://www.cve.org/CVERecord?id=CVE-2012-3032
  

• Référence CVE CVE-2012-3031 :

  https://www.cve.org/CVERecord?id=CVE-2012-3031
  

• Référence CVE CVE-2012-3030 :

  https://www.cve.org/CVERecord?id=CVE-2012-3030
  

• Référence CVE CVE-2012-3028 :

  https://www.cve.org/CVERecord?id=CVE-2012-3028
  

Gestion détaillée du document

le 14 septembre 2012

version initiale.