Objet: Vulnérabilité dans le système SCADA Schneider Electric Critical Power and Cooling Services

• Référence: CERTA-2012-AVI-574
• Titre: Vulnérabilité dans le système SCADA Schneider Electric Critical Power and Cooling Services
• Date de la première version: 16 octobre 2012
• Date de la dernière version: 16 octobre 2012
• Source(s): Bulletin de sécurité Schneider Electric du 17 septembre 2012
• Pièce(s) jointe(s): Aucune(s)

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

• Network Management Card (NMC) Device IP Wizard (Java Version 7)
• Netbotz Advanced View (Java Version 6)
• PowerChute Network Shutdown (Java Version 6)
• PowerChute Business Edition (Java Version 6)
• StruxureWare Data Center Expert (Java Version 6)
• StruxureWare Operations (Java Version 6)

Résumé

Une vulnérabilité critique a été corrigée dans Schneider Electric Critical Power and Cooling Services (CPCS). Elle permet à un attaquant d'exécuter du code arbitraire à distance en utilisant un "applet" Java spécialement conçu. La vulnérabilité concerne la Java Runtime Environment (JRE) et permet de contourner les restrictions du "SecurityManager".

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Schneider Electric du 17 septembre 2012 :

  http://www2.schneider-electric.com/resources/sites/SCHNEIDER_ELECTRIC/content/live/FAQS/162000/FA162073/en_US/Java%20Vulnerability%20(CVE-2012-4681)%20Advisory.pdf
  

• Référence CVE CVE-2012-4681 :

  https://www.cve.org/CVERecord?id=CVE-2012-4681
  

Gestion détaillée du document

le 16 octobre 2012

version initiale.