S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 09 octobre 2018
N° CERTFR-2018-AVI-476
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans SCADA Siemens

Gestion du document

Référence CERTFR-2018-AVI-476
Titre Multiples vulnérabilités dans SCADA Siemens
Date de la première version09 octobre 2018
Date de la dernière version09 octobre 2018
Source(s) Bulletin de sécurité SCADA Siemens ssa-254686 du 9 octobre 2018
Bulletin de sécurité SCADA Siemens ssa-347726 du 9 octobre 2018
Bulletin de sécurité SCADA Siemens ssa-464260 du 9 octobre 2018
Bulletin de sécurité SCADA Siemens ssa-493830 du 9 octobre 2018
Bulletin de sécurité SCADA Siemens ssa-507847 du 9 octobre 2018
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à la confidentialité des données
  • Déni de service
  • Injection de requêtes illégitimes par rebond (CSRF)
  • Élévation de privilèges

Systèmes affectés

  • ROX II versions antérieures à 2.12.1 exclue
  • RUGGEDCOM APE toutes versions
  • RUGGEDCOM RX1400 VPE toutes versions
  • SCALANCE W1750D versions antérieures à 8.3.0.1 exclue
  • SIMATIC ET 200 SP Open Controller (F) toutes versions
  • SIMATIC ET 200 SP Open Controller toutes versions
  • SIMATIC ET 200SP Open Controller versions supérieures à 2.0 inclue
  • SIMATIC Field PG M4 versions de BIOS antérieures à 18.01.09 exclue
  • SIMATIC Field PG M5 versions de BIOS antérieures à 22.01.06 exclue
  • SIMATIC IPC227E toutes versions
  • SIMATIC IPC277E toutes versions
  • SIMATIC IPC3000 SMART V2 toutes versions
  • SIMATIC IPC327E toutes versions
  • SIMATIC IPC347E toutes versions
  • SIMATIC IPC377E toutes versions
  • SIMATIC IPC427C toutes versions
  • SIMATIC IPC427D versions de BIOS antérieures à 17.0x.14 exclue
  • SIMATIC IPC427E versions de BIOS antérieures à 21.01.09 exclue
  • SIMATIC IPC477C toutes versions
  • SIMATIC IPC477D versions de BIOS antérieures à 17.0x.14 exclue
  • SIMATIC IPC477E Pro versions de BIOS antérieures à 21.01.09 exclue
  • SIMATIC IPC477E versions de BIOS antérieures à 21.01.09 exclue
  • SIMATIC IPC547E toutes versions
  • SIMATIC IPC547G toutes versions
  • SIMATIC IPC627C toutes versions
  • SIMATIC IPC627D toutes versions
  • SIMATIC IPC647C toutes versions
  • SIMATIC IPC647D toutes versions
  • SIMATIC IPC677C toutes versions
  • SIMATIC IPC677D toutes versions
  • SIMATIC IPC827C toutes versions
  • SIMATIC IPC827D toutes versions
  • SIMATIC IPC847C toutes versions
  • SIMATIC IPC847D toutes versions
  • SIMATIC ITP1000 toutes versions
  • SIMATIC S7-1200 CPU versions antérieures à 4.2.3 exclue
  • SIMATIC S7-1500 (incl. F) versions comprises entre 2.0 inclus et 2.5 exclue
  • SIMATIC S7-1500 CPU S7-1518-4 PN/DP MFP (MLFB: 6ES7518-4AX00-1AC0) toutes versions
  • SIMATIC S7-1500 CPU S7-1518F-4 PN/DP MFP (MLFB: 6ES7518-4FX00-1AC0) toutes versions
  • SIMATIC S7-1500 Software Controller toutes versions
  • SIMATIC S7-1500 Software Controller versions comprises entre à 2.0 inclue et 2.5 exclue
  • SIMOTION P320-4E toutes versions
  • SIMOTION P320-4S toutes versions
  • SINUMERIK 840 D sl (NCU720.3B, NCU730.3B, NCU720.3, NCU730.3) toutes versions
  • SINUMERIK Panels wtih integrated TCU toutes versions
  • SINUMERIK PCU 50.5 toutes versions
  • SINUMERIK TCU 30.3 toutes versions

Résumé

De multiples vulnérabilités ont été découvertes dans SCADA les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer un déni de service, une atteinte à la confidentialité des données et une élévation de privilèges.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 09 octobre 2018
    Version initiale