S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 15 septembre 2021
N° CERTFR-2021-AVI-706
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits Siemens

Gestion du document

Référence CERTFR-2021-AVI-706
Titre Multiples vulnérabilités dans les produits Siemens
Date de la première version15 septembre 2021
Date de la dernière version15 septembre 2021
Source(s) Bulletin de sécurité Siemens ssa-109294 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-150692 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-208530 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-288459 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-316383 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-330339 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-334944 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-413407 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-453715 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-500748 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-535380 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-535997 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-549234 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-676336 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-692317 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-756638 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-835377 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-847986 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-944498 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-987403 du 14 septembre 2021
Bulletin de sécurité Siemens ssa-997732 du 14 septembre 2021
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Déni de service à distance
  • Exécution de code arbitraire à distance
  • Élévation de privilèges

Systèmes affectés

  • APOGEE MBC (PPC) (P2 Ethernet) toutes versions >= V2.6.3
  • APOGEE MEC (PPC) (P2 Ethernet) toutes versions >= V2.6.3
  • APOGEE PXC Compact (BACnet) versions antérieures à V3.5.3
  • APOGEE PXC Compact (P2 Ethernet) toutes versions >= V2.8
  • APOGEE PXC Modular (BACnet) versions antérieures à V3.5.3
  • APOGEE PXC Modular (P2 Ethernet) toutes versions >= V2.8
  • Cerberus DMS V4.0 toutes versions
  • Cerberus DMS V4.1 toutes versions
  • Cerberus DMS V4.2 toutes versions
  • Cerberus DMS V5.0 versions antérieures à v5.0 QU1
  • Desigo CC Compact V4.0 toutes versions
  • Desigo CC Compact V4.1 toutes versions
  • Desigo CC Compact V4.2 toutes versions
  • Desigo CC Compact V5.0 versions antérieures à V5.0 QU1
  • Desigo CC toutes versions with OIS Extension Module
  • Desigo CC V4.0 toutes versions
  • Desigo CC V4.1 toutes versions
  • Desigo CC V4.2 toutes versions
  • Desigo CC V5.0 versions antérieures à V5.0 QU1
  • GMA-Manager toutes versions with OIS running on Debian 9 or earlier
  • Industrial Edge Management versions antérieures à V1.3
  • LOGO! CMR2020 versions antérieures à V2.2
  • LOGO! CMR2040 versions antérieures à V2.2
  • NX 1980 Series versions antérieures à V1984
  • Operation Scheduler toutes versions with OIS running on Debian 9 or earlier
  • RUGGEDCOM ROX MX5000 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX1400 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX1500 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX1501 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX1510 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX1511 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX1512 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX1524 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX1536 versions antérieures à V2.14.1
  • RUGGEDCOM ROX RX5000 versions antérieures à V2.14.1
  • SCALANCE X200-4P IRT toutes versions
  • SCALANCE X201-3P IRT PRO toutes versions
  • SCALANCE X201-3P IRT toutes versions
  • SCALANCE X202-2 IRT toutes versions
  • SCALANCE X202-2P IRT (incl. SIPLUS NET variant) toutes versions
  • SCALANCE X202-2P IRT PRO toutes versions
  • SCALANCE X204 IRT PRO toutes versions
  • SCALANCE X204 IRT toutes versions
  • SCALANCE X204-2 (incl. SIPLUS NET variant) versions antérieures à V5.2.5
  • SCALANCE X204-2FM versions antérieures à V5.2.5
  • SCALANCE X204-2LD (incl. SIPLUS NET variant) versions antérieures à V5.2.5
  • SCALANCE X204-2LD TS versions antérieures à V5.2.5
  • SCALANCE X204-2TS versions antérieures à V5.2.5
  • SCALANCE X206-1 versions antérieures à V5.2.5
  • SCALANCE X206-1LD versions antérieures à V5.2.5
  • SCALANCE X208 (incl. SIPLUS NET variant) versions antérieures à V5.2.5
  • SCALANCE X208PRO versions antérieures à V5.2.5
  • SCALANCE X212-2 (incl. SIPLUS NET variant) versions antérieures à V5.2.5
  • SCALANCE X212-2LD versions antérieures à V5.2.5
  • SCALANCE X216 versions antérieures à V5.2.5
  • SCALANCE X224 versions antérieures à V5.2.5
  • SCALANCE X302-7 EEC toutes versions
  • SCALANCE X304-2FE toutes versions
  • SCALANCE X306-1LD FE toutes versions
  • SCALANCE X307-2 EEC toutes versions
  • SCALANCE X307-3 toutes versions
  • SCALANCE X307-3LD toutes versions
  • SCALANCE X308-2 (incl. SIPLUS NET variant) toutes versions
  • SCALANCE X308-2LD toutes versions
  • SCALANCE X308-2LH toutes versions
  • SCALANCE X308-2LH+ toutes versions
  • SCALANCE X308-2M PoE toutes versions
  • SCALANCE X308-2M toutes versions
  • SCALANCE X308-2M TS toutes versions
  • SCALANCE X310 toutes versions
  • SCALANCE X310FE toutes versions
  • SCALANCE X320-1 FE toutes versions
  • SCALANCE X320-1-2LD FE toutes versions
  • SCALANCE X408-2 toutes versions
  • SCALANCE XF201-3P IRT toutes versions
  • SCALANCE XF202-2P IRT toutes versions
  • SCALANCE XF204 IRT toutes versions
  • SCALANCE XF204 versions antérieures à V5.2.5
  • SCALANCE XF204-2 (incl. SIPLUS NET variant) versions antérieures à V5.2.5
  • SCALANCE XF204-2BA IRT toutes versions
  • SCALANCE XF206-1 versions antérieures à V5.2.5
  • SCALANCE XF208 versions antérieures à V5.2.5
  • SCALANCE XR324-12M toutes versions
  • SCALANCE XR324-12M TS toutes versions
  • SCALANCE XR324-4M EEC toutes versions
  • SCALANCE XR324-4M PoE toutes versions
  • SCALANCE XR324-4M PoE TS toutes versions
  • SIMATIC CP 1543-1 (incl. SIPLUS variants) versions antérieures à V3.0
  • SIMATIC CP 1545-1 toutes versions
  • SIMATIC CP 343-1 (incl. SIPLUS variants) toutes versions
  • SIMATIC CP 343-1 Advanced (incl. SIPLUS variants) toutes versions
  • SIMATIC CP 343-1 ERPC toutes versions
  • SIMATIC CP 343-1 Lean (incl. SIPLUS variants) toutes versions
  • SIMATIC CP 443-1 (incl. SIPLUS variants) toutes versions
  • SIMATIC CP 443-1 Advanced (incl. SIPLUS variants) toutes versions
  • SIMATIC RF350M toutes versions
  • SIMATIC RF650M toutes versions
  • SIMATIC RTU 3000 family toutes versions
  • Simcenter Femap V2020.2 toutes versions
  • Simcenter Femap V2021.1 toutes versions
  • Simcenter STAR-CCM+ Viewer versions antérieures à V2021.2.1
  • SINEC NMS versions antérieures à V1.0 SP1
  • SINEMA Remote Connect Server versions antérieures à V3.0 SP2
  • SINEMA Server versions antérieures à V14 SP3
  • SIPROTEC 5 relays with CPU variants CP050 versions antérieures à V8.80
  • SIPROTEC 5 relays with CPU variants CP100 versions antérieures à V8.80
  • SIPROTEC 5 relays with CPU variants CP200 toutes versions
  • SIPROTEC 5 relays with CPU variants CP300 versions antérieures à V8.80
  • Siveillance Control Pro toutes versions
  • Siveillance Control toutes versions with OIS running on Debian 9 or earlier
  • TALON TC Compact (BACnet) versions antérieures à V3.5.3
  • TALON TC Modular (BACnet) versions antérieures à V3.5.3
  • Teamcenter Active Workspace V4.3 versions antérieures à V4.3.10
  • Teamcenter Active Workspace V5.0 versions antérieures à V5.0.8
  • Teamcenter Active Workspace V5.1 versions antérieures à V5.1.5
  • Teamcenter Active Workspace V5.2 versions antérieures à V5.2.1
  • Teamcenter V12.4 versions antérieures à V12.4.0.8
  • Teamcenter V13.0 versions antérieures à V13.0.0.7
  • Teamcenter V13.1 versions antérieures à V13.1.0.5
  • Teamcenter V13.2 versions antérieures à 13.2.0.2

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 15 septembre 2021
    Version initiale