Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Déni de service à distance
- Exécution de code arbitraire à distance
- Injection de code indirecte à distance (XSS)
- Injection de requêtes illégitimes par rebond (CSRF)
Systèmes affectés
IGSS Data Server versions antérieures à V15.0.0.22021
EcoStruxure EV Charging Expert versions antérieures à V4.0.0.13 SP8 (Version 01)
Easergy P40 Series model numbers avec option Ethernet (produit ayant le code Q, R, S)
spaceLYnk versions antérieures à 2.7.0
Wiser for KNX product versions antérieures à 2.7.0
fellerLYnk product versions antérieures à 2.7.0
EcoStruxure Geo SCADA Expert versions antérieures à 2021
ClearSCADA versions antérieures à 2017 R3 August 2021 Monthly Update.
Harmony/Magelis iPC Series sans le correctif fourni avec Vijeo Designer version V6.2 SP11 Multi HotFix 4
Vijeo Designer versions antérieures à V6.2 SP11 Multi HotFix 4
Vijeo Designer Basic versions antérieures à v1.2.1
M241/M251 toutes versions
EcoStruxure Machine Expert toutes versions
Harmony/Magelis modèles HMISTU, HMIGTO, HMIGTU, HMIGTUX, HMIGK, HMISCU
Eurotherm E+PLC100 toutes versions
Eurotherm E+PLC400 toutes versions
Eurotherm E+PLC tools toutes versions
Easy Harmony ET6 (HMIET) sans le correctif fourni avec Vijeo Designer Basic version V1.2.1
Easy Harmony GXU (HMIGXU) sans le correctif fourni avec Vijeo Designer Basic version V1.2.1
Harmony/ Magelis modèles HMIGTU, HMIGTUX, HMIGK sans le correctif fourni avec Vijeo Designer version V6.2 SP11 Multi HotFix 4
Modicon M241/M251 Logic Controllers versions antérieures à V5.1.9.34
Modicon M262 Logic Controllers versions antérieures à V5.1.6.1
Easergy MiCOM P30 versions 660 -674
Easergy MiCOM P40 toutes versions
Résumé
De multiples vulnérabilités ont été découvertes dans les produits Schneider. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Schneider SEVD-2021-313-05 du 09 novembre 2021 https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2021-313-05
- Bulletin de sécurité Schneider SEVD-2022-039-01 du 08 février 2022 https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-01
- Bulletin de sécurité Schneider SEVD-2022-039-02 du 08 février 2022 https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-02
- Bulletin de sécurité Schneider SEVD-2022-039-03 du 08 février 2022 https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-03
- Bulletin de sécurité Schneider SEVD-2022-039-04 du 08 février 2022 https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-04
- Bulletin de sécurité Schneider SEVD-2022-039-05 du 08 février 2022 https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-05
- Bulletin de sécurité Schneider SEVD-2022-039-06 du 08 février 2022 https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2022-039-06
- Référence CVE CVE-2020-28895 https://www.cve.org/CVERecord?id=CVE-2020-28895
- Référence CVE CVE-2020-35198 https://www.cve.org/CVERecord?id=CVE-2020-35198
- Référence CVE CVE-2021-22817 https://www.cve.org/CVERecord?id=CVE-2021-22817
- Référence CVE CVE-2021-29240 https://www.cve.org/CVERecord?id=CVE-2021-29240
- Référence CVE CVE-2022-22807 https://www.cve.org/CVERecord?id=CVE-2022-22807
- Référence CVE CVE-2022-22808 https://www.cve.org/CVERecord?id=CVE-2022-22808
- Référence CVE CVE-2022-22809 https://www.cve.org/CVERecord?id=CVE-2022-22809
- Référence CVE CVE-2022-22810 https://www.cve.org/CVERecord?id=CVE-2022-22810
- Référence CVE CVE-2022-22811 https://www.cve.org/CVERecord?id=CVE-2022-22811
- Référence CVE CVE-2022-22812 https://www.cve.org/CVERecord?id=CVE-2022-22812
- Référence CVE CVE-2022-22813 https://www.cve.org/CVERecord?id=CVE-2022-22813
- Référence CVE CVE-2022-24310 https://www.cve.org/CVERecord?id=CVE-2022-24310
- Référence CVE CVE-2022-24311 https://www.cve.org/CVERecord?id=CVE-2022-24311
- Référence CVE CVE-2022-24312 https://www.cve.org/CVERecord?id=CVE-2022-24312
- Référence CVE CVE-2022-24313 https://www.cve.org/CVERecord?id=CVE-2022-24313
- Référence CVE CVE-2022-24314 https://www.cve.org/CVERecord?id=CVE-2022-24314
- Référence CVE CVE-2022-24315 https://www.cve.org/CVERecord?id=CVE-2022-24315
- Référence CVE CVE-2022-24316 https://www.cve.org/CVERecord?id=CVE-2022-24316
- Référence CVE CVE-2022-24317 https://www.cve.org/CVERecord?id=CVE-2022-24317
- Référence CVE CVE-2022-24318 https://www.cve.org/CVERecord?id=CVE-2022-24318
- Référence CVE CVE-2022-24319 https://www.cve.org/CVERecord?id=CVE-2022-24319
- Référence CVE CVE-2022-24320 https://www.cve.org/CVERecord?id=CVE-2022-24320
- Référence CVE CVE-2022-24321 https://www.cve.org/CVERecord?id=CVE-2022-24321
