Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Déni de service à distance
  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)

Systèmes affectés

  • SICAM P850 versions antérieures à 3.00
  • Simcenter Femap versions antérieures à 2022.2
  • SIMATIC NET PC Software versions 14.x antérieures à 14 SP1 Update 14
  • SIMATIC NET PC Software versions 17.x antérieures à 17 SP1
  • SIMATIC Process Historian OPC UA Server versions antérieures à 2020 SP1
  • SIMATIC WinCC versions 7.5.x antérieures à V7.5 SP2 Update 8
  • SIMATIC CP 442-1 RNA versions antérieures à 1.5.18
  • SIMATIC CP 443-1 RNA versions antérieures à 1.5.18
  • JT2Go versions antérieures à 13.3.0.3
  • Teamcenter Visualization versions 13.3.x antérieures à 13.3.0.3
  • Teamcenter Visualization versions 14.0.x antérieures à 14.0.0.1
  • Desigo DXR2 versions antérieures à 01.21.142.5-22
  • Desigo PXC3 versions antérieures à 01.21.142.4-18
  • Desigo PXC4 versions antérieures à 02.20.142.10-10884
  • Desigo PXC5 versions antérieures à 02.20.142.10-10884
  • RUGGEDCOM RM1224 LTE(4G) EU et RM1224 LTE(4G) NAM versions antérieures à 7.1
  • SCALANCE M804PB, M812-1 ADSL-Router (Annex A) (6GK5812-1AA00-2AA2), M812-1 ADSL-Router (Annex B) (6GK5812-1BA00-2AA2), M816-1 ADSL-Router (Annex A) (6GK5816-1AA00-2AA2), M816-1 ADSL-Router (Annex B) (6GK5816-1BA00-2AA2), M826-2 SHDSL-Router (6GK5826-2AB00-2AB2), M874-2 (6GK5874-2AA00-2AA2), M874-3 (6GK5874-3AA00-2AA2), M876-3 (EVDO) (6GK5876-3AA02-2BA2), M876-3 (ROK) (6GK5876-3AA02-2EA2), M876-4 (EU) (6GK5876-4AA00-2BA2), M876-4 (NAM) (6GK5876-4AA00-2DA2), MUM856-1 (EU) (6GK5856-2EA00-3DA1), MUM856-1 (RoW) (6GK5856-2EA00-3AA1) et S615 (6GK5615-0AA00-2AA2) versions antérieures à 7.1
  • SIMATIC CP 1543-1 (6GK7543-1AX00-0XE0) versions antérieures à 3.0.22
  • SIMATIC RTU3010C (6NH3112-0BA00-0XX0), RTU3030C (6NH3112-3BA00-0XX0), RTU3031C (6NH3112-3BB00-0XX0) et RTU3041C (6NH3112-4BB00-0XX0) versions antérieures à 5.0.14
  • SIPLUS NET CP 1543-1 versions antérieures à 3.0.22
  • OpenV2G versions antérieures à 0.9.5
  • Teamcenter versions 12.4.x antérieures à 12.4.0.13
  • Teamcenter versions 13.0.x antérieures à 13.0.0.9
  • Teamcenter versions 13.2.x antérieures à 13.2.0.8
  • Teamcenter versions 13.3.x antérieures à 13.3.0.3
  • SIMATIC Reader RF610R CMIIT (6GT2811-6BC10-2AA0), RF610R ETSI (6GT2811-6BC10-0AA0), RF610R FCC (6GT2811-6BC10-1AA0), RF615R CMIIT (6GT2811-6CC10-2AA0), RF615R ETSI (6GT2811-6CC10-0AA0), RF615R FCC (6GT2811-6CC10-1AA0), RF650R ARIB (6GT2811-6AB20-4AA0), RF650R CMIIT (6GT2811-6AB20-2AA0), RF650R ETSI (6GT2811-6AB20-0AA0), RF650R FCC (6GT2811-6AB20-1AA0), RF680R ARIB (6GT2811-6AA10-4AA0), RF680R CMIIT (6GT2811-6AA10-2AA0), RF680R ETSI (6GT2811-6AA10-0AA0), RF680R FCC (6GT2811-6AA10-1AA0), RF685R ARIB (6GT2811-6CA10-4AA0), RF685R CMIIT (6GT2811-6CA10-2AA0), RF685R ETSI (6GT2811-6CA10-0AA0) et RF685R FCC (6GT2811-6CA10-1AA0) versions 3.0.x antérieures à 4.0
  • SIMATIC RF166C (6GT2002-0EE20), RF185C (6GT2002-0JE10), RF186C (6GT2002-0JE20), RF186CI (6GT2002-0JE50), RF188C (6GT2002-0JE40) et RF188CI (6GT2002-0JE60) versions 1.1.x antérieures à 1.3.2
  • SIMATIC RF360R (6GT2801-5BA30) versions antérieures à 2.0

En fonction de la vulnérabilité, l'éditeur ne prévoit pas de correctif de sécurité pour les produits suivants :

  • SITOP Manager toutes versions
  • TeleControl Server Basic versions 3.x
  • SIMATIC NET PC Software versions 15.x
  • SIMATIC NET PC Software versions 16.x
  • SIMATIC WinCC versions 16.x
  • SIMATIC WinCC versions 17.x
  • SIMATIC WinCC Runtime Professional toutes versions
  • SIMATIC WinCC Unified Scada Runtime toutes versions
  • SIMATIC PCS 7 versions 9.0.x et antérieures
  • SIMATIC PCS 7 versions 9.1.x
  • LOGO! CMR family toutes versions
  • SIMATIC CP 1545-1 (6GK7545-1GX00-0XE0) toutes versions
  • Teamcenter versions 13.1.x
  • Teamcenter versions 14.0.x

Se référer aux mesures de contournement listées dans les avis de l'éditeur.

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation