Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Déni de service à distance
  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)

Systèmes affectés

  • PowerLogic ION Setup versions antérieures à 3.2.22096.01
  • Saitel DP RTU microgiciel versions Baseline_09.00.00 à Baseline_11.06.23 antérieures à BaseLine_11.06.24
  • APC Smart-UPS SRC Series ID=1004: UPS versions 14.9 et antérieures
  • APC Smart-UPS SRC Series ID=1006: UPS versions 14.9 et antérieures
  • APC Smart-UPS SRC Series ID=1011: UPS versions 14.9 et antérieures
  • APC Smart-UPS SRC Series ID=1033: UPS versions 00.3 et antérieures
  • APC Smart-UPS XU Series SRC Series ID=1017: UPS versions 02.6 et antérieures
  • SmartConnect séries SMTL, SCL, et SMX version du microgiciel antérieure à 15.0
  • HMISCU Vijeo Designer versions antérieures à 6.2 SP12
  • Easergy MiCOM P30 range modèles C434, P132, P139, P433, P435, P437, P532, P631, P632, P633, P634 et Px36/8 versions 660 à 674
  • APC Rack Power Distribution Units (PDU) utilisant NMC2 AOS versions antérieures à 7.0.6
  • APC Rack Power Distribution Units (PDU) utilisant NMC3 AOS versions antérieures à 1.2.0.2
  • APC 3-Phase Power Distribution Products utilisant NMC2 AOS versions antérieures à 7.0.4
  • Network Management Card 2 (NMC2) for InfraStruxure 150 kVA PDU with 84 Poles (X84P) versions antérieures à 7.0.4
  • Network Management Card 2 for InfraStruxure 40/60kVA PDU (XPDU) versions antérieures à 7.0.4
  • Network Management Card 2 for Modular 150/175kVA PDU (XRDP) versions antérieures à 7.0.4
  • Network Management Card 2 for 400 and 500 kVA (PMM) versions antérieures à 7.0.4
  • Network Management Card 2 for Modular PDU (XRDP2G) versions antérieures à 7.0.4
  • Rack Automatic Transfer Switches (ATS) utilisant NMC2 AOS versions antérieures à 7.0.4
  • Network Management Card 2 (NMC2) Cooling Products utilisant NMC2 AOS versions antérieures à 7.0.4
  • Environmental Monitoring Unit with embedded NMC2 (NB250) utilisant NMC2 AOS versions antérieures à 7.0.4
  • Network Management Card 2 (NMC2) versions antérieures à 7.0.4
  • EcoStruxure Micro Data Center utilisant NMC2 AOS versions antérieures à 7.0.4

Les produits suivants ne sont plus supportés par l'éditeur :

  • Wiser Smart EER21000 et EER21001 versions antérieures à 4.5

Les produits suivants ne bénéficient pas encore de correctif pour les vulnérabilités CVE-2022-22805, CVE-2022-22806 et CVE-2022-0715 :

  • Smart-UPS séries SMT, SMC, SCL, SMX, SRT, SRC, XU, et SRTL

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Schneider Electric. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation