S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 08 août 2023
N° CERTFR-2023-AVI-0633
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits Siemens

Gestion du document

Référence CERTFR-2023-AVI-0633
Titre Multiples vulnérabilités dans les produits Siemens
Date de la première version08 août 2023
Date de la dernière version08 août 2023
Source(s) Bulletin de sécurité Siemens ssa-001569 du 8 août 2023
Bulletin de sécurité Siemens ssa-116172 du 8 août 2023
Bulletin de sécurité Siemens ssa-131450 du 8 août 2023
Bulletin de sécurité Siemens ssa-180579 du 8 août 2023
Bulletin de sécurité Siemens ssa-188491 du 8 août 2023
Bulletin de sécurité Siemens ssa-264814 du 8 août 2023
Bulletin de sécurité Siemens ssa-264815 du 8 août 2023
Bulletin de sécurité Siemens ssa-407785 du 8 août 2023
Bulletin de sécurité Siemens ssa-472630 du 8 août 2023
Bulletin de sécurité Siemens ssa-770902 du 8 août 2023
Bulletin de sécurité Siemens ssa-811403 du 8 août 2023
Bulletin de sécurité Siemens ssa-908185 du 8 août 2023
Bulletin de sécurité Siemens ssa-975961 du 8 août 2023
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Déni de service à distance
  • Exécution de code arbitraire à distance
  • Élévation de privilèges

Systèmes affectés

  • SICAM TOOLBOX II versions antérieures à 07.10
  • Périphériques RUGGEDCOM ROS versions antérieures à 4.3.8
  • Solid Edge SE2023 versions antérieures à 223.0 Update 7
  • RUGGEDCOM CROSSBOW versions antérieures à 5.4
  • Parasolid versions 34.1.x antérieures à 34.1.258
  • Parasolid versions 35.0.x antérieures à 35.0.254
  • Parasolid versions 35.1.x antérieures à 35.1.197
  • Teamcenter Visualization versions 14.1.x, se référer à l'avis éditeur pour plus d'information sur les mesures de contournement
  • Teamcenter Visualization versions 14.2.x antérieures à 14.2.0.6
  • Teamcenter Visualization versions 14.3.x, se référer à l'avis éditeur pour plus d'information sur les mesures de contournement
  • SIMATIC contrôleur de disque CPU 1504D versions antérieures à 3.0.3
  • SIMATIC contrôleur de disque CPU 1507D versions antérieures à 3.0.3
  • SIMATIC ET toutes versions
  • SIMATIC IPC toutes versions
  • SIMATIC S7 versions antérieures à 3.0.3
  • SIPLUS ET versions antérieures à 3.3.19
  • SIPLUS S7 versions antérieures à 3.0.3
  • Siemens Software Center versions antérieures à 3.0
  • APOGEE PXC Compact versions antérieures à 3.5.5
  • APOGEE PXC Compact (P2 Ethernet) versions antérieures à 2.8.20
  • APOGEE PXC Modular (BACnet) versions antérieures à 3.5.5
  • APOGEE PXC Modular (P2 Ethernet) versions antérieures à 2.8.20
  • TALON TC Compact versions antérieures à 3.5.5
  • TALON TC Modular (BACnet) versions antérieures à 3.5.5
  • JT2Go versions antérieures à 14.2.0.5
  • Solid Edge SE2022 versions antérieures à 222.0 Update 13
  • Solid Edge SE2023 versions antérieures à 223.0 Update 4
  • Teamcenter Visualization versions 13.2.x antérieures à 13.2.0.15
  • Teamcenter Visualization versions 13.3.x antérieures à 13.3.0.11
  • Teamcenter Visualization versions 14.1.x antérieures à 14.1.0.11
  • Teamcenter Visualization versions 14.2.x antérieures à 14.2.0.5
  • Parasolid versions 35.0.x sans la procédure de réinstallation
  • Parasolid versions 35.1.x sans la procédure de réinstallation
  • JT Open versions antérieures à 11.4
  • JT Utilities versions antérieures à 13.4
  • Parasolid versions 34.0.x antérieures à 34.0.253
  • Parasolid versions 34.1.x antérieures à 34.1.243
  • Parasolid versions 35.0.x antérieures à 35.0.177
  • Parasolid versions 35.1.x antérieures à 35.1.073

L'éditeur ne propose pas de correctif pour certains produits RUGGEDCOM ROS, SIMATIC ou SIPLUS, se référer aux avis pour obtenir plus d'informations sur les mesures de contournement.

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 08 août 2023
    Version initiale