S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 14 mai 2024
N° CERTFR-2024-AVI-0393
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits Siemens

Gestion du document

RéférenceCERTFR-2024-AVI-0393
TitreMultiples vulnérabilités dans les produits Siemens
Date de la première version14 mai 2024
Date de la dernière version14 mai 2024
Source(s)Bulletin de sécurité Siemens SSA-273900 du 14 mai 2024
Bulletin de sécurité Siemens SSA-871704 du 14 mai 2024
Bulletin de sécurité Siemens SSA-962515 du 14 mai 2024
Pièce(s) jointe(s)Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Déni de service
  • Exécution de code arbitraire à distance
  • Élévation de privilèges

Systèmes affectés

  • S7-PCT toutes versions
  • Sicam CPC80 Central Processing/Communication versions antérieures à V16.41
  • Sicam CPCI85 Central Processing/Communication versions antérieures à V5.30
  • Sicam OPUPI0 AMQP/MQTT versions antérieures à V5.30
  • Sicam SICORE Base system versions antérieures à V1.3.0
  • SIMATIC Automation Tool toutes versions
  • SIMATIC BATCH V9.1 toutes versions
  • SIMATIC CN 4100 versions antérieures à V3.0
  • SIMATIC NET PC Software toutes versions
  • SIMATIC PCS 7 V9.1 toutes versions
  • SIMATIC PDM V9.2 toutes versions
  • SIMATIC Route Control V9.1 toutes versions
  • SIMATIC STEP 7 V5 toutes versions
  • SIMATIC WinCC OA V3.17 toutes versions. L'éditeur indique que le produit ne bénéficiera pas de correctif de sécurité pour la vulnérabilité CVE-2023-46280.
  • SIMATIC WinCC OA V3.18 versions antérieures à V3.18 P025
  • SIMATIC WinCC OA V3.19 versions antérieures à V3.19 P010
  • SIMATIC WinCC Runtime Advanced toutes versions
  • SIMATIC WinCC Runtime Professional V16 toutes versions
  • SIMATIC WinCC Runtime Professional V17 toutes versions
  • SIMATIC WinCC Runtime Professional V18 toutes versions
  • SIMATIC WinCC Runtime Professional V19 toutes versions
  • SIMATIC WinCC Unified PC Runtime toutes versions
  • SIMATIC WinCC V7.4 toutes versions. L'éditeur indique que le produit ne bénéficiera pas de correctif de sécurité pour la vulnérabilité CVE-2023-46280.
  • SIMATIC WinCC V7.5 toutes versions
  • SIMATIC WinCC V8.0 toutes versions
  • TIA Portal Cloud Connector versions antérieures à V2.0
  • Totally Integrated Automation Portal (TIA Portal) V15.1 toutes versions. L'éditeur indique que le produit ne bénéficiera pas de correctif de sécurité pour la vulnérabilité CVE-2023-46280.
  • Totally Integrated Automation Portal (TIA Portal) V16 toutes versions. L'éditeur indique que le produit ne bénéficiera pas de correctif de sécurité pour la vulnérabilité CVE-2023-46280.
  • Totally Integrated Automation Portal (TIA Portal) V17 toutes versions
  • Totally Integrated Automation Portal (TIA Portal) V18 toutes versions
  • Totally Integrated Automation Portal (TIA Portal) V19 versions antérieures à V19 Update 2

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et une atteinte à la confidentialité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 14 mai 2024
    Version initiale