Risque(s)

• Déni de service à distance
• Contournement de la politique de sécurité
• Atteinte à l'intégrité des données

Systèmes affectés

• Modicon M580
• Modicon M340
• Modicon Quantum
• Modicon Premium
• EcoStruxure Control Expert version V14.0 et toutes les versions d'Unity Pro (anciennement EcoStruxure

Control Expert)

Power SCADA Operation 9.0

Power SCADA Expert 8.2

Power SCADA Expert 8.1

Power SCADA Expert 8.0

Power SCADA Expert 7.4

Power SCADA Expert 7.3

ClearSCADA 2017 R3

ClearSCADA 2017 R2

ClearSCADA 2017

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Schneider Electric. Elles permettent à un attaquant de provoquer un déni de service à distance, un contournement de la politique de sécurité et une atteinte à l'intégrité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Schneider Electric SEVD-2019-344-01 du 11 décembre 2019
  https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2019-344-01_Modicon_Controllers.pdf&p_Doc_Ref=SEVD-2019-344-01
• Bulletin de sécurité Schneider Electric SEVD-2019-344-02 du 11 décembre 2019
  https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2019-344-02_EcoStruxure_Control_Expert.pdf&p_Doc_Ref=SEVD-2019-344-02
• Bulletin de sécurité Schneider Electric SEVD-2019-344-04 du 11 décembre 2019
  https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2019-344-04_Power_SCADA_Operation.pdf&p_Doc_Ref=SEVD-2019-344-04
• Bulletin de sécurité Schneider Electric SEVD-2019-344-05 du 11 décembre 2019
  https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SEVD-2019-344-05_EcoStruxure_Geo_SCADA_Expert.pdf&p_Doc_Ref=SEVD-2019-344-05
• Référence CVE CVE-2019-6857
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6857
• Référence CVE CVE-2019-6856
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6856
• Référence CVE CVE-2018-7794
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-7794
• Référence CVE CVE-2019-6855
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6855
• Référence CVE CVE-2019-13537
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-13537
• Référence CVE CVE-2019-6854
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-6854