Risque(s)

• Exécution de code arbitraire à distance
• Déni de service
• Contournement de la politique de sécurité
• Atteinte à l'intégrité des données
• Atteinte à la confidentialité des données

Systèmes affectés

• SIMATIC Automation Tool
• SIMATIC NET PC versions antérieures à V16 Upd3
• SIMATIC

PCS 7

SIMATIC PCS neo

SIMATIC ProSave

SIMATIC S7-1500

SIMATIC STEP 7 versions antérieures à V5.6 SP2 HF3

SIMATIC STEP 7 (TIA Portal) V13, V14, V15 et V16

SIMATIC WinCC OA V3.16 versions antérieures à V3.16-P018

SIMATIC WinCC OA V3.17 versions antérieures à V3.17-P003

SIMATIC WinCC Runtime Advanced

SIMATIC WinCC Runtime Professional V13, V14, V15 et V16

SIMATIC WinCC V7.4 versions antérieures à V7.4 SP1 Update 14

SIMATIC WinCC V7.5 versions antérieures à V7.5 SP1 Update 3

SINAMICS STARTER commissioning tool

SINAMICS Startdrive

SINEC NMS sans le dernier correctif de sécurité

SINEMA Server sans le dernier correctif de sécurité

SINUMERIK ONE virtual

SINUMERIK Operate

SIMATIC PCS 7

SIMATIC PDM

SINAMICS STARTER versions antérieures à V5.4 HF1

LOGO!8 BM

SINUMERIK Access MyMachine /P2P versions antérieures à V4.8

SINUMERIK PCU base Win10 software /IPC versions antérieures à V14.00

SINUMERIK PCU base Win7 software /IPC versions antérieures à V12.01 HF4

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Siemens ssa-312271 du 09 juin 2020
  https://cert-portal.siemens.com/productcert/pdf/ssa-312271.pdf
• Bulletin de sécurité Siemens ssa-689942 du 09 juin 2020
  https://cert-portal.siemens.com/productcert/pdf/ssa-689942.pdf
• Bulletin de sécurité Siemens ssa-817401 du 09 juin 2020
  https://cert-portal.siemens.com/productcert/pdf/ssa-817401.pdf
• Bulletin de sécurité Siemens ssa-927095 du 09 juin 2020
  https://cert-portal.siemens.com/productcert/pdf/ssa-927095.pdf
• Référence CVE CVE-2020-7580
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7580
• Référence CVE CVE-2020-7585
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7585
• Référence CVE CVE-2020-7586
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7586
• Référence CVE CVE-2020-7589
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7589
• Référence CVE CVE-2018-15361
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-15361
• Référence CVE CVE-2019-8258
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8258
• Référence CVE CVE-2019-8259
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8259
• Référence CVE CVE-2019-8260
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8260
• Référence CVE CVE-2019-8261
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8261
• Référence CVE CVE-2019-8262
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8262
• Référence CVE CVE-2019-8263
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8263
• Référence CVE CVE-2019-8264
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8264
• Référence CVE CVE-2019-8265
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8265
• Référence CVE CVE-2019-8266
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8266
• Référence CVE CVE-2019-8267
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8267
• Référence CVE CVE-2019-8268
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8268
• Référence CVE CVE-2019-8269
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8269
• Référence CVE CVE-2019-8270
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8270
• Référence CVE CVE-2019-8271
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8271
• Référence CVE CVE-2019-8272
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8272
• Référence CVE CVE-2019-8273
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8273
• Référence CVE CVE-2019-8274
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8274
• Référence CVE CVE-2019-8275
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8275
• Référence CVE CVE-2019-8276
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8276
• Référence CVE CVE-2019-8277
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8277
• Référence CVE CVE-2019-8280
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8280