Risque(s)

• Exécution de code arbitraire à distance
• Déni de service à distance
• Contournement de la politique de sécurité
• Atteinte à la confidentialité des données
• Élévation de privilèges

Systèmes affectés

• APC Easy UPS On-Line versions antérieures à V2.1
• Schneider Electric

Modbus Serial Driver (64 bits) versions antérieures à V3.20 IE 30

Schneider Electric Modbus Serial Driver (32 bits) versions antérieures à V2.20 IE 30

Schneider Electric Modbus Driver Suite versions antérieures à V14.15.0.0

spaceLYnk versions antérieures à V2.5.1

Wiser pour KNX (anciennement homeLYnk) versions antérieures à V2.5.1

PowerChute Business Edition versions antérieures à V9.1

SoMove versions antérieures à V2.8.2

Harmony eXLhoist versions antérieures à V04.00.03.00

Modicon M218 Logic Controller versions antérieures à V5.0.0.8

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Schneider Electric. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Schneider Electric SEVD-2020-224-04 du 11 août 2020
  https://www.se.com/ww/en/download/document/SEVD-2020-224-04/
• Bulletin de sécurité Schneider Electric SEVD-2020-224-01 du 11 août 2020
  https://www.se.com/ww/en/download/document/SEVD-2020-224-01/
• Bulletin de sécurité Schneider Electric SEVD-2020-224-02 du 11 août 2020
  https://www.se.com/ww/en/download/document/SEVD-2020-224-02/
• Bulletin de sécurité Schneider Electric SEVD-2020-224-05 du 11 août 2020
  https://www.se.com/ww/en/download/document/SEVD-2020-224-05/
• Bulletin de sécurité Schneider Electric SEVD-2020-224-07 du 11 août 2020
  https://www.se.com/ww/en/download/document/SEVD-2020-224-07/
• Bulletin de sécurité Schneider Electric SEVD-2020-224-06 du 11 août 2020
  https://www.se.com/ww/en/download/document/SEVD-2020-224-06/
• Bulletin de sécurité Schneider Electric SEVD-2020-224-03 du 11 août 2020
  https://www.se.com/ww/en/download/document/SEVD-2020-224-03/
• Référence CVE CVE-2020-7527
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7527
• Référence CVE CVE-2019-19193
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-19193
• Référence CVE CVE-2020-7526
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7526
• Référence CVE CVE-2020-7521
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7521
• Référence CVE CVE-2020-7522
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7522
• Référence CVE CVE-2020-7524
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7524
• Référence CVE CVE-2020-7525
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7525
• Référence CVE CVE-2020-7523
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-7523