Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2020/02/11

Garrantzia: Kritikoa

Kaltetutako baliabideak:

• OpenPCS 7, SIMATIC BATCH, SIMATIC PCS 7 eta SIMATIC Route Control:
  • V8.1, bertsio guztiak;
  • V8.2, bertsio guztiak;
  • V9.0, bertsio guztiak.
• SIMATIC NET PC Software;
• SIMATIC WinCC (TIA Portal):
  • V13, V13 SP2 bertsioak baino lehenagokoak;
  • V14.0.1, bertsio guztiak;
  • V15.1, bertsio guztiak;
  • V16, bertsio guztiak.
• SIMATIC WinCC:
  • V7.3, bertsio guztiak;
  • V7.4, bertsio guztiak;
  • V7.5, V7.5.1 Udp1 baino lehenagoko bertsioak.
• SIMATIC S7-1200 vamilia, SIPLUS aldaera barne, V4.1 bertsioa baino lehenagokoak;
• SIMATIC S7-300 PN/DP CPU familia, SIPLUS aldaera barne, eta ET200 CPUekin erlazionatutakoak, bertsio guztiak;
• SIMATIC S7-400 PN/DP V6 familia, SIPLUS aldaera barne, bertsio guztiak;
• SIMATIC S7-400 PN/DP V7 CPU familia eta lehenagokoak, SIPLUS aldaera barne, bertsio guztiak;
• SCALANCE:
  • S602, bertsio guztiak;
  • S612, bertsio guztiak;
  • S623, bertsio guztiak;
  • S627-2M, bertsio guztiak.
• SIMATIC ET 200SP Open Controller CPU 1515SP PC2, SIPLUS aldaera barne, bertsio guztiak;
• SIMATIC S7-1500 CPU familia, SIPLUS aldaera barne, eta ET200 CPUekin erlazionatutakoak, V2.5 baino lehenagoko bertsio guztiak, hori barne, eta V2.5 eta V2.8 bitarteko bertsioak;
• SIMATIC S7-1500 Software Controller. V2.5 baino lehenagoko bertsio guztiak, bera barne, eta V2.5 eta V20.8 bitarteko bertsioak;
• SIMATIC CP-1623, V14.00.15.00_51.25.00.01 bertsioa baino lehenagoko guztiak;
• SIMATIC CP 1626, bertsio guztiak;
• SIMATIC CP 1628, bertsio guztiak;
• TIM 1531 IRC (SIPLUS NET aldaera guztiak barne), V2.0 baino lehenagoko bertsio guztiak;
• PROFINET IOrako garapen/ebaluazio kit-ak: 
• • DK Standard Ethernet Controller, bertsio guztiak;
  • EK-ERTEC 200, V4.5 baino lehenagoko bertsioak;
  • EK-ERTEC 200P, V4.6 baino lehenagoko bertsioak.
• PROFINET Driver for Controller, V2.1 bertsioa baino lehenagokoak;
• IE/PB LINK PN IO (SIPLUS NET aldaera guztiak barne);
• RUGGEDCOM RM1224, V4.3 bertsioa baino lehenagokoak;
• SIPORT MP, 3.1.4 baino lehenagoko bertsio guztiak;
• OZW672, v10.00 bertsioaren aurreko guztiak;
• OZW772, v10.00 bertsioaren aurreko guztiak;
• SCALANCE:
  • M-800 / S615, V4.3 baino lehenagoko bertsioak;
  • W700 IEEE 802.11n, V6.0.1 baino lehenagoko bertsioak, bera barne;
  • X-200 switchen familia, SIPLUS NETen aldaera barne, bertsio guztiak;
  • X-200IRT switchen familia, SIPLUS NETen aldaera barne, bertsio guztiak;
  • X-300 switchen familia, SIPLUS NETen aldaera eta X408 barne, bertsio guztiak;
  • XB-200, XC-200, XP-200, XF-200BA eta XR-300WG, V3.0 baino lehenagoko bertsioak;
  • XM-400 switchen familia, V6.0 baino lehenagoko bertsioak;
  • XR-500 switchen familia, V6.0 baino lehenagoko bertsioak.
• SIMATIC:
  • CP 1616 eta CP 1604, V2.8 baino lehenagoko bertsioak;
  • CP 343-1, SIPLUS NETen aldaera barne, bertsio guztiak;
  • CP 343-1 Advanced, SIPLUS NETen aldaera barne, bertsio guztiak;
  • CP 343-1ERPC, bertsio guztiak;
  • CP 343-1LEAN, bertsio guztiak;
  • CP 443-1, SIPLUS NETen aldaera barne, bertsio guztiak;
  • CP 443-1 Advanced, SIPLUS NETen aldaera barne, bertsio guztiak;
  • CP 443-1 OPC UA, bertsio guztiak;
  • ET200AL;
  • ET200ecoPN (salbu eta 6ES7148-6JD00- 0AB0 eta 6ES7146-6FF00-0AB0), bertsio guztiak;
  • ET200S, SIPLUS aldaera barne, bertsio guztiak;
  • ET200S, SIPLUS aldaera barne, bertsio guztiak;
  • ET200M, SIPLUS aldaera barne, bertsio guztiak;
  • SIMATIC CP 1543-1, V2.0 baino lehenagoko bertsioak eta V2.0 eta V2.2 bitartekoak;
  • IPC Support, VxWork-erako paketea, bertsio guztiak;
  • MV400 familia, bertsio guztiak;
  • RF182C, bertsio guztiak;
  • RF600 familia, V3 baino lehenagoko bertsioak.
• SINAMICS DCP, V1.3 baino lehenagoko bertsioak;
• SIPROTEC 4 eta SIPROTEC Compact erreleak, bertsio guztiak.

Azalpena:

Ohartarazpen honek Siemensen hainbat produkturi eragiten dieten 15 ahultasun jasotzen ditu, horietatik 1 larritasun kritikokoa da, 8 larritasun altukoak eta 6 larritasun ertainekoak.

Konponbidea:

Aipatutako ahultasunak konpontzen dituzten eguneraketak Siemens-en deskarga panelean eskura daitezke.

Eguneraketarik eskuragarri ez daukaten produktuen kasuan erreferentzien atalean azaltzen diren arintze neurriak ezarri behar dira.

Xehetasuna:

Erasotzaile batek ohartarazpen honetan azaldutako ahultasun kritikoetakoren bat balia lezake honako ekintza hauetakoren bat egin ahal izateko:

• Zerbitzuaren ukapena,
• Kodearen urruneko exekuzioa,
• Informazioa zabaltzea.

Ahultasun horietarako honako identifikatzaileak erabili dira: CVE-2019-19282, CVE-2019-13925, CVE-2019-3926, CVE-2019-19281, CVE-2019-13946, CVE-2019-12815, CVE-2019-18217, CVE-2019-19279, CVE-2015-5621, CVE-2019-13940, CVE-2019-6585, CVE-2019-13924, CVE-2018-18065, CVE-2019-19277 eta CVE-2019-13941.

Etiketak: Eguneraketa, Siemens, Ahultasuna