CERTFR-2022-AVI-546 : Multiples vulnérabilités dans les produits Schneider (15 juin 2022)

Risque(s)

• Exécution de code arbitraire à distance
• Déni de service à distance
• Contournement de la politique de sécurité
• Atteinte à l'intégrité des données
• Atteinte à la confidentialité des données
• Injection de requêtes illégitimes par rebond (CSRF)

Systèmes affectés

• IGSS Data Server versions antérieures à 15.0.0.22140
• Geo SCADA Mobile versions antérieures au Build 202205171
• Conext ComBox toutes versions
• StruxureWare Data Center Expert versions antérieures à 7.9.1
• EcoStruxure Power Commission versions antérieures à 2.22
• Schneider Electric C-Bus Network Automation Controller LSS5500NAC versions antérieures à 1.11.0
• Schneider Electric C-Bus Network Automation Controller LSS5500SHAC versions antérieures à 1.11.0
• Clipsal C-Bus Network Automation Controller 5500NAC versions antérieures à 1.11.0
• Clipsal C-Bus Network Automation Controller 5500SHAC versions antérieures à 1.11.0
• SpaceLogic C-Bus Network Automation Controller 5500NAC2 versions antérieures à 1.11.0
• SpaceLogic C-Bus Network Automation Controller 5500AC2 versions antérieures à 1.11.0
• CanBRASS versions antérieures à 7.6
• EcoStruxure Cybersecurity Admin Expert (CAE) versions antérieures à 2.4
• EPC2000 versions antérieures à 4.03
• Versadac versions antérieures à 2.43
• EcoStruxure Power Build: Rapsody Software versions antérieures à 2.1.13
• SCADAPack RemoteConnect pour x70 versions antérieures à R2.7.3
• Smart-UPS SCL Series versions antérieures à 15.1
• Smart-UPS SRT Series versions antérieures à 15.0
• Smart-UPS SMT SMC, SMX, SRC, XU, XP, SURTD, CHS2 et SRTL Series toutes versions

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Schneider. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et un contournement de la politique de sécurité.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Schneider SEVD-2022-165-01 du 14 juin 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-01_IGSS_Security_Notification.pdf
• Bulletin de sécurité Schneider SEVD-2022-165-02 du 14 juin 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-02_Geo_SCADA_Android_App_Security_Notification.pdf
• Bulletin de sécurité Schneider SEVD-2022-165-03 du 14 juin 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-03_ConextCombox_Security_Notification.pdf
• Bulletin de sécurité Schneider SEVD-2022-165-04 du 14 juin 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-04_%20StruxureWare_Data_Center_Expert_Security_Notification.pdf
• Bulletin de sécurité Schneider SEVD-2022-165-05 du 14 juin 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-05_EcoStruxure_Power_Commission_Security_Notification.pdf
• Bulletin de sécurité Schneider SEVD-2022-165-06 du 14 juin 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-06_C-Bus_Home_Automation_Products_Security_Notification.pdf
• Bulletin de sécurité Schneider SEVD-2022-165-07 du 14 juin 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-07_CanBRASS_Security_Notification.pdf
• Bulletin de sécurité Schneider SEVD-2022-165-08 du 14 juin 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-165-08_Cybersecurity_Admin_Expert_Security_Notification.pdf
• Bulletin de sécurité Schneider SEVD-2021-313-05 du 09 novembre 2021
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2021-313-05_Badalloc_Vulnerabilities_Security_Notification_V8.0.pdf
• Bulletin de sécurité Schneider SEVD-2021-012-02 du 12 janvier 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2021-012-02_EcoStruxure_Power_Build_Rapsody_Security_Notification_V2.0.pdf
• Bulletin de sécurité Schneider SEVD-2022-067-01 du 08 mars 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-067-01_EcoStruxure_Control_Expert_and_EcoStruxure_Process_Expert_Security_Notification_V2.0.pdf
• Bulletin de sécurité Schneider SEVD-2022-067-02 du 08 mars 2022
  https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-067-02_APC_Smart-UPS_Security_Notification_V4.0_EN.pdf
• Référence CVE CVE-2022-32522
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32522
• Référence CVE CVE-2022-32523
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32523
• Référence CVE CVE-2022-32524
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32524
• Référence CVE CVE-2022-32525
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32525
• Référence CVE CVE-2022-32526
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32526
• Référence CVE CVE-2022-32527
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32527
• Référence CVE CVE-2022-32528
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32528
• Référence CVE CVE-2022-32529
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32529
• Référence CVE CVE-2022-32530
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32530
• Référence CVE CVE-2022-32515
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32515
• Référence CVE CVE-2022-32516
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32516
• Référence CVE CVE-2022-32517
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32517
• Référence CVE CVE-2022-32518
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32518
• Référence CVE CVE-2022-32520
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32520
• Référence CVE CVE-2022-32519
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32519
• Référence CVE CVE-2022-32521
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32521
• Référence CVE CVE-2022-0223
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0223
• Référence CVE CVE-2022-22731
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22731
• Référence CVE CVE-2022-22732
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22732
• Référence CVE CVE-2022-32513
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32513
• Référence CVE CVE-2022-32514
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32514
• Référence CVE CVE-2022-32512
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32512
• Référence CVE CVE-2022-32747
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32747
• Référence CVE CVE-2022-32748
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32748
• Référence CVE CVE-2020-35198
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-35198
• Référence CVE CVE-2020-28895
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-28895
• Référence CVE CVE-2021-22697
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22697
• Référence CVE CVE-2021-22698
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22698
• Référence CVE CVE-2022-24322
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24322
• Référence CVE CVE-2022-24323
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-24323
• Référence CVE CVE-2022-22805
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22805
• Référence CVE CVE-2022-22806
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22806
• Référence CVE CVE-2022-0715
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-0715