Sélection de la langue

Government of Canada / Gouvernement du Canada

Avis aux lectrices et aux lecteurs

Cette publication ne répond pas actuellement aux normes Web du gouvernement du Canada. Les informations restent valables.

[Systèmes de contrôle] Vulnérabilité dans Siemens SIPROTEC 4 et SIPROTEC Compact

Numéro : AV17-097
Date : Le 10 juillet 2017

Objet

Le présent avis vise à attirer l’attention sur une vulnérabilité VulnérabilitéDéfectuosité ou lacune inhérente à la conception ou à la mise en œuvre d’un système d’information ou à son environnement, qui pourrait être exploitée en vue de compromettre les biens ou les activités d’une organisation. découverte récemment dans les produits Siemens SIPROTEC 4 et SIPROTEC Compact.

Évaluation

On a détecté de multiples vulnérabilités dans les produits Siemens SIPROTEC 4 et SIPROTEC Compact. Un attaquant qui exploiterait ces vulnérabilités pourrait compromettre la disponibilité DisponibilitéCaractéristique de l'information ou des systèmes qui sont accessibles aux personnes autorisées au moment où celles-ci en ont besoin. La disponibilité est un attribut des actifs informationnels, logiciels, et matériels (l'infrastructure et ses composantes). Il est également entendu que la disponibilité comprend la protection des actifs contre les accès non autorisés ou les compromissions. des systèmes.

Produits touchés :
Micrologiciel version pour EN100 module Ethernet inclus dans les options de SIPROTEC 4 and SIPROTEC Compact:

  • Micrologiciel version PROFINET IO version V1.04.01 et antérieures
  • Micrologiciel version Modbus TCP
  • Micrologiciel version DNP3 TCP
  • Micrologiciel version IEC 104

EN100 module Ethernet inclus dans SIPROTEC Merging Unit 6MU80 version V1.02.02 et antérieures
SIPROTEC 7SJ66 version V4.23 et antérieures
SIPROTEC 7SJ686 version V4.86 et antérieures
SIPROTEC 7UT686 version V4.01 et antérieures
SIPROTEC 7SD686 version V4.04 et antérieures
SIPROTEC 7SJ66, 7SD686, 7SJ686 et 7UT686

CVE Références: CVE-2015-5374, CVE-2016-4784, CVE-2016-4785, CVE-2016-7112, CVE-2016-7113, CVE-2016-7114

Mesures Recommandées

Le CCRIC recommande aux administrateurs et responsables de systèmes de vérifier les mises à jour publiées ou les mesures de contournement recommandées par le fournisseur et de les appliquer aux applications touchées.

Références :

https://www.siemens.com/cert/pool/cert/siemens_security_advisory_ssa-323211.pdf
https://ics-cert.us-cert.gov/advisories/ICSA-17-187-03
https://www.securitepublique.gc.ca/cnt/rsrcs/cybr-ctr/2012/tr12-002-fr.aspx

Date de modification :