CERTFR-2023-AVI-0632 : [SCADA] Multiples vulnérabilités dans les produits Schneider Electric (08 août 2023)

Risque(s)

• Exécution de code arbitraire à distance
• Déni de service
• Atteinte à l'intégrité des données
• Atteinte à la confidentialité des données

Systèmes affectés

• GP-Pro EX WinGP pour iPC et PC/AT versions antérieures à 4.09.500
• Harmony et Easy Harmony, Vijeo Designer embarqué dans EcoStruxure™ Machine Expert toutes versions
• EcoStruxure™ Process Expert toutes versions

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Schneider Electric. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service et une atteinte à l'intégrité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Schneider Electric SEVD-2023-220-01 du 8 août 2023
  https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-220-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-220-01.pdf
• Bulletin de sécurité Schneider Electric SEVD-2023-192-04 du 8 août 2023
  https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-192-04&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-192-04.pdf
• Bulletin de sécurité Schneider Electric SEVD-2023-010-05 du 8 août 2023
  https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-010-05&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-010-05_Modicon_Controllers_Security_Notification.pdf
• Bulletin de sécurité Schneider Electric SEVD-2023-010-06 du 8 août 2023
  https://download.schneider-electric.com/files?p_Doc_Ref=SEVD-2023-010-06&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2023-010-06_Modicon_Controllers_Security_Notification.pdf
• Référence CVE CVE-2023-3953
  https://www.cve.org/CVERecord?id=CVE-2023-3953
• Référence CVE CVE-2022-45788
  https://www.cve.org/CVERecord?id=CVE-2022-45788
• Référence CVE CVE-2022-45789
  https://www.cve.org/CVERecord?id=CVE-2022-45789
• Référence CVE CVE-2022-4046
  https://www.cve.org/CVERecord?id=CVE-2022-4046
• Référence CVE CVE-2023-28355
  https://www.cve.org/CVERecord?id=CVE-2023-28355
• Référence CVE CVE-2023-3670
  https://www.cve.org/CVERecord?id=CVE-2023-3670