公開日:2021/01/13 最終更新日:2021/02/10

JVNVU#91685542
Siemens 製品に対するアップデート(2021年1月)

概要

Siemens から各製品向けのアップデートが公開されました。

影響を受けるシステム

影響を受ける製品やバージョンは環境により異なります。詳細については各アドバイザリを参照してください。

SSA-139628: Vulnerabilities in Web Server for Scalance X Products
SSA-274900: Use of hardcoded key in Scalance X devices under certain conditions

  • SCALANCE X-200 switch family (SIPLUS NET variants を含む) すべてのバージョン
  • SCALANCE X-200IRT switch family (SIPLUS NET variants を含む) V5.50 より前のバージョン
  • SCALANCE X-300 switch family (X408 および SIPLUS NET variants を含む) V4.1.0 より前のバージョン
SSA-622830: Multiple Vulnerabilities in JT2Go and Teamcenter Visualization
  • JT2Go V13.1.0 およびそれ以前
  • Teamcenter Visualization V13.1.0 およびそれ以前
SSA-979834: Multiple vulnerabilities in Solid Edge
  • Solid Edge SE2020MP12 より前のバージョン
  • Solid Edge SE2021MP2 より前のバージョン

詳細情報

Siemens から各製品向けのアップデートが公開されました。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

遠隔の第三者による機器の再起動

  • SSA-139628
    • CVE-2020-15799
遠隔の第三者による Web サーバの一時的な停止
  • SSA-139628
    • CVE-2020-15800
遠隔の第三者による Web サーバの停止
  • SSA-139628
    • CVE-2020-25226
中間者攻撃 (man-in-the-middle attack) による暗号化通信の盗聴
  • SSA-274900
    • CVE-2020-28391
    • CVE-2020-28395
第三者による任意コードの実行
  • SSA-622830
    • CVE-2020-26980
    • CVE-2020-26982
    • CVE-2020-26983
    • CVE-2020-26984
    • CVE-2020-26985
    • CVE-2020-26986
    • CVE-2020-26987
    • CVE-2020-26988
    • CVE-2020-26990
    • CVE-2020-26991
    • CVE-2020-26992
    • CVE-2020-26993
    • CVE-2020-26994
    • CVE-2020-26995
    • CVE-2020-26996
  • SSA-979834
    • CVE-2020-28381
    • CVE-2020-28382
    • CVE-2020-28384
    • CVE-2020-28386
  • SSA-622830、SSA-979834
    • CVE-2020-28383
    • CVE-2020-26989
第三者による情報の窃取
  • SSA-622830
    • CVE-2020-26981

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

  • CVE-2020-15799、CVE-2020-15800、CVE-2020-25226
    • Scalance X switch のWebサーバへの通信 (ポート 443/tcp) をファイアウォールで制限する
  • CVE-2020-28391、CVE-2020-28395
    • デフォルトで機器に搭載されている自己署名の X.509 証明書を信頼できる独自の証明書に更新する
    • デフォルトでハードコードされている X.509 証明書をファームウェアイメージから更新する
  • CVE-2020-26980、CVE-2020-26981、CVE-2020-26982、CVE-2020-26983、CVE-2020-26984、CVE-2020-26985、CVE-2020-26986、CVE-2020-26987、CVE-2020-26988、CVE-2020-26989、CVE-2020-26990、CVE-2020-26991、CVE-2020-26992、CVE-2020-26993、CVE-2020-26994、CVE-2020-26995、CVE-2020-26996、CVE-2020-28383
    • JT2Go または Teamcenter Visualisation がインストールされたシステムで、信頼できないファイルを開かない
  • CVE-2020-28381、CVE-2020-28382、CVE-2020-28383、CVE-2020-28384、CVE-2020-28386、CVE-2020-26989
    • Solid Edge で信頼できない情報源から取得したファイルを開かない
  • JT2Go または Teamcenter Visualization がインストールされたシステム上で信頼できないファイルの利用を制限する

参考情報

  1. ICS Advisory (ICSA-21-012-02)
    Siemens SCALANCE X Switches
  2. ICS Advisory (ICSA-21-012-03)
    Siemens JT2Go and Teamcenter Visualization
  3. ICS Advisory (ICSA-21-012-04)
    Siemens Solid Edge
  4. ICS Advisory (ICSA-21-012-05)
    Siemens SCALANCE X Products

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

更新履歴

2021/01/18
[影響を受けるシステム] を更新しました
2021/01/18
[影響を受けるシステム] を修正しました
2021/02/10
[影響を受けるシステム]、「ベンダ情報リンク」を更新しました