公開日:2022/12/14 最終更新日:2022/12/16

JVNVU#91561630
Siemens製品に対するアップデート(2022年12月)

概要

Siemensから各製品向けのアップデートが公開されました。

影響を受けるシステム

影響を受ける製品は多岐に渡ります。詳細については各アドバイザリを参照してください。

詳細情報

Siemensから各製品向けのアップデートが公開されました。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

SSA-180579

  • 低権限ユーザによるユーザアカウント情報を含む機密情報の窃取
SSA-210822
  • 低権限ユーザによる機密情報の窃取や削除
SSA-223771
  • 遠隔の第三者によるサービス運用妨害(DoS)攻撃
SSA-224632
  • 低権限ユーザによる機密情報の窃取や操作
SSA-274282
  • 遠隔の第三者による不正なJavaScriptの実行
SSA-333517
  • 遠隔の第三者によるサービス運用妨害(DoS)攻撃
  • ローカルの第三者による、サービス運用妨害(DoS)攻撃やコード実行
SSA-360681
  • ローカルの第三者によるコード実行
SSA-363821
  • 隣接ネットワーク上の第三者による不正なリクエスト実行
  • 隣接ネットワーク上の第三者によるサービス運用妨害(DoS)攻撃
  • 遠隔の第三者によるサービス運用妨害(DoS)攻撃
  • 遠隔の第三者によるセッションの乗っ取り
  • 隣接ネットワーク上の第三者によるセッション情報の窃取
  • 遠隔の第三者による機密情報の窃取
SSA-382653
  • 遠隔の第三者によるサービス運用妨害(DoS)攻撃
  • 高権限ユーザによるサービス運用妨害(DoS)攻撃
SSA-408105
  • 遠隔の第三者によるサービス運用妨害(DoS)攻撃やコード実行
SSA-412672
  • サードパーティーコンポーネントの脆弱性83個による、様々な影響(詳細は、開発者の提供する「SSA-412672」を参照)
SSA-413565
  • 隣接ネットワーク上の高権限ユーザによる任意のコード実行
  • 低権限ユーザによるシステムに関するデバッグ情報の窃取
  • 物理的にアクセス可能な第三者によるCLIユーザパスワードの解読
  • 高権限ユーザによる、初期化されていないバッファからの過去データの窃取
  • 低権限ユーザによるサービス運用妨害(DoS)攻撃
SSA-436469
  • 遠隔の第三者によるセッションの乗っ取りやなりすまし
SSA-547714
  • 低権限ユーザによる、クライアント起動時の任意のパラメータ挿入
SSA-552874
  • 遠隔の第三者によるサービス運用妨害(DoS)攻撃
SSA-588101
  • ローカルの第三者によるコード実行
SSA-700053
  • ローカルの第三者によるサービス運用妨害(DoS)攻撃
  • ローカルの第三者によるコード実行
SSA-792594
  • 遠隔の第三者による、悪意あるWebサイトへのユーザのリダイレクト
SSA-849072
  • ローカルの低権限ユーザによる不正なDLLの実行
  • 遠隔の第三者によるサービス運用妨害(DoS)攻撃
  • 遠隔の第三者によるOSコマンドの実行
SSA-930100
  • ローカルの低権限ユーザによる権限昇格

対策方法

アップデートまたはワークアラウンドを実施する
開発者が提供する情報をもとに、最新版にアップデート、またはワークアラウンドを実施してください。

ベンダ情報

ベンダ リンク
Siemens SSA-180579: Privilege Management Vulnerability in APOGEE/TALON Field Panels
SSA-210822: Improper Access Control Vulnerability in Mendix Workflow Commons Module
SSA-223771: SISCO Stack Vulnerability in SIPROTEC 5 Devices
SSA-224632: Improper Access Control Vulnerability in Mendix Email Connector Module
SSA-274282: Cross Site Scripting Vulnerability in PLM Help Server V4.2
SSA-333517: Multiple Vulnerabilities in SCALANCE SC-600 Family before V3.0
SSA-360681: Datalogics File Parsing Vulnerabilities in Teamcenter Visualization and JT2Go
SSA-363821: Multiple Vulnerabilities in SCALANCE X-200RNA Switch Devices before V3.2.7
SSA-382653: Multiple Denial of Service Vulnerabilities in Industrial Products
SSA-408105: Buffer Overflow Vulnerabilities in OpenSSL 3.0 Affecting Siemens Products
SSA-412672: Multiple OpenSSL and OpenSSH Vulnerabilities in SCALANCE X-200RNA Switch Devices before V3.2.7
SSA-413565: Multiple Vulnerabilities in SCALANCE Products
SSA-436469: TCP Vulnerability in APOGEE/TALON Field Panels
SSA-547714: Argument Injection Vulnerability in SIMATIC WinCC OA Ultralight Client
SSA-552874: Denial of Service Vulnerability in SIPROTEC 5 Devices
SSA-588101: Multiple File Parsing Vulnerabilities in Parasolid
SSA-700053: Multiple File Parsing Vulnerabilities in Teamcenter Visualization and JT2Go
SSA-792594: Host Header Injection Vulnerability in Polarion ALM
SSA-849072: Several Vulnerabilities in SICAM PAS before V8.06
SSA-930100: Privilege Escalation Vulnerability in Simcenter STAR-CCM+

参考情報

  1. ICS Advisory (ICSA-22-349-02)
    Siemens SCALANCE X-200RNA Switch Devices
  2. ICS Advisory (ICSA-22-349-03)
    Siemens Multiple Denial of Service Vulnerabilities in Industrial Products
  3. ICS Advisory (ICSA-22-349-04)
    Siemens Multiple Vulnerabilities in SCALANCE Products
  4. ICS Advisory (ICSA-22-346-05)
    Siemens PLM Help Server
  5. ICS Advisory (ICSA-22-349-06)
    Siemens SIMATIC WinCC OA Ultralight Client
  6. ICS Advisory (ICSA-22-349-07)
    Siemens Simcenter STAR-CCM+
  7. ICS Advisory (ICSA-22-349-08)
    Siemens Polarion ALM
  8. ICS Advisory (ICSA-22-349-09)
    Siemens Products affected by OpenSSL 3.0
  9. ICS Advisory (ICSA-22-349-10)
    Siemens APOGEE/TALON Field Panels
  10. ICS Advisory (ICSA-22-349-11)
    Siemens SIPROTEC 5 Devices
  11. ICS Advisory (ICSA-22-349-12)
    Siemens Parasolid
  12. ICS Advisory (ICSA-22-349-13)
    Siemens Mendix Workflow Commons
  13. ICS Advisory (ICSA-22-349-14)
    Siemens SISCO MMS-EASE Third Party Component
  14. ICS Advisory (ICSA-22-349-15)
    Siemens Teamcenter Visualization and JT2Go
  15. ICS Advisory (ICSA-22-349-16)
    Siemens APOGEE and TALON
  16. ICS Advisory (ICSA-22-349-17)
    Siemens Mendix Email Connector
  17. ICS Advisory (ICSA-22-349-18)
    Siemens SCALANCE SC-600 Family
  18. ICS Advisory (ICSA-22-349-19)
    Siemens SICAM PAS
  19. ICS Advisory (ICSA-22-349-20)
    Siemens Teamcenter Visualization and JT2Go
  20. ICS Advisory (ICSA-22-349-21)
    Siemens SCALANCE X-200RNA Switch Devices

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2022/12/16
[参考情報]にICS Advisoryのリンクを追加しました