公開日:2021/06/09 最終更新日:2021/06/09

JVNVU#95781418
Siemens 製品に対するアップデート (2021年6月)

概要

Siemens から各製品向けのアップデートが公開されました。

影響を受けるシステム

影響を受ける製品やバージョンは環境により異なります。詳細については各アドバイザリを参照してください。

SSA-133038: Multiple Modfem File Parsing Vulnerabilities in Simcenter Femap

  • Simcenter Femap 2020.2: V2020.2.MP3 より前のバージョン
  • Simcenter Femap 2021.1: V2021.1.MP3 より前のバージョン
SSA-200951: Multiple Vulnerabilities in Third-Party Component libcurl of TIM Devices
  • SIMATIC TIM 1531 IRC (SIPLUS NET variants を含む): V2.2 より前のバージョン
SSA-208356: DFT File Parsing Vulnerabilities in Solid Edge
  • Solid Edge SE2020: 2020MP14 より前のバージョン
  • Solid Edge SE2021: SE2021MP5 より前のバージョン
SSA-211752: Multiple NTP-Client related Vulnerabilities in SIMATIC NET CP 443-1 OPC UA
  • SIMATIC NET CP 443-1 OPC UA: すべてのバージョン
SSA-419820: Denial-of-Service Vulnerability in TIM 1531 IRC
  • TIM 1531 IRC (SIPLUS NET variants を含む): V2.2 より前のバージョン
SSA-522654: Privilege Escalation Vulnerability in Mendix SAML Module
  • Mendix SAML Module: V2.1.2 より前のバージョン
SSA-645530: TIFF File Parsing Vulnerability in JT2Go and Teamcenter Visualization before V13.1.0.3
  • JT2Go: V13.1.0.3 より前のバージョン
  • Teamcenter Visualization: V13.1.0.3 より前のバージョン
SSA-787292: Denial-of-Service Vulnerability in SIMATIC RFID Readers
  • SIMATIC RF166C: V1.1 から V1.3.2 の間のバージョン
  • SIMATIC RF185C: V1.1 から V1.3.2 の間のバージョン
  • SIMATIC RF186C: V1.1 から V1.3.2 の間のバージョン
  • SIMATIC RF186CI V1.1 から V1.3.2 の間のバージョン
  • SIMATIC RF188C: V1.1 から V1.3.2 の間のバージョン
  • SIMATIC RF188CI: V1.1 から V1.3.2 の間のバージョン
  • SIMATIC RF360R: すべてのバージョン
  • SIMATIC RF615R: すべてのバージョン
  • SIMATIC RF680R: すべてのバージョン
  • SIMATIC RF3685R: すべてのバージョン

詳細情報

Siemens から各製品向けのアップデートが公開されました。

想定される影響

ローカルの第三者によるコード実行

  • SSA-133038
    • CVE-2021-27387
    • CVE-2021-27399
  • SSA-208356
    • CVE-2021-31342
    • CVE-2021-31343
  • SSA-645530
    • CVE-2021-27390
遠隔の第三者による任意コード実行
  • SSA-211752
    • CVE-2015-7853
遠隔の第三者による部分的パスワード情報の窃取
  • SSA-200951
    • CVE-2020-8169
失効済み証明書の検証不備
  • SSA-200951
    • CVE-2020-8286
遠隔の第三者によるサービス運用妨害 (DoS) 攻撃
  • SSA-211752
    • CVE-2016-9042
    • CVE-2015-7853
    • CVE-2016-4953
    • CVE-2016-4954
    • CVE-2016-4955
    • CVE-2016-4956
    • CVE-2015-7705
    • CVE-2016-1547
    • CVE-2016-1548
  • SSA-419820
    • CVE-2018-0732
  • SSA-787292
    • CVE-2021-31340
バッファオーバーフロー
  • SSA-211752
    • CVE-2017-6458
    • CVE-2016-7433
日時情報の改ざん
  • SSA-211752
    • CVE-2016-7431
    • CVE-2015-8138
メッセージ認証符号の検証回避
  • SSA-211752
    • CVE-2016-1550
領域外参照
  • SSA-211752
    • CVE-2016-2518
権限昇格
  • SSA-522654
    • CVE-2021-33712

対策方法

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

  • CVE-2021-27387、CVE-2021-27399、CVE-2021-31342、CVE-2021-31343、CVE-2021-27390
    • 信頼できないソースから取得したファイルを開かない
  • CVE-2020-8169、CVE-2020-8286
    • 内部ネットワークや VPN、信頼できる IP アドレスからのみ、当該機器への接続を許可する
  • CVE-2016-9042、CVE-2017-6458、CVE-2016-7431、CVE-2016-7433、CVE-2015-7853、CVE-2016-4953、CVE-2016-4954、CVE-2016-4955、CVE-2016-4956、CVE-2015-7705、CVE-2015-8138、CVE-2016-1547、CVE-2016-1548、CVE-2016-1550、CVE-2016-2518
    • 当該機器の NTP を利用した時刻同期を無効化する (初期設定では無効化されている)
    • 当該機器の 123/UDP ポートに対する通信をファイアウォールにより遮断する
  • CVE-2021-31340
    • 当該機器の OPC-UA 機能を無効化する

参考情報

  1. ICS Advisory (ICSA-21-159-07)
    Siemens Mendix SAML Module
  2. ICS Advisory (ICSA-21-159-08)
    Siemens TIM 1531 IRC
  3. ICS Advisory (ICSA-21-159-09)
    Siemens Solid Edge
  4. ICS Advisory (ICSA-21-159-10)
    Siemens SIMATIC TIM libcurl
  5. ICS Advisory (ICSA-21-159-11)
    Siemens SIMATIC NET CP 443-1 OPC UA
  6. ICS Advisory (ICSA-21-159-12)
    Siemens Simcenter Femap
  7. ICS Advisory (ICSA-21-159-13)
    Siemens SIMATIC RFID
  8. ICS Advisory (ICSA-21-159-14)
    Siemens JT2Go and Teamcenter Visualization

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia