公開日:2022/06/16 最終更新日:2024/07/10

JVNVU#99030761
Siemens製品に対するアップデート(2022年6月)

概要

Siemensから各製品向けのアップデートが公開されました。

影響を受けるシステム

影響を受ける製品は多岐に渡ります。詳細については各アドバイザリを参照してください。

詳細情報

Siemensから各製品向けのアップデートが公開されました。

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

SSA-145224

  • 遠隔の第三者によるネットワーク通信の中断
SSA-220589
  • 遠隔のユーザによる高権限でのコード実行
SSA-222547
  • 遠隔の第三者によるディレクトリトラバーサル
  • ローカルの高権限ユーザによるサービス運用妨害(DoS)攻撃
  • ローカルのユーザによるsystemdおよびシステム全体の異常終了
  • レースコンディションによるリバースプロキシの異常終了
  • 多数ファイルの読み込みによる致命的エラーの発生
  • ローカルのユーザのdocker cpを使ったファイルコピーによる、ホスト内の既存ファイルのUnixファイルアクセス権変更
  • ローカルのユーザによるディレクトリトラバーサルとプログラム実行
  • 高権限ユーザによる資格情報の漏えい
  • ローカルのユーザによるページキャッシュへの書き込みや権限昇格
SSA-330556
  • ローカルのユーザによるターゲットマシン上での権限昇格
SSA-388239
  • 隣接ネットワークの第三者による、デフォルト資格情報を利用した不正ログインおよび管理者権限でのShared HISコンポーネントへのアクセス
SSA-401167
  • 遠隔の第三者による、クロスサイトスクリプティングを利用した悪意あるコードの実行
SSA-484086
  • libcurlの間違った接続による機密情報の露出
  • 遠隔の第三者による機密情報の公開
  • 遠隔のユーザによる不正なメモリ割り当て
  • 整数オーバーフロー
  • エンコーディングの検証不足
  • 遠隔の第三者による誤った領域へのリソースの漏えい
  • 遠隔の第三者によるスタックの枯渇
  • BREACH攻撃による機密情報の漏えい
  • 遠隔の第三者によるクロスサイトスクリプティング
  • 遠隔のユーザによる権限昇格
  • 特権ユーザによる悪意あるパッケージのインストール
  • 不適切な入力検証によるOpenSSL証明書のパスワードの漏えい
  • 遠隔のユーザによるログファイルからのユーザ情報の漏えい
  • 遠隔の第三者による限定された情報へのアクセス
  • 遠隔のユーザによる特権情報へのアクセス
  • 遠隔の第三者による、デバイス構成インポート機能を利用した情報開示
  • 遠隔の第三者によるアーキテクチャのテスト情報の取得とテスト構成の改ざん
  • 遠隔の第三者による、APTアップデートの不正な構成を利用した安全でないパッケージの追加
  • 遠隔のユーザによる任意のコード実行
SSA-631336
  • 遠隔の第三者による、悪意のあるリクエストの実行
  • 遠隔の第三者による既存ユーザ情報の変更、新規の管理者権限を持つユーザの追加
  • 高権限ユーザによる他ユーザのパスワードハッシュの取得
SSA-685781
  • null ポインタ参照
  • 遠隔の第三者による領域外書き込み
  • 遠隔の第三者によるサーバサイドリクエストフォージェリ
SSA-693555
  • 遠隔の第三者による、メモリ破損を利用したサービス運用妨害(DoS)攻撃
SSA-712929
  • 遠隔の第三者による、BN_mod_sqrt()関数が引き起こす無限ループを利用したサービス運用妨害(DoS)攻撃
SSA-740594
  • 遠隔のユーザによる、XXE攻撃を利用した機密データの開示
  • 遠隔のユーザによる、クロスサイトスクリプティングを利用した悪意あるコードの実行
SSA-911567
  • クリックジャッキングやチャネルダウングレード等のクライアントベースの攻撃の標的になる
SSA-988345
  • ローカルのユーザによる任意コードのインジェクションおよび権限昇格
SSA-111512
  • 遠隔の第三者による正規ユーザへのなりすましやクライアントサーバプロトコルの悪用

対策方法

アップデートまたはワークアラウンドを実施する
開発者が提供する情報をもとに、最新版にアップデート、またはワークアラウンドを実施してください。

参考情報

  1. ICS Advisory (ICSA-22-167-04)
    Siemens Mendix SAML Module
  2. ICS Advisory (ICSA-22-167-05)
    Siemens EN100 Ethernet Module
  3. ICS Advisory (ICSA-22-167-06)
    Siemens Apache HTTP Server
  4. ICS Advisory (ICSA-22-167-07)
    Siemens SINEMA Remote Connect Server
  5. ICS Advisory (ICSA-22-167-08)
    Siemens SICAM GridEdge
  6. ICS Advisory (ICSA-22-167-09)
    Siemens SCALANCE LPE9403 Third-Party Vulnerabilities
  7. ICS Advisory (ICSA-22-167-10)
    Siemens SCALANCE XM-400 and XR-500
  8. ICS Advisory (ICSA-22-167-11)
    Siemens Xpedition Designer
  9. ICS Advisory (ICSA-22-167-12)
    Siemens Spectrum Power Systems
  10. ICS Advisory (ICSA-22-167-13)
    Siemens Teamcenter
  11. ICS Advisory (ICSA-22-167-14)
    Siemens OpenSSL Affected Industrial Products
  12. ICS Advisory (ICSA-22-167-15)
    Siemens Teamcenter Active Workspace
  13. ICS Advisory (ICSA-22-167-16)
    Siemens SCALANCE LPE 4903 and SINUMERIK Edge
  14. ICS Advisory (ICSA-22-167-17)
    Siemens SINEMA Remote Connect Server
  15. ICS Advisory (ICSA-22-172-06)
    Siemens WinCC OA

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia

更新履歴

2022/06/21
[参考情報]にICS Advisoryのリンクを追加しました
2022/06/22
[想定される影響]、[ベンダ情報]、[参考情報]にSSA-111512の情報を追加しました
2024/07/10
[想定される影響]におけるSSA-484086の箇所を更新しました