シーメンスの複数のプロダクトに脆弱性、アップデートを マイナビニュース更新日：2020/04/19 デート

JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は4月16日、「JVNVU#95499848: Siemens 製品に複数の脆弱性」において、シーメンスの複数のプロダクトに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、サービス運用妨害攻撃、遠隔からのデバッグ機能の利用、第三者によるIPアドレスの変更、クロスサイトスクリプティングによる情報改竄や窃取などを実行される危険性がある。

トレンドマイクロ製パスワードマネージャーに脆弱性、アップデートを

脆弱性に関する情報は次のページにまとまっている。

SSA-377115: SegmentSmack in Linux IP-Stack based Industrial Devices
SSA-593272: SegmentSmack in Interniche IP-Stack based Industrial Devices
SSA-102233: SegmentSmack in VxWorks-based Industrial Devices
SSA-359303: Debug Port in TIM 3V-IE and 4R-IE Family Devices
SSA-162506: DHCP Client Vulnerability in SIMOTICS CONNECT 400, Desigo PXC/PXM, APOGEE MEC/MBC/PXC, APOGEE PXC Series, and TALON TC Series
SSA-886514: Persistent XSS Vulnerabilities in the Web Interface of Climatix POL908 and POL909 Modules

脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。

APOGEE MEC/MBC/PXC (P2) 2.8.2 より前のバージョン
APOGEE PCX Series (P2) 2.8.2 およびそれ以降のバージョン
APOGEE PXC Series (BACnet) 3.0 およびそれ以降のバージョン
Climatix POL908 (BACnet/IP module) すべてのバージョン
Climatix POL909 (AWM module) すべてのバージョン
Desigo PXC (Power PC) 2.3x およびそれ以降のバージョン
Desigo PXM20 (Power PC) 2.3x およびそれ以降のバージョン
IE/PB-Link v3 すべてのバージョン
KTK ATE530S すべてのバージョン
RUGGEDCOM RM1224 6.1 より前のバージョン
RUGGEDCOM ROX II 2.13.3 より前のバージョン
SCALANCE M-800 family 6.1 より前のバージョン
SCALANCE S615 6.1 より前のバージョン
SCALANCE SC-600 2.0 より前のバージョン
SCALANCE W1700 IEEE 802.11ac 2.0 より前のバージョン
SCALANCE W700 IEEE 802.11a/b/g/n 6.4 より前のバージョン
SCALANCE X-200 switch family (SIPLUS NET variants を含む) すべてのバージョン
SCALANCE X-200IRT switch family (SIPLUS NET variants を含む) すべてのバージョン
SCALANCE X-300 switch family (X408 and SIPLUS NET variants を含む) すべてのバージョン
SIDOOR ATD430W すべてのバージョン
SIDOOR ATE530S COATED すべてのバージョン
SIDOOR ATE531S すべてのバージョン
SIMATIC CP 1242-7 3.2 より前のバージョン
SIMATIC CP 1243-1 (SIPLUS NET variants を含む) 3.2 より前のバージョン
SIMATIC CP 1243-7 LTE EU 3.2 より前のバージョン
SIMATIC CP 1243-7 LTE US 3.2 より前のバージョン
SIMATIC CP 1243-8 IRC 3.2 より前のバージョン
SIMATIC CP 1542SP-1 2.1 より前のバージョン
SIMATIC CP 1542SP-1 IRC (SIPLUS NET variants を含む) 2.1 より前のバージョン
SIMATIC CP 1543-1 (SIPLUS NET variants を含む) 2.2 より前のバージョン
SIMATIC CP 1543SP-1 (SIPLUS NET variants を含む) 2.1 より前のバージョン
SIMATIC CP 443-1 (SIPLUS NET variants を含む) すべてのバージョン
SIMATIC CP 443-1 Advanced (SIPLUS NET variants を含む) すべてのバージョン
SIMATIC ET 200SP Open Controller CPU 1515SP PC (SIPLUS variants を含む) 2.0 より前のバージョン
SIMATIC ET 200SP Open Controller CPU 1515SP PC2 (SIPLUS variants を含む) 2.0 より前のバージョン
SIMATIC ET200MP IM155-5 PN HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン
SIMATIC ET200SP IM155-6 MF HF すべてのバージョン
SIMATIC ET200SP IM155-6 PN HA (SIPLUS variants を含む) すべてのバージョン
SIMATIC ET200SP IM155-6 PN HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン
SIMATIC ET200SP IM155-6 PN/2 HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン
SIMATIC ET200SP IM155-6 PN/3 HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン
SIMATIC MICRO-DRIVE PDC すべてのバージョン
SIMATIC PN/PN Coupler (SIPLUS NET variants を含む) 4.2 およびそれ以降のバージョン
SIMATIC RF180C すべてのバージョン
SIMATIC RF182C すべてのバージョン
SIMATIC RF185C すべてのバージョン
SIMATIC RF186C すべてのバージョン
SIMATIC RF186CI すべてのバージョン
SIMATIC RF188C すべてのバージョン
SIMATIC RF188CI すべてのバージョン
SIMATIC S7-1500 CPU family (related ET200 CPUs and SIPLUS variants を含む) 2.0 より前のバージョン
SIMATIC S7-1500 Software Controller 2.0 より前のバージョン
SIMATIC S7-300 CPU family (related ET200 CPUs and SIPLUS variants を含む) すべてのバージョン
SIMATIC S7-400 PN/DP V7 and below CPU family (SIPLUS variants を含む) すべてのバージョン
SIMATIC S7-410 CPU family (SIPLUS variants を含む) すべてのバージョン
SIMATIC TDC CP51M1 すべてのバージョン
SIMATIC TDC CPU555 すべてのバージョン
SIMATIC WinAC RTX (F) 2010 すべてのバージョン
SIMOTICS CONNECT 400 0.3.0.95 およびそれ以前のバージョン
SINAMICS S/G Control Unit w. PROFINET すべてのバージョン
SINEMA Remote Connect Server 1.1 以降から 2.0.1 より前のバージョン
TALON TC Series (BACnet) 3.0 およびそれ以降のバージョン
TIM 3V-IE (SIPLUS NET variants を含む) v2.8 より前のバージョン
TIM 3V-IE Advanced (SIPLUS NET variants を含む) v2.8 より前のバージョン
TIM 3V-IE DNP3 (SIPLUS NET variants を含む) v3.3 より前のバージョン
TIM 4R-IE (SIPLUS NET variants を含む) v2.8 より前のバージョン
TIM 4R-IE DNP3 (SIPLUS NET variants を含む) v3.3 より前のバージョン

JPCERT/CCは必要に応じてアップデートを適用することを推奨している。ただし、本稿執筆時点では、CVE-2019-19301に関する修正アップデートは提供されていない。ワークアラウンドを適用するなどして脆弱性の影響を軽減する措置をとることが望まれる。