Beveiligingsadvies NCSC-2024-0362 [1.00] [M/H] Kwetsbaarheden verholpen in Siemens producten

Kwetsbaarheden Verholpen in Siemens Producten

De volgende informatie biedt inzicht in de recent verholpen kwetsbaarheden in diverse Siemens producten. Dit is mede gebaseerd op officiële advisories die automatisch zijn omgezet naar HTML-tekst. Voor de meest accurate en betrouwbare informatie wordt verwezen naar de Signed PGP-versies.

Overzicht van Kwetsbaarheden

Siemens heeft meerdere kwetsbaarheden verholpen in uiteenlopende producten. Hieronder volgt een overzicht van deze zwakheden en hun classificatie.

Classificatie van Kwetsbaarheden:

Signal Handler Race Condition
Misinterpretation of Input
Heap-based Buffer Overflow
Session Fixation
Execution with Unnecessary Privileges
Observable Response Discrepancy
Incorrect Permission Assignment for Critical Resource
Improper Check for Unusual or Exceptional Conditions
Improper Check or Handling of Exceptional Conditions
Stack-based Buffer Overflow
NULL Pointer Dereference
Buffer Copy without Checking Size of Input (‘Classic Buffer Overflow’)
Improper Input Validation
Cleartext Transmission of Sensitive Information
Missing Release of Resource after Effective Lifetime
Hidden Functionality
Authorization Bypass Through User-Controlled Key
Missing Release of Memory after Effective Lifetime
Integer Overflow or Wraparound
Improper Validation of Certificate with Host Mismatch
Use After Free
Improper Resource Shutdown or Release
Improper Access Control
Improper Certificate Validation
Insertion of Sensitive Information into Log File
Insufficient Session Expiration
Concurrent Execution using Shared Resource with Improper Synchronization (‘Race Condition’)

Details van de Kwetsbaarheden en Impact

Siemens heeft de kwetsbaarheden in een scala aan producten verholpen, waaronder:

Mendix
SICAM
SIMATIC
SINEMA
SINUMERIK
Tecnomatix

Potentiële Schade in Gevallen van Exploitatie:

Een kwaadwillende die toegang heeft tot de productieomgeving kan gebruik maken van de kwetsbaarheden om:

Denial-of-Service (DoS) aanvallen uit te voeren
Gegevens te manipuleren
Beveiligingsmaatregelen te omzeilen
Authenticatie te omzeilen
Remote code execution mogelijk te maken met administrator/root of gebruikersrechten
Toegang te krijgen tot systeemgegevens
Gebruikersrechten te verhogen

Noot: Toegang tot de productieomgeving vereist geen publieke toegankelijkheid.

Bereik en Betrokken Platformspecificaties

Platforms en Producten:

De onderstaande Siemens producten en versies zijn betroffen door de kwetsbaarheden:

Siemens AI Model Deployer
Siemens Automation License Manager (v5, v6.0, v6.2)
Siemens Data Flow Monitoring Industrial Edge Device User Interface
Siemens Industrial Edge Management
- OS, Pro, Virtual
Siemens LiveTwin Industrial Edge App
Siemens Mendix Runtime (v10, v10.12, v10.6, v8, v9)
Siemens SICAM SCC (v10.0)
Siemens SIMATIC Batch (v9.1)
Siemens SIMATIC PCS Neo (v4.0, v4.1, v5.0)
Siemens SINEMA Remote Connect (Client, Server)
Siemens SINUMERIK (v4, v5, One)
Siemens Technomatix Plant Simulation (v2302, v2404)
Siemens TIA Portal (v16, v17, v18, v19)
Siemens TIM 1531 IRC
Siemens Automation License Manager, Mendix Runtime (v8, v9, en meer)

Beschikbare Beveiligingsupdates

Siemens heeft beveiligingsupdates gepubliceerd om de kwetsbaarheden te verhelpen. Voor sommige kwetsbaarheden zijn nog geen updates beschikbaar, maar Siemens heeft mitigerende maatregelen aangeboden om de risico’s te minimaliseren. Meer informatie kan worden gevonden via de volgende links:

CVE’s

Hieronder volgt een lijst van de CVE’s die verband houden met de hierboven genoemde kwetsbaarheden:

Door het gebruik van deze security advisory accepteert u de volgende voorwaarden. Hoewel het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van het beveiligingsadvies. De informatie is uitsluitend bedoeld als algemene informatie voor professionele partijen en er kunnen geen rechten aan worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ontstaan door het gebruik, of de onmogelijkheid van het gebruik, van dit beveiligingsadvies. Dit advies valt onder Nederlands recht. Geschillen zullen exclusief worden voorgelegd aan de rechter in Den Haag, inclusief de voorzieningenrechter in kort geding.

Een beveiligingsadvies wordt door het NCSC gepubliceerd naar aanleiding van een recent gevonden kwetsbaarheid of geconstateerde dreiging. In een beveiligingsadvies staat de beschrijving, de mogelijke gevolgen en mogelijke oplossingen van de kwetsbaarheid of dreiging.

Mitigerende maatregel beschikbaar op advisories.ncsc.nl

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----

Koelman.IT