17 апреля 2020
Десятки промышленных устройств Siemens подвержены DoS-уязвимостям
Компания Siemens сообщила о нескольких DoS-уязвимостях, которые затрагивают множество промышленных устройств.
Более двадцати продуктов Siemens подвержены уязвимостям SegmentSmack (CVE-2018-5390) и FragmentSmack (CVE-2018-5391). Среди уязвимых продуктов — устройства IE/PB-Link, маршрутизаторы RUGGEDCOM, маршрутизаторы и межсетевые экраны SCALANCE, коммуникационные процессоры SIMATIC CP, SINEMA Remote Connect Server и др. Уязвимости SegmentSmack и FragmentSmack, получившие оценку 7,5 баллов по шкале CVSS v.3.1, были обнаружены еще в 2018 году и связаны с уязвимостью в TCP-стеке Linux.
Для устранения уязвимостей производитель рекомендует установить соответствующие обновления.
Еще несколько десятков продуктов Siemens подвержены SegmentSmack-уязвимости (CVE-2019-19300) в стеке TCP-протокола на базе Interniche, которая может привести к отказу в обслуживании. Эта уязвимость получила оценку 7,5 баллов по шкале CVSS v.3.1 и затронула систему управления дверями SIDOOR, различные типы устройств SIMATIC, преобразователи SINAMICS и продукты SIPLUS. Для части продуктов устранение уязвимости возможно путем установки обновлений, однако для большинства уязвимых решений производитель еще не определил какие-либо конкретные меры.
Продукты SCALANCE X и SIMATIC, включая устройства SIPLUS, также оказались подвержены DoS-уязвимости. Проблема CVE-2019-19301 связана с ошибкой в стеке Profinet TCP-протокола на базе VxWorks. Эта уязвимость получила оценку 7,5 баллов по шкале CVSS v.3.1. Компания Siemens еще не разработала специальных мер по устранению данной уязвимости.