Numéro : AV20-301
Date : 12 août 2020
Le 11 août 2020, Schneider Electric a publié un avis de sécurité concernant des vulnérabilités aux produits suivants :
- Pilote Modbus Série de Schneider Electric (64 bits) – toutes les versions précédant la V3.20 IE 30.
- Pilote Modbus Série de Schneider Electric (32 bits) – toutes les versions précédant la V2.20 IE 30.
- Suite de pilotes Modbus de Schneider Electric – toutes les versions précédant la V14.15.0.0.
Ces pilotes sont utilisés avec plusieurs produits, dont, sans s’y limiter, les suivants :
- Ecostruxure Control Expert (anciennement connu sous le nom Unity Pro)
- Programme de chargement Unity
- EcoStruxure Process Expert (anciennement connu sous le nom Hybrid DCS)
- Serveur Expert EcoStruxure OPC UA
- Serveur OPC Factory
- Logiciel Advantys Configuration
- Modbus Communications DTM (dispositif terrain)
- SoMove
- Ecostruxure Machine Expert (anciennement connu sous le nom SoMachine)
- Ecostruxure Machine Expert Basic
- Harmony® eXLhoist
- EcoStruxure Power Commission
- SpaceLYnk & Wiser pour KNX (anciennement connu sous le nom) de Schneider Electric – toutes les versions précédant la V2.5.1
- Contrôleur logique Modicon M218 de Schneider Electric – toutes les versions précédant la V5.0.0.7
- Logiciel en ligne APC Easy UPS – toutes les versions précédant la V2.0
- Logiciel PowerChute Édition d’entreprise – toutes les versions précédant la V9.0.x
- Stations de base Harmony® eXLhoist de Schneider Electric – toutes les versions précédant la V 04.00.02.00
- Logiciel SoMove – toutes les versions précédant la V2.8.1
Des auteurs malveillants qui réussiraient à exploiter ces vulnérabilités pourraient élever les privilèges locaux, effectuer des attaques par force brute des mots de passe, causer des dénis de service, téléverser des fichiers exécutables et exécuter du code à distance.
Le Centre pour la cybersécurité recommande aux utilisateurs et aux administrateurs de passer en revue les liens ci-dessous et d’appliquer les mesures d’atténuation suggérées et les mises à jour nécessaires du fabricant.
Pilote Modbus Série de Schneider Electric
https://www.se.com/ww/en/download/document/SEVD-2020-224-01/(en anglais seulement)
SpaceLYnk & Wiser pour KNX (anciennement connu sous le nom homeLYnk) de Schneider Electric
https://www.se.com/ww/en/download/document/SEVD-2020-224-02/(en anglais seulement)
Contrôleur logique Modicon M218 de Schneider Electric
https://www.se.com/ww/en/download/document/SEVD-2020-224-03/(en anglais seulement)
Logiciel en ligne APC Easy UPS
https://www.se.com/ww/en/download/document/SEVD-2020-224-04/(en anglais seulement)
PowerChute Édition d’entreprise
https://www.se.com/ww/en/download/document/SEVD-2020-224-05/(en anglais seulement)
Stations de base Harmony® eXLhoist de Schneider Electric
https://www.se.com/ww/en/download/document/SEVD-2020-224-06/(en anglais seulement)
Logiciel SoMove de Schneider Electric
https://www.se.com/ww/en/download/document/SEVD-2020-224-07/(en anglais seulement)
Note aux lecteurs
Le Centre canadien pour la cybersécurité (ou Centre pour la cybersécurité) mène ses activités sous l’égide du Centre de la sécurité des télécommunications. Il constitue l’autorité canadienne en matière de cybersécurité et dirige les interventions du gouvernement lors d’événements liés à la cybersécurité. Le personnel du Centre pour la cybersécurité agit à titre d’équipe nationale d’intervention en cas d’incident lié à la sécurité informatique et travaille étroitement avec les ministères, les propriétaires et exploitants d’infrastructures essentielles, les entreprises canadiennes et des partenaires internationaux pour intervenir en cas d’incident de cybersécurité ou pour atténuer les conséquences en découlant. Ce faisant, il offre conseils et soutien d’expert et coordonne les communications d’information et l’intervention en cas d’incident. Le Centre pour la cybersécurité est à l’écoute des entités externes et favorise les partenariats visant à créer un cyberespace canadien fort et résilient.