JVNVU#91685542
Siemens 製品に対するアップデート（2021年1月）

Siemens から各製品向けのアップデートが公開されました。

影響を受ける製品やバージョンは環境により異なります。詳細については各アドバイザリを参照してください。

SSA-139628: Vulnerabilities in Web Server for Scalance X Products

• SCALANCE X-200 switch family (SIPLUS NET variants を含む) V5.2.5 より前のバージョン
• SCALANCE X-200IRT switch family (SIPLUS NET variants を含む) V5.5.0 より前のバージョン
• SCALANCE X-300 switch family (X408 および SIPLUS NET variants を含む) V4.1.0 より前のバージョン

• SCALANCE X-200 switch family (SIPLUS NET variants を含む) V5.2.5 より前のバージョン
• SCALANCE X-200IRT switch family (SIPLUS NET variants を含む) V5.5.0 より前のバージョン
• SCALANCE X-200RNA switch family V3.2.7 より前のバージョン
• SCALANCE X-300 switch family (X408 および SIPLUS NET variants を含む) V4.1.0 より前のバージョン

• JT2Go V13.1.0 より前のバージョン
• Teamcenter Visualization V13.1.0 より前のバージョン

• Solid Edge SE2020MP12 より前のバージョン
• Solid Edge SE2021MP2 より前のバージョン

Siemens から各製品向けのアップデートが公開されました。

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

遠隔の第三者による機器の再起動

• SSA-139628
  • CVE-2020-15799

• SSA-139628
  • CVE-2020-15800

• SSA-139628
  • CVE-2020-25226

• SSA-274900
  • CVE-2020-28391
  • CVE-2020-28395

• SSA-622830
  • CVE-2020-26980
  • CVE-2020-26982
  • CVE-2020-26983
  • CVE-2020-26984
  • CVE-2020-26985
  • CVE-2020-26986
  • CVE-2020-26987
  • CVE-2020-26988
  • CVE-2020-26992
  • CVE-2020-26993
  • CVE-2020-26994
  • CVE-2020-26995
  • CVE-2020-26996
• SSA-979834
  • CVE-2020-28381
  • CVE-2020-28382
  • CVE-2020-28384
  • CVE-2020-28386

• SSA-622830
  • CVE-2020-26981

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• CVE-2020-15799、CVE-2020-15800、CVE-2020-25226
  • Scalance X switch のWebサーバへの通信 (ポート 443/tcp) をファイアウォールで制限する
• CVE-2020-28391、CVE-2020-28395
  • デフォルトで機器に搭載されている自己署名の X.509 証明書を信頼できる独自の証明書に更新する
  • デフォルトでハードコードされている X.509 証明書をファームウェアイメージから更新する
• CVE-2020-26980、CVE-2020-26981、CVE-2020-26982、CVE-2020-26983、CVE-2020-26984、CVE-2020-26985、CVE-2020-26986、CVE-2020-26987、CVE-2020-26988、CVE-2020-26992、CVE-2020-26993、CVE-2020-26994、CVE-2020-26995、CVE-2020-26996
  • JT2Go または Teamcenter Visualisation がインストールされたシステムで、信頼できないファイルを開かない
• CVE-2020-28381、CVE-2020-28382、CVE-2020-28384、CVE-2020-28386
  • Solid Edge で信頼できない情報源から取得したファイルを開かない