JPCERTコーディネーションセンター(Japan Computer Emergency Response Team Coordination Center:JPCERT/CC)は4月16日、「JVNVU#95499848: Siemens 製品に複数の脆弱性」において、シーメンスの複数のプロダクトに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、サービス運用妨害攻撃、遠隔からのデバッグ機能の利用、第三者によるIPアドレスの変更、クロスサイトスクリプティングによる情報改竄や窃取などを実行される危険性がある。

脆弱性に関する情報は次のページにまとまっている。

SSA-377115: SegmentSmack in Linux IP-Stack based Industrial Devices

SSA-593272: SegmentSmack in Interniche IP-Stack based Industrial Devices

SSA-102233: SegmentSmack in VxWorks-based Industrial Devices

SSA-359303: Debug Port in TIM 3V-IE and 4R-IE Family Devices

SSA-162506: DHCP Client Vulnerability in SIMOTICS CONNECT 400, Desigo PXC/PXM, APOGEE MEC/MBC/PXC, APOGEE PXC Series, and TALON TC Series

SSA-886514: Persistent XSS Vulnerabilities in the Web Interface of Climatix POL908 and POL909 Modules

脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。

APOGEE MEC/MBC/PXC (P2) 2.8.2 より前のバージョン

APOGEE PCX Series (P2) 2.8.2 およびそれ以降のバージョン

APOGEE PXC Series (BACnet) 3.0 およびそれ以降のバージョン

Climatix POL908 (BACnet/IP module) すべてのバージョン

Climatix POL909 (AWM module) すべてのバージョン

Desigo PXC (Power PC) 2.3x およびそれ以降のバージョン

Desigo PXM20 (Power PC) 2.3x およびそれ以降のバージョン

IE/PB-Link v3 すべてのバージョン

KTK ATE530S すべてのバージョン

RUGGEDCOM RM1224 6.1 より前のバージョン

RUGGEDCOM ROX II 2.13.3 より前のバージョン

SCALANCE M-800 family 6.1 より前のバージョン

SCALANCE S615 6.1 より前のバージョン

SCALANCE SC-600 2.0 より前のバージョン

SCALANCE W1700 IEEE 802.11ac 2.0 より前のバージョン

SCALANCE W700 IEEE 802.11a/b/g/n 6.4 より前のバージョン

SCALANCE X-200 switch family (SIPLUS NET variants を含む) すべてのバージョン

SCALANCE X-200IRT switch family (SIPLUS NET variants を含む) すべてのバージョン

SCALANCE X-300 switch family (X408 and SIPLUS NET variants を含む) すべてのバージョン

SIDOOR ATD430W すべてのバージョン

SIDOOR ATE530S COATED すべてのバージョン

SIDOOR ATE531S すべてのバージョン

SIMATIC CP 1242-7 3.2 より前のバージョン

SIMATIC CP 1243-1 (SIPLUS NET variants を含む) 3.2 より前のバージョン

SIMATIC CP 1243-7 LTE EU 3.2 より前のバージョン

SIMATIC CP 1243-7 LTE US 3.2 より前のバージョン

SIMATIC CP 1243-8 IRC 3.2 より前のバージョン

SIMATIC CP 1542SP-1 2.1 より前のバージョン

SIMATIC CP 1542SP-1 IRC (SIPLUS NET variants を含む) 2.1 より前のバージョン

SIMATIC CP 1543-1 (SIPLUS NET variants を含む) 2.2 より前のバージョン

SIMATIC CP 1543SP-1 (SIPLUS NET variants を含む) 2.1 より前のバージョン

SIMATIC CP 443-1 (SIPLUS NET variants を含む) すべてのバージョン

SIMATIC CP 443-1 Advanced (SIPLUS NET variants を含む) すべてのバージョン

SIMATIC ET 200SP Open Controller CPU 1515SP PC (SIPLUS variants を含む) 2.0 より前のバージョン

SIMATIC ET 200SP Open Controller CPU 1515SP PC2 (SIPLUS variants を含む) 2.0 より前のバージョン

SIMATIC ET200MP IM155-5 PN HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン

SIMATIC ET200SP IM155-6 MF HF すべてのバージョン

SIMATIC ET200SP IM155-6 PN HA (SIPLUS variants を含む) すべてのバージョン

SIMATIC ET200SP IM155-6 PN HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン

SIMATIC ET200SP IM155-6 PN/2 HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン

SIMATIC ET200SP IM155-6 PN/3 HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン

SIMATIC MICRO-DRIVE PDC すべてのバージョン

SIMATIC PN/PN Coupler (SIPLUS NET variants を含む) 4.2 およびそれ以降のバージョン

SIMATIC RF180C すべてのバージョン

SIMATIC RF182C すべてのバージョン

SIMATIC RF185C すべてのバージョン

SIMATIC RF186C すべてのバージョン

SIMATIC RF186CI すべてのバージョン

SIMATIC RF188C すべてのバージョン

SIMATIC RF188CI すべてのバージョン

SIMATIC S7-1500 CPU family (related ET200 CPUs and SIPLUS variants を含む) 2.0 より前のバージョン

SIMATIC S7-1500 Software Controller 2.0 より前のバージョン

SIMATIC S7-300 CPU family (related ET200 CPUs and SIPLUS variants を含む) すべてのバージョン

SIMATIC S7-400 PN/DP V7 and below CPU family (SIPLUS variants を含む) すべてのバージョン

SIMATIC S7-410 CPU family (SIPLUS variants を含む) すべてのバージョン

SIMATIC TDC CP51M1 すべてのバージョン

SIMATIC TDC CPU555 すべてのバージョン

SIMATIC WinAC RTX (F) 2010 すべてのバージョン

SIMOTICS CONNECT 400 0.3.0.95 およびそれ以前のバージョン

SINAMICS S/G Control Unit w. PROFINET すべてのバージョン

SINEMA Remote Connect Server 1.1 以降から 2.0.1 より前のバージョン

TALON TC Series (BACnet) 3.0 およびそれ以降のバージョン

TIM 3V-IE (SIPLUS NET variants を含む) v2.8 より前のバージョン

TIM 3V-IE Advanced (SIPLUS NET variants を含む) v2.8 より前のバージョン

TIM 3V-IE DNP3 (SIPLUS NET variants を含む) v3.3 より前のバージョン

TIM 4R-IE (SIPLUS NET variants を含む) v2.8 より前のバージョン

TIM 4R-IE DNP3 (SIPLUS NET variants を含む) v3.3 より前のバージョン

SSA-377115: SegmentSmack in Linux IP-Stack based Industrial Devices

JPCERT/CCは必要に応じてアップデートを適用することを推奨している。ただし、本稿執筆時点では、CVE-2019-19301に関する修正アップデートは提供されていない。ワークアラウンドを適用するなどして脆弱性の影響を軽減する措置をとることが望まれる。