BDU:2019-00515

Средний

BDU:2019-00515: Уязвимость программного обеспечения PROFINET DCP Siemens, связанная с недостаточной проверкой вводимых данных, позволяющая нарушителю вызвать отказ в обслуживании

CVSS v36.5

CVSS v26.1

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программного обеспечения PROFINET DCP Siemens связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании в локальном сегменте Ethernet с помощью специально подготовленных широковещательных пакетов PROFINET DCP

Что делать с BDU:2019-00515

Уязвимость среднего уровня (CVSS 6.5) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

6.5Средний

Пересчитать →

6.1

Только просмотр

AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HAV:A/AC:L/Au:N/C:N/I:N/A:C

CWE — тип уязвимости

CWE-20

CVE — международный идентификатор

CVE-2017-2680

CWE-20

Недостаточная проверка ввода

Программа не проверяет или неправильно проверяет входные данные. Базовая причина большинства инъекций и переполнений.

Как атакуют и что делать ▾

Сценарий атаки

Атакующий отправляет неожиданный ввод: отрицательные числа, спецсимволы, сверхдлинные строки — программа обрабатывает их без проверки.

Последствия

Базовая причина большинства инъекций, переполнений и логических ошибок.

Рекомендации

Валидируйте все входные данные по white-list, ограничивайте длину, тип и диапазон значений.

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (100)

Вендор	Название	Версия	Платформа
Siemens AG	SIMATIC CP 343-1 Std	до V3.1.3	Не указана
Siemens AG	SIMATIC CP 343-1 Lean	до V3.1.3	Не указана
Siemens AG	SIMATIC CP 343-1 Advanced	-	Не указана
Siemens AG	SIMATIC CP 443-1 Std	до V3.2.17	Не указана
Siemens AG	SIMATIC CP 443-1 Advanced	до V3.2.17	Не указана
Siemens AG	SIMATIC CP 443-1 OPC-UA	-	Не указана
Siemens AG	SIMATIC CP 1243-1	до V2.1.82	Не указана
Siemens AG	SIMATIC CP 1243-1 IRC	до V2.1.82	Не указана
Siemens AG	SIMATIC CP 1243-1 IEC	-	Не указана
Siemens AG	SIMATIC CP 1243-1 DNP3	-	Не указана
Siemens AG	SIMATIC CM 1542-1	до V2.0	Не указана
Siemens AG	SIMATIC CM 1542SP-1	до V1.0.15	Не указана
Siemens AG	SIMATIC CP 1542SP-1 IRC	до V1.0.15	Не указана
Siemens AG	SIMATIC CP 1543SP-1	до V1.0.15	Не указана
Siemens AG	SIMATIC CP 1543-1	до V2.1	Не указана
Siemens AG	SIMATIC RF650R	до V3.0	Не указана
Siemens AG	SIMATIC RF680R	до V3.0	Не указана
Siemens AG	SIMATIC RF685R	до V3.0	Не указана
Siemens AG	SIMATIC CP 1616	до V2.7	Не указана
Siemens AG	SIMATIC CP 1604	до V2.7	Не указана
Siemens AG	SIMATIC DK-16xx PN IO	до V2.7	Не указана
Siemens AG	SCALANCE X-200	до V5.2.2	Не указана
Siemens AG	SCALANCE X-200 IRT	до V5.4.0	Не указана
Siemens AG	SCALANCE X-300	до 4.1.0	Не указана
Siemens AG	SCALANCE X408	до V4.1.0	Не указана
Siemens AG	SCALANCE X414	до V3.10.2	Не указана
Siemens AG	SCALANCE XM400	до V6.1	Не указана
Siemens AG	SCALANCE XR500	до V6.1	Не указана
Siemens AG	SCALANCE W700	до V6.1	Не указана
Siemens AG	SCALANCE M-800	до V4.03	Не указана
Siemens AG	SCALANCE S615	до V4.03	Не указана
Siemens AG	Softnet PROFINET IO для Windows	до V14 SP1	Не указана
Siemens AG	IE/PB-Link	до V3.0	Не указана
Siemens AG	IE/AS-i Link PN IO	-	Не указана
Siemens AG	SIMATIC Teleservice Adapter Standard Modem	-	Не указана
Siemens AG	SIMATIC IE Basic	-	Не указана
Siemens AG	SIMATIC IE Advanced	-	Не указана
Siemens AG	SITOP PSU8600 PROFINET	до V1.2.0	Не указана
Siemens AG	SITOP UPS1600 PROFINET	до V2.2.0	Не указана
Siemens AG	SIMATIC ET 200AL	до V1.0.2	Не указана
Siemens AG	SIMATIC ET 200ecoPN	-	Не указана
Siemens AG	SIMATIC ET 200M	-	Не указана
Siemens AG	SIMATIC ET 200MP IM155-5 PN BA	до V4.0.1	Не указана
Siemens AG	SIMATIC ET 200MP IM155-5 PN ST	до V4.1	Не указана
Siemens AG	SIMATIC ET 200MP IM155-5 PN HF	до V4.2	Не указана
Siemens AG	SIMATIC ET 200pro	-	Не указана
Siemens AG	SIMATIC ET 200S	-	Не указана
Siemens AG	SIMATIC ET 200SP IM155-6 PN ST	до V4.1.0	Не указана
Siemens AG	SIMATIC ET 200SP IM155-6 PN HF	до 4.2.0	Не указана
Siemens AG	SIMATIC ET 200SP	-	Не указана

Показано 50 из 100

Рекомендации по устранению

Обновление программного обеспечения: Для SIMATIC CP 343-1 Std и SIMATIC CP 343-1 Lean до V3.1.3: https://support.industry.siemens.com/cs/ww/en/view/109756088 Для SIMATIC CP 443-1 Std до V3.2.17: https://support.industry.siemens.com/cs/ww/en/view/109745387 Для SIMATIC CP 443-1 Adv до V3.2.17: https://support.industry.siemens.com/cs/ww/en/view/109745388 Для SIMATIC CP 1243-1 и SIMATIC CP 1243-1 IRC до V2.1.82: https://support.industry.siemens.com/cs/ww/en/view/109757489 Для SIMATIC CM 1542-1 до V2.0: https://support.industry.siemens.com/cs/ww/en/view/109744924 Для SIMATIC CM 1542SP-1 и SIMATIC CP 1543SP-1 до V1.0.15: https://support.industry.siemens.com/cs/ww/en/view/109749255 Для SIMATIC CP 1543-1 до V2.1: https://support.industry.siemens.com/cs/ww/en/view/109747253 Для SIMATIC RF650R, SIMATIC RF680R и SIMATIC RF685R до V3.0: https://support.industry.siemens.com/cs/ww/en/view/109743740 Для SIMATIC CP 1616, SIMATIC CP 1604 и SIMATIC DK-16xx PN IO до V2.8.0: https://support.industry.siemens.com/cs/ww/en/view/109762689 Для SCALANCE X-200 до V5.2.2: https://support.industry.siemens.com/cs/ww/en/view/109752018 Для SCALANCE X-200IRT до V5.4.0: https://support.industry.siemens.com/cs/ww/en/view/109755950 Для SCALANCE X-300 и SCALANCE X408 до V4.1.2: https://support.industry.siemens.com/cs/ww/en/view/109753720 Для SCALANCE X414 до V3.10.2: https://support.industry.siemens.com/cs/ww/en/view/109747276 Для SCALANCE XM400 до V6.2: https://support.industry.siemens.com/cs/ww/en/view/109761424 Для SCALANCE XR500 до V6.2: https://support.industry.siemens.com/cs/ww/en/view/109761425 Для SCALANCE W700 до V6.3.1: https://support.industry.siemens.com/cs/ww/en/view/109760470 Для SCALANCE M-800 и SCALANCE S615 до V5.00: https://support.industry.siemens.com/cs/ww/en/view/109757544 Для Softnet PROFINET IO (для компьютеров с системой Windows) до V14 SP1: https://support.industry.siemens.com/cs/ww/en/view/109747482 Для IE/PB-Link до V3.0: https://support.industry.siemens.com/cs/ww/en/view/109744504 Для SITOP PSU8600 PROFINET до V1.2.0: https://support.industry.siemens.com/cs/ww/en/view/102295547 Для SITOP UPS1600 PROFINET до V2.2.0: https://support.industry.siemens.com/cs/ww/en/view/79207181 Для SIMATIC ET 200AL до V1.0.2: https://support.industry.siemens.com/cs/ww/en/view/109479281 Для SIMATIC ET 200MP IM155-5 PN BA до V4.0.1 или новее: https://support.industry.siemens.com/cs/ww/en/view/109754281 Для SIMATIC ET 200MP IM155-5 PN ST до V4.1: https://support.industry.siemens.com/cs/ww/en/view/78647504 Для SIMATIC ET 200MP IM155-5 PN HF до V4.2: https://support.industry.siemens.com/cs/us/en/view/93012181 Для SIMATIC ET 200SP IM155-6 PN ST до V4.1.0: https://support.industry.siemens.com/cs/de/de/view/78648144 Для SIMATIC ET 200SP IM155-6 PN HF до V4.2.0: https://support.industry.siemens.com/cs/ww/en/view/85624387 Для SIMATIC PN/PN Coupler до V4.0: https://support.industry.siemens.com/cs/de/en/view/109749637 Для Development/Evaluation Kit DK Standard Ethernet Controller до V4.1.1 Patch04 или новее: https://support.industry.siemens.com/cs/ww/en/view/109755160 Для Development/Evaluation Kit EK-ERTEC 200P до V4.4.0 Patch01 или новее: https://support.industry.siemens.com/cs/ww/en/view/109750012 Для Development/Evaluation Kit EK-ERTEC 200 до V4.2.1 Patch03 или новее: https://support.industry.siemens.com/cs/ww/en/view/109755151 Для SIMATIC S7-200 SMART связаться с технической поддержкой для обновления до 2.3: https://w3.siemens.com/aspa_app/ Для SIMATIC S7-300 incl. F и Т до V3.X.14: https://support.industry.siemens.com/cs/ww/en/ps/13752/dl Для SIMATIC S7-400 PN/DP включая F до V6.0.6: https://support.industry.siemens.com/cs/de/en/view/109474874 Для SIMATIC S7-400-H до V6.0.7: https://support.industry.siemens.com/cs/document/109474550 Для SIMATIC S7-400 PN/DP V7 включая F до V7.0.2: https://support.industry.siemens.com/cs/ww/en/view/109752685 Для SIMATIC S7-410 до V8.2: https://support.industry.siemens.com/cs/ww/en/view/109476571 Для SIMATIC S7-1200 включая F до V4.2.1: https://support.industry.siemens.com/cs/ww/en/view/109741461 Для SIMATIC S7-1500 включая F, Т и TF до V2.1: https://support.industry.siemens.com/cs/ww/en/view/109478459 Для SIMATIC S7-1500 Software Controller включая F до V2.1: https://support.industry.siemens.com/cs/ww/en/view/109478528 Для SIRIUS ACT 3SU1 interface module PROFINET до V1.1.0: https://support.industry.siemens.com/cs/document/109753683 Для SIMOCODE pro V PROFINET до V2.0.0: https://support.industry.siemens.com/cs/ww/en/view/109749989 Для SINAMICS DCM w. PN до V1.4 SP1 HF5: https://support.industry.siemens.com/cs/ww/en/view/44029688 Для SINAMICS DCP w. PN до V1.2 HF 1: ttps://support.industry.siemens.com/cs/ww/en/view/109474935 Для SINAMICS G110M w. PN до V4.7 SP6 HF3: https://support.industry.siemens.com/cs/ww/en/view/109482659 Для SINAMICS G120(C/P/D) w. PN до V4.7 SP6 HF3: https://support.industry.siemens.com/cs/ww/en/view/109482659 Для SINAMICS G130 w. PN, SINAMICS S150 V4.7 w. PN и SINAMICS G150 w. PN до V4.7 HF27: https://support.industry.siemens.com/cs/ww/en/view/103433117 Для SINAMICS G150 w. PN и SINAMICS S150 w. PN до V4.8 HF4: https://support.industry.siemens.com/cs/ww/en/view/109742040 Для SINAMICS S110 w. PN до V4.4 SP3 HF5: https://support.industry.siemens.com/cs/de/en/view/109474320 Для SINAMICS S120 w. PN и SINAMICS S120 для всех V4.7 SP1 w. PN до V5.1 SP1: https://support.industry.siemens.com/cs/document/109758423 Для SINAMICS S120 w. PN до V4.8 HF4: https://support.industry.siemens.com/cs/de/en/view/109740193 Для SINAMICS V90 w. PN до V1.01: https://support.industry.siemens.com/cs/document/109746210 Для SIMOTION до V4.5 HF1: https://support.industry.siemens.com/cs/ww/en/view/109742328 Для SINUMERIK 828D до V4.5 SP6 HF2: Обновление можно получить в представительстве Siemens Для SINUMERIK 828D до V4.7 SP4 HF1: Обновление можно получить в представительстве Siemens Для SINUMERIK 840D sl до V4.5 SP6 HF2: Обновление можно получить в представительстве Siemens Для SINUMERIK 840D sl до V4.7 SP4 HF1: Обновление можно получить в представительстве Siemens Для SIMATIC HMI Comfort Panels, HMI Multi Panels и HMI Mobile Panels до V15.1: https://support.industry.siemens.com/cs/us/en/view/109761576 Обновление программного обеспечения: Для Extension Unit 12" PROFINET, Extension Unit 15" PROFINET, Extension Unit 19" PROFINET и Extension Unit 22" PROFINET: https://support.industry.siemens.com/cs/de/en/view/109750351 Для SIMATIC CP 1242-7 GPRS, SIMATIC CP 1243-7 LTE/US и SIMATIC CP 1243-8: https://support.industry.siemens.com/cs/ww/en/view/109749515 Для SIMATIC CP 1626: https://support.industry.siemens.com/cs/ww/en/view/109763307 Компенсирующие меры: Применение концепции защиты клеток Использование VPN для защиты сетевого взаимодействия между ячейками

Источники (1)

https://ics-cert.us-cert.gov/advisories/ICSA-17-129-02 https://cert-portal.sieme…

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 6.5

Уточните SLA под вашу среду

Базовый балл 6.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации2.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2017-05-08

Опубликована

2019-02-07

Обновлена

2024-11-28

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2017-2680 MITRE: CWE-20 Каталог CPE (ФСТЭК)

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостям Модуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0

Детали уязвимости BDU:2019-00515