КиберосноваSGRC
BDU:2019-04212
Средний

BDU:2019-04212: Уязвимость программного обеспечения Siemens, связанная с неправильным контролем доступа, позволяющая нарушителю повысить свои привилегии

CVSS v36.4
CVSS v26.9
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2019-04212

Описание

Уязвимость программного обеспечения Siemens связана с неправильным контролем доступа. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии, в результате использования путей без кавычек для продуктов не установленых по пути по умолчанию ("C:\Program Files\*")

Что делать с BDU:2019-04212

Уязвимость среднего уровня (CVSS 6.4) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
6.4Средний
Пересчитать →
v2
6.9
Только просмотр
AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:HAV:L/AC:M/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-254
CWE-269
CWE-284

CVE — международный идентификатор

CVE-2016-7165

Тактики и техники

Нарушение авторизации

Уязвимое ПО (28)

ВендорНазваниеВерсияПлатформа
Siemens AGSIMATIC PCS 7до 7.1 включительноНе указана
Siemens AGSIMATIC PCS 78.0Не указана
Siemens AGSIMATIC PCS 78.1Не указана
Siemens AGSIMATIC STEP 7 (TIA Portal)от 13 до 13 SP2Не указана
Siemens AGSIMATIC WinCC (TIA Portal) Advancedдо V14Не указана
Siemens AGSIMATIC WinCC (TIA Portal) Basicдо V14Не указана
Siemens AGSIMATIC WinCC (TIA Portal) Comfortдо V14Не указана
Siemens AGSIMATIC WinCC (TIA Portal) Professionalот V13 до V13 SP2Не указана
Siemens AGSIMATIC WinCC (TIA Portal) Professionalот V14 до V14 SP1Не указана
Siemens AGSIMATIC WinCC Runtime Professionalот V13 до V13 SP2Не указана
Siemens AGSIMATIC WinCC Runtime Professionalот V14 до V14 SP1Не указана
Siemens AGSIMATIC WinCCот 7.0 SP2 до 7.0 SP2 Upd 12Не указана
Siemens AGSIMATIC WinCCот 7.0 SP3 до 7.0 SP3 Upd 8Не указана
Siemens AGSIMATIC WinCCот 7.2 до 7.2 Upd 14Не указана
Siemens AGSIMATIC WinCCот 7.3 до 7.3 Upd 11Не указана
Siemens AGSIMATIC WinCCот 7.4 до 7.4 SP1Не указана
Siemens AGSINEMA Remote Connectдо 1.0 SP3Не указана
Siemens AGSINEMA Serverдо 13 SP2Не указана
Siemens AGSOFTNET Security ClientV5.0Не указана
Siemens AGSecurity Configuration Toolдо V4.3 HF1Не указана
Siemens AGTeleControl Server Basicдо V3.0 SP2Не указана
Siemens AGSimatic IT Production Suiteдо V7.0 SP1 HFX 2Не указана
Siemens AGSimatic NET PC-Softwareдо V14Не указана
Siemens AGSIMATIC PCS 7от V8.2 до V8.2 SP1Не указана
Siemens AGSIMATIC STEP 7 (TIA Portal)от V5.0 до V5.5 SP4 HF11Не указана
Siemens AGSIMATIC WinAC RTX 2010 incl. Fот SP2 до SP3Не указана
Siemens AGPrimary Setup Tool (PST)до V4.2 HF1Не указана
Siemens AGSIMITот V9.0 до V9.0 SP1Не указана

Рекомендации по устранению

Обновление программного обеспечения : Для SIMATIC WinCC (TIA Portal) Basic, Comfort, Advanced до V14: https://support.industry.siemens.com/cs/ww/en/view/109739719 Для SIMATIC WinCC (TIA Portal) Professional до V13 SP2: https://support.industry.siemens.com/cs/ww/en/view/109745155 Для SIMATIC WinCC (TIA Portal) Professional до V14 SP1: https://support.industry.siemens.com/cs/ww/en/view/109746074 Для SIMATIC WinCC Runtime Professional до V13 SP2: https://support.industry.siemens.com/cs/ww/en/view/109746075 Для SIMATIC WinCC Runtime Professional до V14 SP1: https://support.industry.siemens.com/cs/ww/en/view/109746276 Для SIMATIC WinCC V7.0 SP2 до V7.0 SP2 Upd 12: https://support.industry.siemens.com/cs/ww/en/view/109741519 Для SIMATIC WinCC до V7.0 SP3 Upd 8: https://support.industry.siemens.com/cs/ww/en/view/109741127 Для SIMATIC WinCC до V7.2 Upd 14: https://support.industry.siemens.com/cs/ww/en/view/109745028 Для SIMATIC WinCC до V7.3 Upd 11: https://support.industry.siemens.com/cs/ww/en/view/109742642 Для SIMATIC WinCC до V7.4 SP1: https://support.industry.siemens.com/cs/ww/en/view/109746038 Для Primary Setup Tool (PST) до V4.2 HF1: https://support.industry.siemens.com/cs/ww/en/view/19440762 Для SIMATIC IT Production Suite до V7.0 SP1 HFX 2: https://mes-simaticit.siemens.com/tss/html/hfc.html Для SIMATIC NET PC-Software до V14: https://support.industry.siemens.com/cs/ww/en/view/109741996 Для SIMATIC PCS 7 V7.1, V8.0,V8.1 и SOFTNET Security Client V5.0 до SIMATIC WinCC V7.3 Upd 11 (Временное исправление): https://support.industry.siemens.com/cs/ww/en/view/109740929 Для SIMIT V9.0 до V9.0 SP1: https://support.industry.siemens.com/cs/ww/en/view/109743963 Для SINEMA Remote Connect Client до V1.0 SP3: https://support.industry.siemens.com/cs/ww/en/view/109754280 Для SINEMA Server до V13 SP2: https://support.industry.siemens.com/cs/ww/en/view/109741833 Для Security Configuration Tool (SCT) до V4.3 HF1: https://support.industry.siemens.com/cs/ww/en/view/109744041 Для TeleControl Server Basic до V3.0 SP2: https://support.industry.siemens.com/cs/ww/en/view/109483119

Источники (1)

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 6.4

Уточните SLA под вашу среду

Базовый балл 6.4 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации0.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2018-09-11

Опубликована

2019-11-25

Обновлена

2019-11-25

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2016-7165 MITRE: CWE-254 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2024-04186
Средний
6.5

Уязвимость сетевого программного обеспечения Siemens, связанная с чтением за границами памяти, позволяющая нарушителю вы

BDU:2022-04930
Средний
6.7

Уязвимость микропрограммного обеспечения программируемых логических контроллеров Siemens STEP 7, систем управления произ

BDU:2022-04936
Средний
6.5

Уязвимость микропрограммного обеспечения программируемых логических контроллеров Siemens STEP 7, систем управления произ

BDU:2022-04944
Средний
5.3

Уязвимость микропрограммного обеспечения программируемых логических контроллеров Siemens STEP 7, систем управления произ

BDU:2019-00120
Высокий
7.7

Уязвимость в программном обеспечении Simatic IT, связанная с недостатками механизмов аутентификации, позволяющая нарушит

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0