Schneider Electric CPCERT Seite 2

In ProLeiT Plant iT/Brewmaxx von Schneider Electric wurden mehrere Schwachstellen in Drittanbieter-Komponenten bekannt. Laut CSAF-Advisory ist 1 Produkt betroffen, für 1 Produkt steht ein Fix bereit. Ausnutzungswahrscheinlichkeit (EPSS): 86.8 %.

Prozessoren mit spekulativer Ausführung können durch spekulative Lesezugriffe vor Abschluss ausstehender Schreibvorgänge unbefugte Informationsoffenlegungen ermöglichen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 60.6 %.

Auf Modicon Networking Managed Switches von Schneider Electric besteht eine Schwachstelle in Drittanbieter-Komponenten. 3 Produkt(e) betroffen, kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 14.9 %.

In ProLeiT Plant iT/Brewmaxx von Schneider Electric wurden mehrere Schwachstellen in Drittanbieter-Komponenten bekannt. 1 Produkt ist betroffen, 1 Fix ist verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 3.7 %.

Für Schneider Electric EcoStruxure Power Operation wurde eine Sicherheitslücke (CVE-2023-50447) gemeldet. 2 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

Fill-Buffer auf bestimmten Mikroprozessoren mit spekulativer Ausführung können es einem authentifizierten Benutzer ermöglichen, über einen Seitenkanal Informationen offenzulegen. Schneider Electric EcoStruxure Foxboro DCS ist betroffen: 3 Produkt(e) betroffen, 3 mit Fix. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %.

Für Schneider Electric EcoStruxure Power Operation wurde eine Sicherheitslücke (CVE-2022-45198) gemeldet. 2 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %.

Für Schneider Electric EcoStruxure Power Operation wurde eine Sicherheitslücke (CVE-2023-35945) gemeldet. 2 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %.

In ProLeiT Plant iT/Brewmaxx von Schneider Electric wurden mehrere Schwachstellen in Drittanbieter-Komponenten bekannt. 1 Produkt ist betroffen, 1 Fix ist verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

Für Schneider Electric EcoStruxure Power Operation wurde eine Sicherheitslücke (CVE-2024-28219) gemeldet. 2 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

In ProLeiT Plant iT/Brewmaxx von Schneider Electric wurden mehrere Schwachstellen in Drittanbieter-Komponenten bekannt. 1 Produkt ist betroffen, 1 Fix ist verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

In EcoStruxure IT Data Center Expert von Schneider Electric wurde eine Schwachstelle durch fest kodierte Anmeldedaten (Use of Hard-coded Credentials) gemeldet. 1 Produkt betroffen, 1 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

In Schneider Electric Modicon PLCs (u. a. Modicon M221 und M241) besteht eine Schwachstelle durch einen vorhersagbaren Wertebereich aus vorherigen Werten, betroffen sind Firmware-Versionen vor Version 1.5.0.0. Dies kann von einem Angreifer über das Netzwerk missbraucht werden. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Firmware gemäss Herstellerangaben auf die korrigierte Version aktualisieren.

In mehreren Produkten von Schneider Electric wurde eine Schwachstelle durch unsachgemässe Ressourcenfreigabe (Improper Resource Shutdown or Release) gemeldet. 3 Produkt(e) betroffen, 3 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Eine erreichbare Assertion (CWE-617) erlaubt es einem authentifizierten Angreifer, durch eine speziell gestaltete Anfrage einen Denial-of-Service-Zustand auszulösen und die Systemverfügbarkeit zu beeinträchtigen. Laut CSAF/VEX-Advisory von Schneider Electric zu PowerLogic P7 ist 1 Produkt als betroffen ausgewiesen, davon 1 mit verfügbarem Fix. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: gemäss Schneider-Electric-Advisory aktualisieren.

Mehrere Produkte von Schneider Electric sind von einer unzureichenden Prüfung auf ungewöhnliche oder Ausnahmebedingungen (Improper Check for Unusual or Exceptional Conditions) betroffen. Der Schweregrad wird als Mittel eingestuft. Laut CSAF/VEX von Schneider Electric CPCERT sind 4 Produkt(e) betroffen, 3 mit Fix.

In mehreren Schneider Electric Zigbee-Produkten wurde eine Sicherheitslücke (CVE-2024-10106) gemeldet. 34 Produkt(e) betroffen, noch kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In EcoStruxure Power Build Rapsody von Schneider Electric wurden mehrere Sicherheitslücken gemeldet. 7 Produkt(e) betroffen, 7 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im EcoStruxure™ Foxboro DCS von Schneider Electric besteht eine Schwachstelle durch die Deserialisierung nicht vertrauenswürdiger Daten (Deserialization of Untrusted Data). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Laut CSAF-Meldung ist 1 Produkt betroffen, 1 mit Fix.

Mehrere Produkte von Schneider Electric weisen eine Schwachstelle durch unzureichende Entropie (Insufficient Entropy) auf. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Laut Hersteller-CSAF sind 30 Produkt(e) betroffen, 22 mit Fix.

Eine Schwachstelle vom Typ Path Traversal (unzureichende Einschränkung eines Pfadnamens auf ein erlaubtes Verzeichnis) betrifft Remote Terminal Unit und Controller Produkte von Schneider Electric. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Laut CSAF/VEX-Angaben sind 2 Produkte betroffen, davon 2 mit Fix.

In Zigbee-Produkten von Schneider Electric wurden mehrere Sicherheitslücken gemeldet. 34 Produkt(e) betroffen, kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im Schneider Electric EcoStruxure Panel Server besteht eine Schwachstelle durch die Initialisierung einer Ressource mit einer unsicheren Voreinstellung (Initialization of a Resource with an Insecure Default). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Laut Hersteller-CSAF sind 5 Produkt(e) betroffen, 5 mit Fix.

Für Schneider Electric ConneXium Network Manager Software wurde eine Sicherheitslücke gemeldet. 1 Produkt ist betroffen, ein Fix steht noch nicht bereit. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Schneider Electric meldet mehrere Schwachstellen in PowerChute™ Serial Shutdown. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Laut CSAF/VEX ist 1 Produkt betroffen, 3 mit Fix.

In der Easergy MiCOM Px40 Series von Schneider Electric besteht eine Schwachstelle durch fest codierte Anmeldedaten (Use of Hard-coded Credentials). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Laut CSAF/VEX-Angaben sind 13 Produkt(e) betroffen, 0 mit Fix.

In Zigbee-Produkten von Schneider Electric wurden mehrere Sicherheitslücken gemeldet. 34 Produkt(e) betroffen, kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Schneider Electric meldet mehrere Schwachstellen in PowerChute Serial Shutdown. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut CSAF/VEX-Daten ist 1 Produkt betroffen, 3 mit Fix.

In Zigbee-Produkten von Schneider Electric wurden mehrere Sicherheitslücken gemeldet. 34 Produkt(e) betroffen, kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Zigbee-Produkten von Schneider Electric wurden mehrere Sicherheitslücken gemeldet. 34 Produkt(e) betroffen, kein Fix verfügbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Schneider Electric EcoStruxure IT Data Center Expert besteht eine XML-External-Entity-Schwachstelle (CWE-611), die zur Offenlegung serverseitiger Dateiinhalte führen kann, wenn ein Angreifer über ein Data-Center-Expert-Benutzerkonto verfügt. Laut CSAF/VEX-Advisory ist 1 Produkt betroffen, für das ein Fix vorliegt. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: betroffene Software gemäss Schneider-Electric-Advisory aktualisieren.

In Schneider Electric PowerChute Serial Shutdown bestehen mehrere Schwachstellen. Laut CSAF/VEX-Daten ist 1 Produkt betroffen, 3 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Electric Postgres Sync in Versionen unterhalb von 1.6.10 enthält eine Schwachstelle zur Informationsoffenlegung: Angreifer können die Werte ausgeschlossener Spalten ableiten, indem sie Teilmengen-WHERE-Bedingungen gezielt konstruieren. CVSS-Basiswert: 4.3 (Mittel), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 1.6.10 oder neuer aktualisieren. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Schneider Electric EcoStruxure™ Automation Expert besteht eine Code-Injection-Schwachstelle (Improper Control of Generation of Code). Laut Hersteller-Advisory (CSAF) ist 1 Produkt betroffen, 1 davon mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In mehreren Produkten von Schneider Electric wurde eine Schwachstelle durch unsachgemässe Neutralisierung (Improper Neutralization) gemeldet. 4 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Schneider Electric meldet mehrere Schwachstellen in PowerChute Serial Shutdown. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Hersteller-VEX ist 1 Produkt betroffen, 3 mit Fix.

Schneider Electric meldet im Rahmen seines CSAF-Advisories mehrere Schwachstellen in PowerChute Serial Shutdown. Der Schweregrad wird mit Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut Hersteller-Advisory ist 1 Produkt betroffen, 3 mit Fix.

In mehreren Produkten von Schneider Electric wurde eine Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten (Deserialization of Untrusted Data) gemeldet. 7 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Für Schneider Electric ConneXium Network Manager Software wurde eine Sicherheitslücke gemeldet. 1 Produkt ist betroffen, ein Fix steht noch nicht bereit. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Schneider Electric meldet mehrere Schwachstellen in PowerChute Serial Shutdown. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Laut CSAF/VEX ist 1 Produkt betroffen, 3 mit Fix. Es wird empfohlen, die bereitgestellten Korrekturen einzuspielen.

In der SCADA-Software IGSS von Schneider Electric besteht eine Out-of-Bounds-Write-Schwachstelle, bei der über die Grenzen eines Speicherbereichs hinaus geschrieben werden kann. Laut dem CSAF/VEX-Advisory von Schneider Electric ist 1 Produkt als betroffen ausgewiesen, für das bereits ein Fix vorliegt. CVSS-Basiswert und Ausnutzungswahrscheinlichkeit (EPSS) liegen in den Quelldaten nicht vor. Empfohlene Massnahme: die betroffene Software gemäss Schneider-Electric-Advisory auf die korrigierte Version aktualisieren.

Schneider Electric weist in einem CSAF-Advisory mehrere Schwachstellen in den Produkten EasyLogic T150 und Saitel DP RTU aus; eine fehlerhafte Rechtevergabe für eine kritische Ressource (CWE-732) kann zur Offenlegung von Passwort-Hashes und zur möglichen Kontokompromittierung führen. Laut VEX-Angaben sind 2 Produkte betroffen, für beide steht ein Fix bereit (2 mit Fix). CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die betroffenen Produkte gemäss Schneider-Electric-Advisory aktualisieren.

In EcoStruxure Power Build Rapsody von Schneider Electric wurden mehrere Sicherheitslücken gemeldet. 5 Produkt(e) betroffen, 5 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Schneider Electric meldet mehrere Schwachstellen in EcoStruxure Building Operation Workstation und EcoStruxure Building Operation Webstation. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. 4 Produkt(e) betroffen, 4 mit Fix.

In Schneider Electric EcoStruxure™ Cybersecurity Admin Expert werden Zugangsdaten unzureichend geschützt, wodurch diese für Angreifer offenliegen können. Laut dem CSAF/VEX-Advisory von Schneider Electric CPCERT ist ein Produkt als betroffen ausgewiesen, für das bereits eine korrigierte Fassung bereitsteht. CVSS-Basiswert und Ausnutzungswahrscheinlichkeit (EPSS) liegen in den Quelldaten nicht vor. Empfohlene Massnahme: betroffene Software gemäss dem Schneider-Electric-Advisory auf die bereitgestellte Fixversion aktualisieren.

Bei den Mitsubishi Electric MELSEC MX Controllern (u. a. MX-R- und MX-F-Modell) besteht eine Schwachstelle durch unzureichende Durchsetzung der Nachrichtenintegrität bei der Übertragung über einen Kommunikationskanal. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Schneider Electric meldet mehrere Schwachstellen in EcoStruxure Building Operation Workstation und EcoStruxure Building Operation Webstation. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Laut CSAF/VEX-Angabe sind 4 Produkte betroffen, 4 mit Fix.

Schneider Electric meldet mehrere Schwachstellen in PowerChute™ Serial Shutdown. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Laut CSAF/VEX-Daten ist 1 Produkt betroffen, 3 mit Fix.

In EcoStruxure Process Expert von Schneider Electric wurde eine Schwachstelle durch falsche Standard-Berechtigungen (Incorrect Default Permissions) gemeldet. 2 Produkt(e) betroffen, 2 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Mitsubishi Electric GENESIS64 in Versionen 10.97.3 und früher sowie in der Mitsubishi Electric ICONICS Suite in Versionen 10.97.3 und früher werden sensible Informationen im Klartext gespeichert (Cleartext Storage of Sensitive Information). CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.