Siemens Healthineers Seite 11

Für curl sowie die nachgelagerten Produkte von Axis, Fedora, Debian (DSA), NetApp, NAKIVO, Rockwell Automation, SimpleHelp, Sonatype, MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Apple (macOS/iOS), Siemens Healthineers, Siemens ProductCERT, Magento/Adobe Commerce und Splunk (Cisco) wurde eine Schwachstelle gemeldet, dokumentiert in den curl-Sicherheitshinweisen sowie bei Axis Communications. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 4.5 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller und Distributionen (u. a. curl/Daniel Stenberg, Debian (DSA), Fedora, SimpleHelp Ltd, Sonatype, MySQL/MariaDB, Siemens Healthineers/ProductCERT sowie Splunk (Cisco)) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Diese Schwachstelle in curl ist laut curl / Daniel Stenberg dokumentiert (curl.se Security-Advisories) und wird auch von Fedora, NetApp, NAKIVO, MySQL/MariaDB, Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco) geführt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 4.3 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Die Schwachstelle ist laut Axis-Sicherheitsadvisory Axis-Produkten zugeordnet; eine detaillierte technische Beschreibung liegt in den Quelldaten nicht vor. Betroffen sind laut Zuordnung auch Siemens Healthineers und Siemens ProductCERT. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 4.1 %.

Für CVE-2020-8284 liegt laut curl-Sicherheitsadvisory (Daniel Stenberg) ein Eintrag zu curl vor; eine detaillierte Beschreibung der Schwachstelle ist in den übergebenen Quelldaten nicht enthalten. Als betroffen zugeordnet sind laut Quellenlage unter anderem Fedora, Debian, NetApp, HPE Storage, IBM Storage, Pure Storage, Apple (macOS/iOS), Axis, Oracle, Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco), die curl als Bestandteil einsetzen. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.9 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller und Distributionen (u. a. OpenSSL, Debian (DSA), Microsoft, Oracle (CPU/EBS/PeopleSoft/WebLogic) sowie Siemens Healthineers/ProductCERT) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.8 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für curl-Produkte wurde eine Sicherheitslücke (CVE-2020-8231) gemeldet. Betroffen sind laut Zuordnung zudem Siemens Healthineers, Siemens ProductCERT, Debian (DSA), Axis und Splunk (Cisco). Ausnutzungswahrscheinlichkeit (EPSS): 3.7 %.

Für diese CVE liegt in den Quelldaten keine technische Detailbeschreibung vor; als Quelle ist lediglich die allgemeine Sicherheitsadvisory-Übersicht von Axis verzeichnet. Die Zuordnung umfasst zusätzlich Produkte von Siemens Healthineers, Siemens ProductCERT, .NET/Microsoft sowie Light Code Labs (Caddy). CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.7 %.

Für CVE-2020-27737 liegt bei Axis ein Sicherheitshinweis vor. Nähere technische Details zur Schwachstelle sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.6 %.

Für CVE-2020-27736 liegt bei Axis Communications ein Sicherheitshinweis vor; laut Zuordnung sind zudem Siemens Healthineers, Siemens ProductCERT, .NET/Microsoft und Caddy (Light Code Labs) betroffen. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.6 %.

Für CVE-2020-8169 liegt ein Sicherheitshinweis von curl / Daniel Stenberg vor. Laut Zuordnung sind zudem Siemens Healthineers, Siemens ProductCERT, Debian und Splunk (Cisco) betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.4 %.

Für CVE-2020-13987 liegt bei Axis Communications ein Sicherheitshinweis vor. Nähere technische Details sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.2 %.

curl (Daniel Stenberg) führt CVE-2021-22890 in den Sicherheitsmeldungen auf; betroffen sind laut Datenlage zudem Storage-Produkte von NetApp, HPE Storage, IBM Storage und Pure Storage sowie weitere Produkte von Axis, Fedora, Debian und Siemens, die die Bibliothek einsetzen. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 3.1 %.

curl (Daniel Stenberg) führt CVE-2021-22947 in den Sicherheitsmeldungen auf; betroffen sind laut Datenlage zudem zahlreiche Produkte, die die Bibliothek einsetzen, u. a. von Axis, Fedora, Debian, NetApp, NAKIVO, Siemens und Apple. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 3.0 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. OpenSSL, HPE Storage, IBM Storage, Pure Storage sowie Siemens Healthineers/ProductCERT) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 3.0 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für CVE-2020-17437 liegt bei Axis ein Sicherheitshinweis vor. Nähere technische Details zur Schwachstelle sind in den Quelldaten nicht enthalten. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 2.8 %.

Für curl sowie die nachgelagerten Produkte von Fedora, NetApp, NAKIVO, MySQL/MariaDB, Siemens Healthineers, Siemens ProductCERT und Splunk (Cisco) wurde eine Schwachstelle gemeldet, dokumentiert in den curl-Sicherheitshinweisen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 1.9 %.

Die Schwachstelle ist der curl-Bibliothek zugeordnet; laut den Quelldaten liegt keine detaillierte technische Beschreibung vor. Betroffen sind laut Zuordnung mehrere nachgelagerte Distributionen und Produkte, die curl integrieren. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %.

Für Produkte von Axis wird in der Sicherheitsübersicht des Herstellers ein Eintrag zu dieser CVE-ID geführt. Weitere Hersteller (u. a. Siemens Healthineers, Siemens ProductCERT, .NET/Microsoft sowie Light Code Labs) referenzieren die Lücke ebenfalls in ihren Sicherheitshinweisen. Technische Details zu Ursache, betroffenen Versionen oder Massnahmen enthalten die ausgewerteten Quelldaten nicht. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Siemens Simcenter STAR-CCM+ (alle Versionen, nur bei Nutzung des Power-on-Demand Public License Servers) geben betroffene Anwendungen Benutzer-, Host- und Anzeigenamen der Nutzer preis. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In Siemens SIMATIC HMI Comfort Panels 4"–22", Comfort Outdoor Panels 7" & 15" sowie SIMATIC HMI KTP-Geräten (alle Versionen vor V15.1 Update 1) wurde eine Sicherheitslücke identifiziert. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In WPA-, WPA2- und WPA3-Implementierungen wurde festgestellt, dass Fragmente mit nicht-aufeinanderfolgenden Paketnummern wieder zusammengesetzt werden. Ein Angreifer kann dies missbrauchen, um Daten aus dem WLAN-Netzwerk auszuschleusen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Siemens SIMATIC S7-300 CPU-Familie (alle Versionen, inkl. ET200 CPUs und SIPLUS-Varianten) sowie SIMATIC S7-400 PN/DP V6 und weiteren Geräten wurde eine Sicherheitslücke identifiziert. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Siemens SINEC INS (alle Versionen < V1.0 SP2 Update 6) wird die Pfadeingabe im Endpoint GET /api/sftp/uploadFiles nicht ordnungsgemäß bereinigt. Dies ermöglicht einen Path-Traversal-Angriff. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf SINEC INS V1.0 SP2 Update 6 oder neuer aktualisieren.

In der SIMATIC S7-300 CPU-Familie (inkl. ET200 CPUs und SIPLUS-Varianten) sowie S7-400 CPU-Familie wurden Sicherheitslücken identifiziert. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Ein OpenSSL-TLS-1.3-Server verhandelt unter Umständen nicht die erwartete bevorzugte Key-Exchange-Gruppe, wenn seine Konfiguration der Key-Exchange-Gruppen die Voreinstellung über das Schlüsselwort 'DEFAULT' einbindet. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.