Siemens CADRA

A CSAF összefoglalója A CADRA-t több zlib és Foxit sebezhetőség érinti. A Siemens új verziót adott ki a CADRA-hoz, és javasolja a legfrissebb verzióra való frissítést. A Siemens további javító verziók kiadását készíti elő, és ajánlja a speciális ellenintézkedéseket olyan termékek esetében, ahol a javítások nem állnak rendelkezésre, vagy még nem érhetők el. Az alábbi Siemens CADRA verziók érintettek: CADRA vers:intdot/<2511, vers:all/* CVSS Szállító Berendezés Sebezhetőségek v3 9.8 Siemens Siemens CADRA Helytelen bemeneti ellenőrzés, hibás biteltolás egész szám esetén, határon túli írás, méret nélküli puffermásolás (‘Hagyományos puffer túlcsordulás’), egész szám túlfutás vagy átkonvertálás, erőforrások elérése nem kompatibilis típus használatával (‘Típus zűrzavar’) Háttér Kritikus Infrastruktúra Szektorok: Vegyi, Kereskedelmi létesítmények, Kommunikációk, Energiaországok / területek: Világszerte Cég Központi Helye: Németország Sebezhetőségek Kiterjesztése Minden + CVE-2005-2096 a zlib 1.2 és későbbi verziói lehetővé teszik a távoli támadók számára, hogy megtagadást okozzanak (összeomlást) egy, a kód hosszának 1-nél nagyobb, hiányos kódfeltételt tartalmazó, műveletileg elkészített tömörített áramlattal, amely puffer túltöltéshez vezet, ahogyan azt egy készített PNG fájl bemutatja. Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA < V2511 Termék státusza: ismert_érintett Megoldások Szállítói javítás Frissítsen V2511 vagy későbbi verzióra Releváns CWE: CWE-20 Helytelen bemeneti ellenőrzés Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 7.3 MAGAS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L CVE-2016-9840 az inftrees.c fájl a zlib 1.2.8-ban lehetővé teheti a kontextustól függő támadók számára, hogy meghatározatlan hatást gyakoroljanak helytelen mutatóaritmetika kihasználásával. Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA < V2511 Termék státusza: ismert_érintett Megoldások Szállítói javítás Frissítsen V2511 vagy későbbi verzióra Releváns CWE: CWE-20 Helytelen bemeneti ellenőrzés Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 8.8 MAGAS CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CVE-2016-9841 az inffast.c fájl a zlib 1.2.8-ban lehetővé teheti a kontextustól függő támadók számára, hogy meghatározatlan hatást gyakoroljanak helytelen mutatóaritmetika kihasználásával. Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA < V2511 Termék státusza: ismert_érintett Megoldások Szállítói javítás Frissítsen V2511 vagy későbbi verzióra Releváns CWE: CWE-20 Helytelen bemeneti ellenőrzés Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 9.8 KRITIKUS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVE-2016-9842 az inflateMark függvény az inflate.c fájlban a zlib 1.2.8-ban lehetővé teheti a kontextustól függő támadók számára, hogy meghatározatlan hatást gyakoroljanak negatív egész számok bal tolásával kapcsolatos vektorok révén. Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA < V2511 Termék státusza: ismert_érintett Megoldások Szállítói javítás Frissítsen V2511 vagy későbbi verzióra Releváns CWE: CWE-1335 Hibás biteltolás egész szám esetén Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 8.8 MAGAS CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CVE-2017-14919 a Node.js 4.8.5 előtt, 6.x 6.11.5 előtt, és a 8.x 8.8.0 előtt lehetővé teszi a távoli támadók számára, hogy megtagadást okozzanak (kezdetlen kivétel és összeomlás) a zlib modul 1.2.9 módosításának kihasználásával, amely érvénytelen értéket ad a windowBits paraméternek. Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA < V2511 Termék státusza: ismert_érintett Megoldások Szállítói javítás Frissítsen V2511 vagy későbbi verzióra Releváns CWE: CWE-20 Helytelen bemeneti ellenőrzés Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.0 7.5 MAGAS CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVE-2018-25032 a zlib 1.2.12 előtt memória korrupciót okoz a defláció (vagyis tömörítés) során, ha a bemeneti adat számos távoli megfelelést tartalmaz. Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA < V2511 Termék státusza: ismert_érintett Megoldások Szállítói javítás Frissítsen V2511 vagy későbbi verzióra Releváns CWE: CWE-787 Határon túli írás Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 7.5 MAGAS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVE-2022-37434 a zlib 1.2.12-ig halom alapú puffer túlolvasása vagy puffer túlcsordulás található az inflate.c fájlban az extra mezőző nagy gzip fejléc által. MEGJEGYZÉS: csupán azok az alkalmazások érintettek, amelyek hívják az inflateGetHeader-t. Egyes közönséges alkalmazások csomagolják a zlib érintett forráskódját, de nem biztos, hogy hívni tudják az inflateGetHeader-t (pl. lásd a nodejs/node referenciát). Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA < V2511 Termék státusza: ismert_érintett Megoldások Szállítói javítás Frissítsen V2511 vagy későbbi verzióra Releváns CWE: CWE-120 Puffermásolás méret ellenőrzése nélkül (‘Hagyományos puffer túlcsordulás’) Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 9.8 KRITIKUS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVE-2023-45853 a MiniZip a zlib 1.3-ig folytonos egész szám túlfutással és eredményeként halom alapú puffer túlcsordulással rendelkezik a zipOpenNewFileInZip4_64 segítségével, hosszan tartó fájlnév, megjegyzés vagy extra mező révén. MEGJEGYZÉS: a MiniZip nem egy támogatott része a zlib terméknek. MEGJEGYZÉS: a pyminizip 0.2.6-ig szintén sebezhető, mivel érintett zlib verziót csomagol, és az alkalmazható MiniZip kódot exponálja a tömörítési API-n keresztül. Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA < V2511 Termék státusza: ismert_érintett Megoldások Szállítói javítás Frissítsen V2511 vagy későbbi verzióra Releváns CWE: CWE-190 Egész szám túlfutás vagy átkonvertálás Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 9.8 KRITIKUS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVE-2025-10585 Típus zűrzavar a V8-ban a Google Chrome 140.0.7339.185 előtt lehetővé tette a távoli támadó számára, hogy potenciálisan kiaknázza a halom korrupciót egy elkészített HTML oldalon keresztül. (Chromium biztonsági súlyosság: Magas) Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA Termék státusza: ismert_érintett Megoldások Csökkentési blokk Hozzáférés megakadályozása megbízhatatlan vagy külső webtartalomhoz érzékeny rendszerekből Jelenleg nincsen megoldás Releváns CWE: CWE-843 Erőforrások elérése nem kompatibilis típussal (‘Típus zűrzavar’) Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 8.8 MAGAS CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CVE-2025-13223 Típus zűrzavar a V8-ban a Google Chrome 142.0.7444.175 előtt lehetővé tette a távoli támadó számára, hogy potenciálisan kiaknázza a halom korrupciót egy elkészített HTML oldalon keresztül. (Chromium biztonsági súlyosság: Magas) Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA Termék státusza: ismert_érintett Megoldások Csökkentési blokk Hozzáférés megakadályozása megbízhatatlan vagy külső webtartalomhoz érzékeny rendszerekből Jelenleg nincsen megoldás Releváns CWE: CWE-843 Erőforrások elérése nem kompatibilis típussal (‘Típus zűrzavar’) Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 8.8 MAGAS CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CVE-2026-22184 a zlib 1.3.1.2-ig terjedő verziói globális puffer túlcsordulását tartalmazzák az untgz segédeszközben, amely a contrib/untgz alatt található. A sebezhetőség önálló demonstrációs segédeszközre korlátozódik, és nem érinti a zlib tömörítő könyvtárat. A hiba akkor következik be, amikor egy felhasználó a parancssor segítségével egy túlzottan hosszú archív nevet ad meg az untgz parancs végrehajtásakor, ami határon túli írást okoz egy fix méretű globális pufferben. Tekintse meg a CVE részleteit Érintett termékek Siemens CADRA Szállító: Siemens Termék verzió: CADRA Termék státusza: ismert_érintett Megoldások Jelenleg nincsen megoldás Jelenleg nincsen javítás Releváns CWE: CWE-787 Határon túli írás Metrikák CVSS Verzió Alap pontszám Alap súlyosság Vektor sztring 3.1 0 NINCS CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:N Elismerések A Siemens ProductCERT ezeket a sebezhetőségeket jelentette a CISA-nak. Általános ajánlások Általános biztonsági intézkedésként a Siemens erősen ajánlja a hálózati hozzáférés védelmét a megfelelő mechanizmusokkal. A berendezések védett IT környezetben történő működtetése érdekében a Siemens javasolja a környezet konfigurálását a Siemens működési irányelvei szerint az Ipari Biztonságról (Letöltés: https://www.siemens.com/cert/operational-guidelines-industrial-security), és hogy kövesse a termék kézikönyvekben található ajánlásokat. További információ az ipari biztonságról a Siemens-től: https://www.siemens.com/industrialsecurity További erőforrások A Siemens termékek és megoldások biztonsági sebezhetőségeivel kapcsolatos további kérdések esetén kérjük, lépjen kapcsolatba a Siemens ProductCERT-tel: https://www.siemens.com/cert/advisories Használati feltételek A Siemens Biztonsági Értesítők használata a következő feltételek szerint történik: https://www.siemens.com/productcert/terms-of-use. Jogi nyilatkozat és felhasználási feltételek Ez a termék a közzétett nyilatkozatnak (https://www.cisa.gov/notification) és a magánélet és használat politikájának (https://www.cisa.gov/privacy-policy) megfelelően került biztosításra. Ajánlott gyakorlatok A CISA ajánlja a felhasználóknak, hogy tegyenek védelmi intézkedéseket a sebezhetőség kihasználási kockázatának minimalizálása érdekében. Minimalizálja a hálózati kitettséget az összes vezérlőrendszer berendezése és/vagy rendszere számára, és győződjön meg arról, hogy azok nem elérhetők az internetről. Helyezze a vezérlőrendszer hálózatait és távoli eszközeit tűzfalak mögé, és izolálja őket az üzleti hálózatoktól. Amikor távoli hozzáférés szükséges, használjon biztonságosabb módszereket, például virtuális magánhálózatokat (VPN), figyelembe véve, hogy a VPN-ek sebezhetőségekkel rendelkezhetnek, és a legfrissebb elérhető verzióra kell őket frissíteni. Szintén vegye figyelembe, hogy a VPN csak olyan biztonságos, mint a csatlakoztatott eszközök. A CISA emlékezteti a szervezeteket, hogy végezzenek megfelelő hatáselemzést és kockázatértékelést a védelmi intézkedések bevezetése előtt. A CISA szintén nyújt egy szakaszt a vezérlőrendszerek biztonságára vonatkozó ajánlott gyakorlatokról az ICS weboldalon a cisa.gov-on. Számos CISA termék, amely a kibervédelem legjobb gyakorlatait részletezi, elérhető olvasásra és letöltésre, beleértve az Ipari Vezérlőrendszerek Kiberbiztonságának Javítását Mélységi Védekezési Stratégiákkal. A CISA arra bátorítja a szervezeteket, hogy valósítsanak meg ajánlott kiberbiztonsági stratégiákat az ICS eszközök proaktív védelme érdekében. További mérséklési útmutatók és ajánlott gyakorlatok nyilvánosan elérhetők az ICS weboldalon a cisa.gov-on a műszaki információs papíron, ICS-TIP-12-146-01B–Célzott Kiberbetörés Észlelési és Mérséklési Stratégiák. Azok a szervezetek, amelyek gyanús rosszindulatú tevékenységet észlelnek, kövessék a megállapított belső eljárásokat, és jelentsék az eredményeket a CISA-nak a további nyomon követés és más eseményekhez való korreláció érdekében. Értesítési Átalakítási Felelősségvállalás Ez az ICSA a Siemens ProductCERT SSA-470355 szó szerinti újraközlése a szállító közös biztonsági értesítési keretrendszerének (CSAF) közvetlen átalakításából. Ez átkonvertálva került a CISA weboldalára, hogy növelje a láthatóságot, és tájékoztató célokra, úgy ahogy van, került közzétételre. A CISA nem vállal felelősséget a közzétett értesítések szerkesztési vagy technikai pontosságáért, és semmilyen típusú garanciát nem nyújt az értesítésben található információkkal kapcsolatban. Továbbá, a CISA nem népszerűsíti bármely kereskedelmi termék vagy szolgáltatás használatát. Kérjük, közvetlenül lépjen kapcsolatba a Siemens ProductCERT-tel bármilyen kérdés esetén az értesítéssel kapcsolatban. Felülvizsgálati Történet Kezdeti Kiadás Dátuma: 2026-07-14 Dátum Felülvizsgálati Összegzés 2026-07-14 1 Kiadás Dátuma 2026-07-21 2 Kezdeti CISA Átkonvertálás a Siemens ProductCERT SSA-470355 értesítésre Jogi nyilatkozat és felhasználási feltételek