JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は4月16日、「JVNVU#95499848: Siemens 製品に複数の脆弱性」において、シーメンスの複数のプロダクトに複数の脆弱性が存在すると伝えた。これら脆弱性を悪用されると、サービス運用妨害攻撃、遠隔からのデバッグ機能の利用、第三者によるIPアドレスの変更、クロスサイトスクリプティングによる情報改竄や窃取などを実行される危険性がある。

脆弱性に関する情報は次のページにまとまっている。

脆弱性が存在するとされるプロダクトおよびバージョンは次のとおり。

  • APOGEE MEC/MBC/PXC (P2) 2.8.2 より前のバージョン
  • APOGEE PCX Series (P2) 2.8.2 およびそれ以降のバージョン
  • APOGEE PXC Series (BACnet) 3.0 およびそれ以降のバージョン
  • Climatix POL908 (BACnet/IP module) すべてのバージョン
  • Climatix POL909 (AWM module) すべてのバージョン
  • Desigo PXC (Power PC) 2.3x およびそれ以降のバージョン
  • Desigo PXM20 (Power PC) 2.3x およびそれ以降のバージョン
  • IE/PB-Link v3 すべてのバージョン
  • KTK ATE530S すべてのバージョン
  • RUGGEDCOM RM1224 6.1 より前のバージョン
  • RUGGEDCOM ROX II 2.13.3 より前のバージョン
  • SCALANCE M-800 family 6.1 より前のバージョン
  • SCALANCE S615 6.1 より前のバージョン
  • SCALANCE SC-600 2.0 より前のバージョン
  • SCALANCE W1700 IEEE 802.11ac 2.0 より前のバージョン
  • SCALANCE W700 IEEE 802.11a/b/g/n 6.4 より前のバージョン
  • SCALANCE X-200 switch family (SIPLUS NET variants を含む) すべてのバージョン
  • SCALANCE X-200IRT switch family (SIPLUS NET variants を含む) すべてのバージョン
  • SCALANCE X-300 switch family (X408 and SIPLUS NET variants を含む) すべてのバージョン
  • SIDOOR ATD430W すべてのバージョン
  • SIDOOR ATE530S COATED すべてのバージョン
  • SIDOOR ATE531S すべてのバージョン
  • SIMATIC CP 1242-7 3.2 より前のバージョン
  • SIMATIC CP 1243-1 (SIPLUS NET variants を含む) 3.2 より前のバージョン
  • SIMATIC CP 1243-7 LTE EU 3.2 より前のバージョン
  • SIMATIC CP 1243-7 LTE US 3.2 より前のバージョン
  • SIMATIC CP 1243-8 IRC 3.2 より前のバージョン
  • SIMATIC CP 1542SP-1 2.1 より前のバージョン
  • SIMATIC CP 1542SP-1 IRC (SIPLUS NET variants を含む) 2.1 より前のバージョン
  • SIMATIC CP 1543-1 (SIPLUS NET variants を含む) 2.2 より前のバージョン
  • SIMATIC CP 1543SP-1 (SIPLUS NET variants を含む) 2.1 より前のバージョン
  • SIMATIC CP 443-1 (SIPLUS NET variants を含む) すべてのバージョン
  • SIMATIC CP 443-1 Advanced (SIPLUS NET variants を含む) すべてのバージョン
  • SIMATIC ET 200SP Open Controller CPU 1515SP PC (SIPLUS variants を含む) 2.0 より前のバージョン
  • SIMATIC ET 200SP Open Controller CPU 1515SP PC2 (SIPLUS variants を含む) 2.0 より前のバージョン
  • SIMATIC ET200MP IM155-5 PN HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン
  • SIMATIC ET200SP IM155-6 MF HF すべてのバージョン
  • SIMATIC ET200SP IM155-6 PN HA (SIPLUS variants を含む) すべてのバージョン
  • SIMATIC ET200SP IM155-6 PN HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン
  • SIMATIC ET200SP IM155-6 PN/2 HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン
  • SIMATIC ET200SP IM155-6 PN/3 HF (SIPLUS variants を含む) 4.2 およびそれ以降のバージョン
  • SIMATIC MICRO-DRIVE PDC すべてのバージョン
  • SIMATIC PN/PN Coupler (SIPLUS NET variants を含む) 4.2 およびそれ以降のバージョン
  • SIMATIC RF180C すべてのバージョン
  • SIMATIC RF182C すべてのバージョン
  • SIMATIC RF185C すべてのバージョン
  • SIMATIC RF186C すべてのバージョン
  • SIMATIC RF186CI すべてのバージョン
  • SIMATIC RF188C すべてのバージョン
  • SIMATIC RF188CI すべてのバージョン
  • SIMATIC S7-1500 CPU family (related ET200 CPUs and SIPLUS variants を含む) 2.0 より前のバージョン
  • SIMATIC S7-1500 Software Controller 2.0 より前のバージョン
  • SIMATIC S7-300 CPU family (related ET200 CPUs and SIPLUS variants を含む) すべてのバージョン
  • SIMATIC S7-400 PN/DP V7 and below CPU family (SIPLUS variants を含む) すべてのバージョン
  • SIMATIC S7-410 CPU family (SIPLUS variants を含む) すべてのバージョン
  • SIMATIC TDC CP51M1 すべてのバージョン
  • SIMATIC TDC CPU555 すべてのバージョン
  • SIMATIC WinAC RTX (F) 2010 すべてのバージョン
  • SIMOTICS CONNECT 400 0.3.0.95 およびそれ以前のバージョン
  • SINAMICS S/G Control Unit w. PROFINET すべてのバージョン
  • SINEMA Remote Connect Server 1.1 以降から 2.0.1 より前のバージョン
  • TALON TC Series (BACnet) 3.0 およびそれ以降のバージョン
  • TIM 3V-IE (SIPLUS NET variants を含む) v2.8 より前のバージョン
  • TIM 3V-IE Advanced (SIPLUS NET variants を含む) v2.8 より前のバージョン
  • TIM 3V-IE DNP3 (SIPLUS NET variants を含む) v3.3 より前のバージョン
  • TIM 4R-IE (SIPLUS NET variants を含む) v2.8 より前のバージョン
  • TIM 4R-IE DNP3 (SIPLUS NET variants を含む) v3.3 より前のバージョン
  • SSA-377115: SegmentSmack in Linux IP-Stack based Industrial Devices

    SSA-377115: SegmentSmack in Linux IP-Stack based Industrial Devices

JPCERT/CCは必要に応じてアップデートを適用することを推奨している。ただし、本稿執筆時点では、CVE-2019-19301に関する修正アップデートは提供されていない。ワークアラウンドを適用するなどして脆弱性の影響を軽減する措置をとることが望まれる。