-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### ######################## UPDATE 1.01 ############################# Titel : Kwetsbaarheden verholpen in Siemens producten Advisory ID : NCSC-2026-0346 Versie : 1.01 Kans : medium CVE ID : CVE-2024-42384, CVE-2024-42385, CVE-2024-42386, CVE-2024-42391, CVE-2024-42392, CVE-2024-56181, CVE-2024-56182, CVE-2025-15467, CVE-2025-30033, CVE-2025-40572, CVE-2025-40573, CVE-2025-40574, CVE-2025-40575, CVE-2025-40576, CVE-2025-40577, CVE-2025-40578, CVE-2025-40579, CVE-2025-40580, CVE-2025-40581, CVE-2025-40582, CVE-2025-40583, CVE-2025-47809, CVE-2026-18963, CVE-2026-31431, CVE-2026-34223, CVE-2026-50093, CVE-2026-54798, CVE-2026-54799, CVE-2026-54800, CVE-2026-54801, CVE-2026-58113, CVE-2026-62645, CVE-2026-62646, CVE-2026-62647, CVE-2026-62648, CVE-2026-62649, CVE-2026-62650, CVE-2026-62652, CVE-2026-62653, CVE-2026-62654, CVE-2026-67367 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: https://cve.mitre.org/cve/) Schade : high Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') Relative Path Traversal Path Traversal: '.../...//' Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') Improper Control of Generation of Code ('Code Injection') Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') Stack-based Buffer Overflow Out-of-bounds Read Improper Neutralization of Delimiters Integer Overflow or Wraparound Insertion of Sensitive Information Into Debugging Code Least Privilege Violation Authentication Bypass Using an Alternate Path or Channel Missing Authentication for Critical Function Cleartext Transmission of Sensitive Information Insufficient Entropy Uncontrolled Search Path Element Unrestricted Upload of File with Dangerous Type Use of Uninitialized Variable NULL Pointer Dereference Active Debug Code Download of Code Without Integrity Check Unverified Password Change Weak Password Recovery Mechanism for Forgotten Password Incorrect Resource Transfer Between Spheres Incorrect Permission Assignment for Critical Resource Allocation of Resources Without Limits or Throttling Out-of-bounds Write Use of Out-of-range Pointer Offset Initialization of a Resource with an Insecure Default Improper Validation of Consistency within Input Uitgiftedatum : 20260908 Toepassing : Siemens CPCI85 Central Processing/Communication Siemens Desigo CC ClickOnce Client V6 Siemens Desigo CC ClickOnce Client V7 Siemens Desigo CC Flex Client V6 Siemens Desigo CC Flex Client V7 Siemens Desigo CC Installed Client V6 Siemens Desigo CC Installed Client V7 Siemens Desigo CC family V5.0 Siemens Desigo CC family V5.1 Siemens Desigo CC family V6 Siemens Desigo CC family V7 Siemens Desigo CC family V8 Siemens Desigo CC family V9 Siemens Industrial Edge Management Siemens Reyrolle 7SR5 Siemens SCALANCE LPE9403 Siemens SIMATIC AX Runtime Core Linux Common Debian Siemens SIMATIC AX Runtime Core Linux Common Debian arm64 Siemens SIMATIC AX Runtime Core Linux Platform Container Common Debian Development Siemens SIMATIC AX Runtime Core Linux VMWare Development Siemens SIMATIC CN 4100 Siemens SIMATIC Field PG M5 Siemens SIMATIC Field PG M6 Siemens SIMATIC HMI Basic Panels Siemens SIMATIC HMI Comfort Panels Siemens SIMATIC IPC Industrial Edge Device OS (IED-OS) Siemens SIMATIC PDM Maintenance Station V5.0 Siemens SIMATIC S7-1500 CPU 1518-4 PN/DP MFP Siemens SIMATIC WinCC Siemens SIMATIC eaSie Core Package Siemens Simatic IOT2050 Firmware Siemens Siplant Siemens Siveillance Control Pro V3.0 Siemens Siveillance Control Pro V4.0 Siemens Siveillance Control V3.0 Siemens Siveillance Control V4.0 Siemens Teamcenter V2412 Siemens Teamcenter V2506 Siemens Teamcenter V2512 Siemens Teamcenter V2606 Siemens sicore_base_system Siemens simove Fleet Manager Versie(s) : Platform(s) : Update Inschaling stond abusievelijk op Medium/Medium, is aangepast naar Medium/High. Beschrijving Siemens heeft kwetsbaarheden verholpen in diverse producten als Desigo, Reyrolle, SIMATIC, SCALANCE, SINAMICS en Siveillance. De kwetsbaarheden stellen een kwaadwillende in staat aanvallen uit te voeren die kunnen leiden tot de volgende categorieën schade: * Denial-of-Service (DoS) * Manipulatie van gegevens * Omzeilen van een beveiligingsmaatregel * (Remote) code execution (root/admin rechten) * (Remote) code execution (gebruikersrechten) * Toegang tot gevoelige gegevens * Verhogen van rechten De kwaadwillende heeft hiervoor toegang nodig tot de productieomgeving. Het is goed gebruik een dergelijke omgeving niet publiek toegankelijk te hebben. Mogelijke oplossingen De betrokken leveranciers hebben updates uitgebracht om de genoemde kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie. Referenties: Reference https://cert-portal.siemens.com/productcert/html/ssa-019113.html Reference https://cert-portal.siemens.com/productcert/html/ssa-142885.html Reference https://cert-portal.siemens.com/productcert/html/ssa-157465.html Reference https://cert-portal.siemens.com/productcert/html/ssa-216014.html Reference https://cert-portal.siemens.com/productcert/html/ssa-229470.html Reference https://cert-portal.siemens.com/productcert/html/ssa-254516.html Reference https://cert-portal.siemens.com/productcert/html/ssa-282044.html Reference https://cert-portal.siemens.com/productcert/html/ssa-327438.html Reference https://cert-portal.siemens.com/productcert/html/ssa-328642.html Reference https://cert-portal.siemens.com/productcert/html/ssa-330084.html Reference https://cert-portal.siemens.com/productcert/html/ssa-331739.html Reference https://cert-portal.siemens.com/productcert/html/ssa-434797.html Reference https://cert-portal.siemens.com/productcert/html/ssa-503852.html Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- iQGzBAEBCgAdFiEEGSwziqblmmRNtImqgupWoL0ZhGEFAmqgEqMACgkQgupWoL0Z hGGYuQwAgOrZ0qQUUtV/+HkxOT5RbXa2PsVd19YCfBQ4A+EpAhmrZz0m5C4UK1+5 nP5KtQSzNa5fsgbylYe24KXrgd2QeuN4OPN2P2yr0+yM6W70SMeZEi4SE9XpyJOP sZdHWsRk3YPEZXX6lFG2G7DmaRVjvcwlL+Yz55ZHLI28MyfJleDZuCtMxzD1amiX 8PanfWVQrnzKqlDTW263Ch4tEYUyrcgEPYjdPm/RomUKt0BIdgwvrOwbPq1l4+12 0JajLlTnK+kcCb7gsXp2OxgzN3hs1pdsPPAxBQbc7E9oH5krZZrQ9OjV2U/Mgdj2 +6UuSa3p1Y6OW5RXBCRSHUZA3jwZ4dSGBNptWxVpoy9RciYruSMBb5bCbwvp5cxt NagGcdZaqr705kI7zb2Gopj1sASkhiBEIT9GEtcn4G/6W/C2dk1wie1jusb1IO1t oK5y3XAgbP7vQsJ5vBhD4VCyxLkI0RQi5XhiRszPc6LP6LWFJF/HaFzyAEFAG4hc 4jo3dF+G =uivK -----END PGP SIGNATURE-----