NVD Vulnerability Detail
Search Exploit, PoC
CVE-2016-9154
Summary

Siemens Desigo PX Web modules PXA40-W0, PXA40-W1, PXA40-W2 for Desigo PX automation controllers PXC00-E.D, PXC50-E.D, PXC100-E.D, PXC200-E.D (All firmware versions < V6.00.046) and Desigo PX Web modules PXA30-W0, PXA30-W1, PXA30-W2 for Desigo PX automation controllers PXC00-U, PXC64-U, PXC128-U (All firmware versions < V6.00.046) use a pseudo random number generator with insufficient entropy to generate certificates for HTTPS, potentially allowing remote attackers to reconstruct the corresponding private key.

Publication Date Dec. 23, 2016, 2:59 p.m.
Registration Date Jan. 26, 2021, 2:19 p.m.
Last Update Nov. 21, 2024, noon
CVSS3.0 : HIGH
スコア 7.5
Vector CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 低
攻撃に必要な特権レベル(PR) 不要
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C) 高
完全性への影響(I) なし
可用性への影響(A) なし
CVSS2.0 : MEDIUM
Score 5.0
Vector AV:N/AC:L/Au:N/C:P/I:N/A:N
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 低
攻撃前の認証要否(Au) 不要
機密性への影響(C) 低
完全性への影響(I) なし
可用性への影響(A) なし
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required いいえ
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:siemens:desigo_web_module_pxa30-w0_firmware:*:*:*:*:*:*:*:* 6.00.00
cpe:2.3:a:siemens:desigo_web_module_pxa30-w1_firmware:*:*:*:*:*:*:*:* 6.00.00
cpe:2.3:a:siemens:desigo_web_module_pxa30-w2_firmware:*:*:*:*:*:*:*:* 6.00.00
cpe:2.3:a:siemens:desigo_web_module_pxa40-w0_firmware:*:*:*:*:*:*:*:* 6.00.00
cpe:2.3:a:siemens:desigo_web_module_pxa40-w1_firmware:*:*:*:*:*:*:*:* 6.00.00
cpe:2.3:a:siemens:desigo_web_module_pxa40-w2_firmware:*:*:*:*:*:*:*:* 6.00.00
execution environment
1 cpe:2.3:h:siemens:desigo_web_module_pxa30-w0:-:*:*:*:*:*:*:*
2 cpe:2.3:h:siemens:desigo_web_module_pxa30-w1:-:*:*:*:*:*:*:*
3 cpe:2.3:h:siemens:desigo_web_module_pxa30-w2:-:*:*:*:*:*:*:*
4 cpe:2.3:h:siemens:desigo_web_module_pxa40-w0:-:*:*:*:*:*:*:*
5 cpe:2.3:h:siemens:desigo_web_module_pxa40-w1:-:*:*:*:*:*:*:*
6 cpe:2.3:h:siemens:desigo_web_module_pxa40-w2:-:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
Siemens Desigo PX オートメーションコントローラ用 Desigo PX Web モジュールにおける対応する秘密鍵を再構成される脆弱性
Title Siemens Desigo PX オートメーションコントローラ用 Desigo PX Web モジュールにおける対応する秘密鍵を再構成される脆弱性
Summary

Siemens Desigo PX オートメーションコントローラ用 Desigo PX Web モジュールは、HTTPS 証明書の生成には不十分なエントロピーを持つ疑似乱数発生器を使用するため、対応する秘密鍵を再構成される脆弱性が存在します。

Possible impacts リモートの攻撃者により、対応する秘密鍵を再構成される可能性があります。
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date Dec. 16, 2016, midnight
Registration Date Jan. 5, 2017, 6:24 p.m.
Last Update Jan. 5, 2017, 6:24 p.m.
Affected System
シーメンス
Desigo PX PXA30-W0 
Desigo PX PXA30-W0 ファームウェア 6.00.046 未満
Desigo PX PXA30-W1 
Desigo PX PXA30-W1 ファームウェア 6.00.046 未満
Desigo PX PXA30-W2 
Desigo PX PXA30-W2 ファームウェア 6.00.046 未満
Desigo PX PXA40-W0 
Desigo PX PXA40-W0 ファームウェア 6.00.046 未満
Desigo PX PXA40-W1 
Desigo PX PXA40-W1 ファームウェア 6.00.046 未満
Desigo PX PXA40-W2 
Desigo PX PXA40-W2 ファームウェア 6.00.046 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2017年01月05日]
  掲載		 Feb. 17, 2018, 10:37 a.m.