A vulnerability has been identified in SIPROTEC 5 6MD84 (CP300) (All versions < V11.0), SIPROTEC 5 6MD85 (CP200) (All versions), SIPROTEC 5 6MD85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 6MD86 (CP200) (All versions), SIPROTEC 5 6MD86 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 6MD89 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 6MU85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7KE85 (CP200) (All versions), SIPROTEC 5 7KE85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SA82 (CP100) (All versions >= V7.80), SIPROTEC 5 7SA82 (CP150) (All versions < V11.0), SIPROTEC 5 7SA84 (CP200) (All versions), SIPROTEC 5 7SA86 (CP200) (All versions), SIPROTEC 5 7SA86 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SA87 (CP200) (All versions), SIPROTEC 5 7SA87 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SD82 (CP100) (All versions >= V7.80), SIPROTEC 5 7SD82 (CP150) (All versions < V11.0), SIPROTEC 5 7SD84 (CP200) (All versions), SIPROTEC 5 7SD86 (CP200) (All versions), SIPROTEC 5 7SD86 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SD87 (CP200) (All versions), SIPROTEC 5 7SD87 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SJ81 (CP100) (All versions >= V7.80), SIPROTEC 5 7SJ81 (CP150) (All versions < V11.0), SIPROTEC 5 7SJ82 (CP100) (All versions >= V7.80), SIPROTEC 5 7SJ82 (CP150) (All versions < V11.0), SIPROTEC 5 7SJ85 (CP200) (All versions), SIPROTEC 5 7SJ85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SJ86 (CP200) (All versions), SIPROTEC 5 7SJ86 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SK82 (CP100) (All versions >= V7.80), SIPROTEC 5 7SK82 (CP150) (All versions < V11.0), SIPROTEC 5 7SK85 (CP200) (All versions), SIPROTEC 5 7SK85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SL82 (CP100) (All versions >= V7.80), SIPROTEC 5 7SL82 (CP150) (All versions < V11.0), SIPROTEC 5 7SL86 (CP200) (All versions), SIPROTEC 5 7SL86 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SL87 (CP200) (All versions), SIPROTEC 5 7SL87 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7SS85 (CP200) (All versions), SIPROTEC 5 7SS85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7ST85 (CP200) (All versions), SIPROTEC 5 7ST85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7ST86 (CP300) (All versions < V11.0), SIPROTEC 5 7SX82 (CP150) (All versions < V11.0), SIPROTEC 5 7SX85 (CP300) (All versions < V11.0), SIPROTEC 5 7SY82 (CP150) (All versions < V11.0), SIPROTEC 5 7UM85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7UT82 (CP100) (All versions >= V7.80), SIPROTEC 5 7UT82 (CP150) (All versions < V11.0), SIPROTEC 5 7UT85 (CP200) (All versions), SIPROTEC 5 7UT85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7UT86 (CP200) (All versions), SIPROTEC 5 7UT86 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7UT87 (CP200) (All versions), SIPROTEC 5 7UT87 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7VE85 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7VK87 (CP200) (All versions), SIPROTEC 5 7VK87 (CP300) (All versions >= V7.80 < V11.0), SIPROTEC 5 7VU85 (CP300) (All versions < V11.0), SIPROTEC 5 Compact 7SX800 (CP050) (All versions < V11.0). Affected devices do not use sufficiently random values to create session identifiers. This could allow an unauthenticated remote attacker to brute force a session identifier and gain read access to limited information from the web server without authorization.
CVE-2024-54017 affects Siemens SIPROTEC 5 protective relays across 50+ device models due to insufficient randomness in session identifier generation (CWE-334). An unauthenticated remote attacker can brute force session IDs to gain unauthorized read access to web server information. With CVSS 5.3 (medium) and no patch currently available, this poses a significant risk to Saudi Arabia's critical power infrastructure, particularly affecting ARAMCO facilities and grid operators relying on these protection devices.
Immediate Actions:
1. Inventory all SIPROTEC 5 devices in your environment and identify affected models/versions listed in CVE description
2. Implement network segmentation: isolate protective relay management interfaces from untrusted networks
3. Restrict web server access to authorized personnel only using firewall rules and access control lists
4. Enable logging and monitoring of all web server access attempts to SIPROTEC 5 devices
5. Implement strong authentication mechanisms (multi-factor authentication where supported)
Patching Guidance:
- Upgrade to SIPROTEC 5 firmware version V11.0 or later for affected models (when available)
- For CP200/CP300 variants with version < V7.80, prioritize upgrade to V11.0
- Test patches in non-production environment first
Compensating Controls (until patch available):
- Deploy intrusion detection/prevention systems (IDS/IPS) to monitor for session brute force attempts
- Implement rate limiting on web server login endpoints
- Use VPN or secure tunneling for remote access to device management interfaces
- Disable web server access if not operationally required
Detection Rules:
- Monitor for multiple failed session attempts from same source IP
- Alert on unusual session ID patterns or rapid session creation
- Log all successful web server authentications with timestamp and source IP
- Baseline normal session duration and alert on anomalies
الإجراءات الفورية:
1. قم بحصر جميع أجهزة SIPROTEC 5 في بيئتك وحدد النماذج والإصدارات المتأثرة المدرجة في وصف CVE
2. تطبيق تقسيم الشبكة: عزل واجهات إدارة المرحل الواقي عن الشبكات غير الموثوقة
3. تقييد الوصول إلى خادم الويب للموظفين المصرح لهم فقط باستخدام قواعد جدار الحماية وقوائم التحكم في الوصول
4. تفعيل تسجيل ومراقبة جميع محاولات الوصول إلى خادم الويب لأجهزة SIPROTEC 5
5. تطبيق آليات المصادقة القوية (المصادقة متعددة العوامل حيث يكون مدعوماً)
إرشادات التصحيح:
- ترقية إلى إصدار البرنامج الثابت SIPROTEC 5 V11.0 أو أحدث للنماذج المتأثرة (عند توفره)
- بالنسبة لمتغيرات CP200/CP300 بإصدار < V7.80، أولويات الترقية إلى V11.0
- اختبر التصحيحات في بيئة غير الإنتاج أولاً
الضوابط البديلة (حتى توفر التصحيح):
- نشر أنظمة كشف/منع الاختراق (IDS/IPS) لمراقبة محاولات القوة الغاشمة للجلسة
- تطبيق تحديد معدل على نقاط نهاية تسجيل الدخول بخادم الويب
- استخدام VPN أو نفق آمن للوصول البعيد إلى واجهات إدارة الجهاز
- تعطيل الوصول إلى خادم الويب إذا لم يكن مطلوباً تشغيلياً
قواعد الكشف:
- مراقبة محاولات الجلسة الفاشلة المتعددة من نفس عنوان IP المصدر
- تنبيه على أنماط معرف الجلسة غير العادية أو إنشاء الجلسة السريع
- تسجيل جميع المصادقات الناجحة لخادم الويب مع الطابع الزمني وعنوان IP المصدر
- خط أساس مدة الجلسة العادية والتنبيه على الشذوذ