Avis de sécurité des produits

Équipement de CVC

Sécurité

Réfrigération industrielle

Lutte Contre Le Feu

Solutions de vente au détail

Automatisation et contrôles du bâtiment

Détection d'incendie

Annuaire Global

South Africa - English

Équipement de CVC

Sécurité

Réfrigération industrielle

Lutte Contre Le Feu

Solutions de vente au détail

Automatisation et contrôles du bâtiment

Détection d'incendie

Annuaire Global

South Africa - English

Avis de sécurité des produits

Johnson Controls suit, identifie et traite de manière proactive les menaces de cybersécurité en constante évolution chaque jour &ndash ; it’s une priorité absolue. Cet engagement se reflète dans nos innovations technologiques et dans le développement continu de nos produits afin de maintenir la sécurité des systèmes de gestion des bâtiments, des infrastructures informatiques et des équipements connectés.

Metasys Déclaration sur la sécurité et le support des logiciels

Nous devons tous jouer un rôle pour faire face aux menaces. Notre équipe spécialisée dans la cybersécurité, qui travaille avec les professionnels de nos agences locales, est à la disposition des clients pour répondre à leurs préoccupations ou aux menaces immédiates pour la sécurité du système. Nous encourageons également nos clients à suivre les meilleures pratiques informatiques et de sécurité .

2019 Avis de sécurité des produits

Title/Security Advisory ID	Produit concerné	Aperçu	Mitigation	Date de la première publication	Dernière mise à jour
Metasys ICS-CERT Advisory ICSA-19-227-01 JCI-PSA-2019-06 v1 CVE-2019-7593 CVE-2019-7594	Metasys® serveurs ADS/ADX et moteurs NAE/NIE/NCE ayant un impact sur les versions antérieures à 9.0.	Un attaquant ayant accès à la paire de clés RSA partagée ou à une clé RC2 codée en dur pourrait potentiellement décrypter le trafic réseau capturé entre les Metasys® serveurs ADS/ADX ou les moteurs NAE/NIE/NCE et le client utilisateur du portail de gestion du site (SMP) qui se connecte.	Ces problèmes ont été résolus dans la version 9.0 de ces composants Metasys®. Nous recommandons de mettre à niveau tous les serveurs Metasys® ADS/ADX et les moteurs NAE/NIE/NCE vers la version 9.0 au moins pour s'assurer que toutes les améliorations de cette dernière version sont actives. Les sites doivent également être configurés avec des certificats de confiance.	15 août 2019	15 août 2019
Bluetooth “KNOB” attaque ou vulnérabilité de la négociation des clés BR/EDR CVE-2019-9506 JCI-PSA-2019-08 v1 En savoir plus sur from Base de données nationale du NIST sur la vulnérabilité (NVD) and MITRE CVE^® List.	Les avis de sécurité pour les produits concernés seront annexés à cette page web dès qu'ils seront disponibles. Les ID PSA de chaque avis spécifique à un produit ont une racine commune suivie de “.x” où x est le numéro d'instance (JCI-PSA-2019-08.x).	Un chercheur a identifié une vulnérabilité qui affecte les appareils Bluetooth qui utilisent la spécification Bluetooth BR/EDR Bluetooth Core versions 1.0 à 5.1.	Référez-vous aux avis de sécurité des produits respectifs (lorsqu'ils sont publiés).	13 août 2019	13 août 2019
JCI-PSA-2019-03 Veuillez consulter l'avis de l'ICS-CERT lié ci-dessous pour des informations complètes et des ressources supplémentaires. ICS-CERT-19-199-01	exacqVision Server 9.6 et 9.8, application fonctionnant sur le système d'exploitation Windows (toutes les versions de Windows prises en charge).	Le 28 mars 2019, Tyco security solutions a publié un avis de sécurité pour le produit exacqVision Server Application.	Veuillez vous référer à l'avis de Johnson Controls ci-dessous pour connaître les mesures d'atténuation: Cliquez ici.	28 mars 2019	18 juillet 2019
Vulnérabilité du module TrueInsight JCI-PSA-2019-05	Modules TrueInsight utilisés pour connecter les panneaux de contrôle d'alarme incendie Simplex® 4007ES, 4010ES, 4100ES, et 4100U	Cette vulnérabilité affecte tous les modules TrueInsight. Si elle est correctement exploitée, cette vulnérabilité pourrait entraîner un accès non autorisé au système d'incendie. Malheureusement, il n'y a pas de correctif disponible pour corriger la vulnérabilité.	Veuillez vous référer à l'avis de Johnson Controls ci-dessous pour connaître les mesures d'atténuation : Cliquez ici.	8 juillet 2019	8 juillet 2019
Microsoft® Remote Desktop Services Remote Code Execution Vulnerability (a.k.a. “BlueKeep”)	Microsoft® Remote Desktop Services Remote Code Execution Vulnerability (a.k.a. “BlueKeep”). Les systèmes de support vulnérables comprennent le système d'exploitation Windows 7, Windows Server® ; 2008 R2, et les systèmes Windows Server 2008. Out-of-support mais les systèmes d'exploitation concernés sont Windows Server 2003 et Windows XP® ; systèmes d'exploitation.	Microsoft a découvert une vulnérabilité dans son service Remote Desktop qui est inclus dans la plupart des versions d'une grande variété de ses systèmes d'exploitation. Bien que cette vulnérabilité ne soit pas associée à une application spécifique de Johnson Controls, elle a un impact sur les environnements informatiques qui peuvent héberger ces applications.	Microsoft a publié une mise à jour du produit qui corrige ce problème de sécurité. Veuillez vous référer à l'avis ci-dessous pour connaître les mesures d'atténuation: Click Here.	22 mai 2019	22 mai 2019
ICS-CERT Advisory ICSA-19-163-01 Veuillez consulter l'avis de l'ICS-CERT lié ci-dessus pour des informations complètes et des ressources supplémentaires.	ExacqVision (ESM) v5.12.2 et toutes les versions antérieures d'ESM fonctionnant sur un système d'exploitation Windows. Ce problème n'affecte pas les déploiements Linux avec des permissions qui ne sont pas héritées du répertoire racine.	Le 15 février 2019, Tyco security solutions a publié un avis de sécurité pour ExacqVision Enterprise System Manager (ESM).	Veuillez vous référer à l'avis de Tyco ci-dessous pour connaître les mesures d'atténuation: Cliquez ici.	15 février 2019	28 mars 2019

2018 Avis de sécurité des produits

Title/Security Advisory ID

Produit concerné

Aperçu

Mitigation

Date de la première publication

Dernière mise à jour

CPP-PSA-20180-02 v1

Facility Explorer™ Path Traversal and Improper Authentication Vulnerabilities

ICS CERT Notice ICSA-19-022-01

CVE-2017-16744

CVE-2017-16748

Veuillez consulter l'avis du CERT ICS lié ci-dessus pour des informations complètes et des ressources supplémentaires.

Facility Explorer 6.x (Niagara AX Framework™) systèmes, avant 6.6

Facility Explorer systèmes 14.x (Niagara 4), avant 14.4u1

Facility Explorer Les versions 6.6 et 14.4u1 du logiciel comprennent plusieurs correctifs et d'importantes réductions de vulnérabilité pour la protection de la cybersécurité.

Les clients doivent passer aux dernières versions disponibles des produits.

Johnson Controls recommande de prendre des mesures pour minimiser les risques pour tous les systèmes d'automatisation des bâtiments.

Le département de la sécurité intérieure’s ICS-CERT fournit également une section for Control Systems Security Recommended Practices.

11 janvier 2018

September 4, 2018

ICSA-14-350-02

Metasys® Building Automation System (BAS) Information Disclosure Vulnerability

ICS Cert Notice ICSA-18-212-02

CVE-2018-10624

Veuillez consulter l'avis du CERT ICS lié ci-dessus pour des informations complètes et des ressources supplémentaires.

Metasys system versions 8.0 and prior.

BCM (maintenant BC Pro) toutes les versions antérieures à 3.0.2

Une version précédente du Metasys BAS pourrait potentiellement révéler des informations techniques lorsqu'une erreur d'authentification se produit dans le serveur BAS.

Les clients doivent passer aux dernières versions des produits. Contactez votre représentant Johnson Controls pour plus de détails.

Johnson Controls recommande de prendre des mesures pour minimiser les risques pour tous les BAS.

Référence à notre
Metasys Page de sécurité.

Le département de la sécurité intérieure’s ICS-CERT fournit également une section pour Control Systems Security Recommended Practices.

17 mars 2015

27 août 2018

Pub # GPS-PSA-2018-02

"Meltdown" and "Spectre" Vulnérabilités Note de vulnérabilité du CERT VU#584653

Johnson Controls Product Security Incident Response Team (PSIRT) évalue l'impact potentiel sur les produits Johnson Controls. Trouvez les mises à jour ici.

Des chercheurs ont récemment révélé de nouvelles failles de sécurité qui ont un impact sur certains aspects de nombreux processeurs modernes et qui pourraient être exploitées pour permettre à un attaquant d'obtenir l'accès à des données sensibles. Ces vulnérabilités permettent aux attaques de canal latéral de lire des données en mémoire. Ces vulnérabilités peuvent affecter les ordinateurs personnels, les appareils mobiles et le cloud.

Bien qu'il n'existe actuellement aucune solution de contournement connue, voici quelques suggestions de mesures que les clients peuvent prendre à court terme pour réduire leurs risques :

Visitez régulièrement ce site pour obtenir des informations mises à jour.

Comme toujours, avant de déployer des correctifs ou des mises à jour de logiciels, testez ces correctifs ou mises à jour sur des systèmes non productifs et suivez toutes les instructions et tous les avertissements du fournisseur pour vous assurer que ces correctifs ou mises à jour n'entravent pas le fonctionnement du système.

Même si ce n'est pas spécifique à cette vulnérabilité, toujours mettre en œuvre une segmentation appropriée du système de construction et du réseau d'entreprise ainsi qu'une sécurité des limites et des contrôles d'accès.

10 janvier 2018

26 janvier 2018

2017 Avis de sécurité des produits

Title/Security Advisory ID	Produit concerné	Aperçu	Mitigation	Date de la première publication	Dernière mise à jour
“KRACK” Wi-Fi Vulnerability Attacks: CERT Vulnerability Note VU#228519	L'équipe de réponse aux incidents de sécurité des produits de Johnson Controls (PSIRT) évalue l'impact potentiel sur les produits de Johnson Controls. Mise à jour à suivre.	Une faiblesse significative dans un protocole de sécurité Wi-Fi couramment utilisé a été annoncée récemment, ce qui pourrait mettre en danger la confidentialité des données transférées par le biais du sans fil. L'attaque, appelée “KRACK” affecte une faiblesse récemment découverte dans le protocole WPA2 qui est couramment pour sécuriser les réseaux Wi-Fi.	Un attaquant à portée d'une victime peut potentiellement exploiter ces faiblesses pour accéder à certains types d'informations transmises entre les clients sans fil et les points d'accès au réseau sans fil, réduisant ainsi la confidentialité et l'intégrité des données transmises.	Octobre 16, 2017	16 novembre 2017
US CERT Alert TA17-132A017-0143 “Indicators Associated with WannaCryRansomware”	All Metasys® versions logicielles fonctionnant sur les systèmes d'exploitation concernés; toutes les séries NxE55, toutes les séries NxE85 et LCS8520	Les systèmes informatiques du monde entier ont été touchés par une attaque Ransomware prolifique qui exploite une vulnérabilité du protocole SMB de Microsoft qui peut affecter certains Metasys composants du système.	Appliquer le correctif Microsoft pour MS17-010 pour les systèmes d'exploitation hôtes. Contactez votre représentant JCI sur le terrain pour les détails des mesures correctives pour des Metasysproduits.	12 mai 2017	7 juin 2018

2015 Avis de sécurité des produits

Title/Security Advisory ID	Produit concerné	Aperçu	Mitigation	Date de la première publication	Dernière mise à jour
ICSA-14-350-02	Metasys® versions 4.1 à 6.5 : ADS, ADX, LCS8520, NAE, NIE, NxE8500	Le chercheur indépendant en sécurité Billy Rios a identifié deux vulnérabilités dans Johnson Controls Metasys® building automation system.	Johnson Controls a produit des correctifs pour chaque version affectée qui atténuent ces vulnérabilités. Contactez votre représentant Johnson Controls pour plus d'informations.	17 mars 2015	27 août 2018
US CERT Alert TA17-132A017-0143 “Indicators Associated with WannaCryRansomware”	All Metasys® versions logicielles fonctionnant sur les systèmes d'exploitation concernés toutes les séries NxE55, toutes les séries NxE85 et LCS8520	Les systèmes informatiques du monde entier ont été touchés par une attaque Ransomware prolifique qui exploite une vulnérabilité du protocole SMB de Microsoft qui peut affecter certains Metasys composants du système.	Appliquer le patch Microsoft pour MS17-010 pour les systèmes d'exploitation hôtes. Contactez votre représentant JCI sur le terrain pour les détails des mesures correctives pour des Metasys produits	12 mai 2017	7 juin 2018

2014 Avis de sécurité des produits

Title/Security Advisory ID	Produit concerné	Aperçu	Mitigation	Date de la première publication	Dernière mise à jour
CVE-2014-0160"Heartbleed"	None	Une vulnérabilité dans OpenSSL pourrait permettre à un attaquant distant d'exposer des données sensibles.	Aucune atténuation requise .	8 août 2014	25 août 2015
CVE-2014-6271"Shellshock"	None	Une faille dans le GNU Bourne-Again Shell (Bash) pourrait permettre à un attaquant d'exécuter à distance des commandes shell.	Aucune atténuation requise .	25 septembre 2014	August 25, 2015
CVE-2014-3566 Alerte de l'US-CERT TA-14290A	Metasys® Release 6.5, 7.0, 8. 0 : Application and Data Server (ADS), Extended Application and Data Server (ADX), ADS-Lite, Open Data Server (ODS), Metasys® Advanced Reporting System, Metasys® Export Utility, Ready Access Portal, and Metasys® User Interface (UI) Release 1. 5, 1.5.1, et 2.0	Communément appelé Padding Oracle on Downgraded Legacy Encryption (POODLE), cette vulnérabilité peut permettre à un attaquant de décrypter le chiffrement texte utilisant une attaque de canal latéral oracle de rembourrage. L'attaque exploite la possibilité de déclasser la communication à SSL V3, une version plus ancienne et moins sûre de SSL qui est vulnérable aux attaques.	Il n'y a pas de correctifs ou de mises à jour de nos produits, mais simplement un rappel de la nécessité d'en tenir compte au niveau du système d'exploitation Microsoft. Désactiver SSLv3 sur le serveur et les ordinateurs autonomes hébergeant les Metasyslogiciels	Octobre 17, 2014	September 30,2016