Des vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans la solution d’acc\u00e8s \u00e0 distance industrielle Ewon Cosy+ qui pourraient \u00eatre exploit\u00e9es pour obtenir des privil\u00e8ges root sur les appareils et lancer des attaques de suivi.<\/p>\n
L’acc\u00e8s \u00e9lev\u00e9 pourrait ensuite \u00eatre utilis\u00e9 comme arme pour d\u00e9crypter les fichiers de micrologiciel crypt\u00e9s et les donn\u00e9es crypt\u00e9es telles que les mots de passe dans les fichiers de configuration, et m\u00eame obtenir des certificats VPN X.509 correctement sign\u00e9s pour que les appareils \u00e9trangers prennent le contr\u00f4le de leurs sessions VPN.<\/p>\n
\u00ab Cela permet aux attaquants de d\u00e9tourner des sessions VPN, ce qui entra\u00eene des risques de s\u00e9curit\u00e9 importants pour les utilisateurs du Cosy+ et l’infrastructure industrielle adjacente \u00bb, a d\u00e9clar\u00e9 Moritz Abrell, chercheur en s\u00e9curit\u00e9 chez SySS GmbH. dit<\/a> dans une nouvelle analyse.<\/p>\n Les r\u00e9sultats ont \u00e9t\u00e9 pr\u00e9sent\u00e9<\/a> \u00e0 la conf\u00e9rence DEF CON 32 ce week-end.<\/p>\n L’architecture d’Ewon Cosy+ implique l’utilisation d’une connexion VPN qui est achemin\u00e9e vers une plateforme g\u00e9r\u00e9e par le fournisseur appel\u00e9e Talk2m via OpenVPN. Les techniciens peuvent se connecter \u00e0 distance \u00e0 la passerelle industrielle au moyen d’un relais VPN qui se produit via OpenVPN.<\/p>\n La soci\u00e9t\u00e9 de pentest bas\u00e9e en Allemagne a d\u00e9clar\u00e9 avoir pu d\u00e9couvrir une vuln\u00e9rabilit\u00e9 d’injection de commande du syst\u00e8me d’exploitation et un contournement de filtre qui permettait d’obtenir un shell invers\u00e9 en t\u00e9l\u00e9chargeant une configuration OpenVPN sp\u00e9cialement con\u00e7ue.<\/p>\n Un attaquant aurait pu par la suite profiter d’une vuln\u00e9rabilit\u00e9 persistante de script intersite (XSS) et du fait que l’appareil stocke les informations d’identification cod\u00e9es en Base64 de la session Web en cours dans un cookie non prot\u00e9g\u00e9 nomm\u00e9 credentials pour obtenir un acc\u00e8s administratif et finalement le rooter.<\/p>\n \u00ab Un attaquant non authentifi\u00e9 peut obtenir un acc\u00e8s root au Cosy+ en combinant les vuln\u00e9rabilit\u00e9s trouv\u00e9es et, par exemple, en attendant qu’un utilisateur administrateur se connecte \u00e0 l’appareil \u00bb, a d\u00e9clar\u00e9 Abrell.<\/p>\n La cha\u00eene d’attaque pourrait ensuite \u00eatre \u00e9tendue pour mettre en place la persistance, acc\u00e9der aux cl\u00e9s de chiffrement sp\u00e9cifiques au micrologiciel et d\u00e9chiffrer le fichier de mise \u00e0 jour du micrologiciel. De plus, une cl\u00e9 cod\u00e9e en dur stock\u00e9e dans le binaire pour le chiffrement du mot de passe pourrait \u00eatre utilis\u00e9e pour extraire les secrets.<\/p>\n \u00ab La communication entre le Cosy+ et l’API Talk2m se fait via HTTPS et est s\u00e9curis\u00e9e via une authentification mutuelle TLS (mTLS) \u00bb, explique Abrell. \u00ab Si un appareil Cosy+ est attribu\u00e9 \u00e0 un compte Talk2m, l’appareil g\u00e9n\u00e8re une demande de signature de certificat (CSR) contenant son num\u00e9ro de s\u00e9rie comme nom commun (CN) et l’envoie \u00e0 l’API Talk2m. \u00bb<\/p>\n Ce certificat, accessible via l’API Talk2m par l’appareil, est utilis\u00e9 pour l’authentification OpenVPN. Cependant, SySS a d\u00e9couvert que le seul recours au num\u00e9ro de s\u00e9rie de l’appareil pouvait \u00eatre exploit\u00e9 par un acteur malveillant pour inscrire son propre CSR avec un num\u00e9ro de s\u00e9rie sur un appareil cible et lancer avec succ\u00e8s une session VPN.<\/p>\n \u00ab La session VPN d’origine sera \u00e9cras\u00e9e et l’appareil d’origine ne sera plus accessible \u00bb, a d\u00e9clar\u00e9 M. Abrell. \u00ab Si les utilisateurs de Talk2m se connectent \u00e0 l’appareil \u00e0 l’aide du logiciel client VPN Ecatcher, ils seront redirig\u00e9s vers l’attaquant. \u00bb<\/p>\n \u00ab Cela permet aux attaquants de mener d’autres attaques contre le client utilis\u00e9, par exemple en acc\u00e9dant aux services r\u00e9seau tels que RDP ou SMB du client victime. Le fait que la connexion au tunnel elle-m\u00eame ne soit pas restreinte favorise cette attaque. \u00bb<\/p>\n \u00ab \u00c9tant donn\u00e9 que la communication r\u00e9seau est transmise \u00e0 l’attaquant, le r\u00e9seau et les syst\u00e8mes d’origine pourraient \u00eatre imit\u00e9s afin d’intercepter les entr\u00e9es utilisateur de la victime, telles que les programmes PLC t\u00e9l\u00e9charg\u00e9s ou similaires. \u00bb<\/p>\n Cette \u00e9volution intervient alors que Microsoft a d\u00e9couvert plusieurs failles dans OpenVPN qui pourraient \u00eatre encha\u00een\u00e9es pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance (RCE) et l’escalade des privil\u00e8ges locaux (LPE).<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Loutil-dacces-a-distance-industriel-Ewon-Cosy-est-vulnerable-aux.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n