L’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) a publi\u00e9 mardi un avertissement sur les syst\u00e8mes de contr\u00f4le industriel (ICS) concernant sept failles de s\u00e9curit\u00e9 dans le produit d’unit\u00e9 de distribution d’alimentation iBoot-PDU de Dataprobe, principalement utilis\u00e9 dans les environnements industriels et les centres de donn\u00e9es.<\/p>\n
“L’exploitation r\u00e9ussie de ces vuln\u00e9rabilit\u00e9s pourrait conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance non authentifi\u00e9 sur l’appareil Dataprobe iBoot-PDU”, a d\u00e9clar\u00e9 l’agence. a dit<\/a> dans un avis.<\/p>\n C’est \u00e0 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 industrielle Claroty, qui a dit<\/a> les faiblesses pourraient \u00eatre d\u00e9clench\u00e9es \u00e0 distance “soit via une connexion Web directe \u00e0 l’appareil, soit via le cloud”.<\/p>\n iBoot-PDU<\/a> est une unit\u00e9 de distribution d’alimentation (PDU) qui fournit aux utilisateurs des capacit\u00e9s de surveillance en temps r\u00e9el et des m\u00e9canismes d’alerte sophistiqu\u00e9s via une interface Web afin de contr\u00f4ler l’alimentation \u00e9lectrique des appareils et autres \u00e9quipements dans un environnement OT.<\/p>\n Les vuln\u00e9rabilit\u00e9s prennent une nouvelle importance si l’on tient compte du fait que pas moins de 2 600 PDU sont accessibles sur Internet, les appareils Dataprobe repr\u00e9sentant pr\u00e8s d’un tiers de ceux expos\u00e9s, selon un rapport 2021<\/a> de la plate-forme de gestion de surface d’attaque Censys.<\/p>\n L’analyse de Claroty du micrologiciel de la PDU montre que le produit est paralys\u00e9 par des probl\u00e8mes allant de l’injection de commande aux d\u00e9fauts de travers\u00e9e de chemin, exposant les clients \u00e0 de graves risques de s\u00e9curit\u00e9 –<\/p>\n L’exploitation \u00e0 distance r\u00e9ussie des failles “met un attaquant \u00e0 port\u00e9e de main pour perturber les services critiques en coupant l’alimentation \u00e9lectrique de l’appareil et par la suite, tout ce qui y est branch\u00e9”, a d\u00e9clar\u00e9 le chercheur de Clarory, Uri Katz.<\/p>\n Les cinq autres vuln\u00e9rabilit\u00e9s d\u00e9couvertes (de CVE-2022-3185 \u00e0 CVE-2022-3189) pourraient \u00eatre militaris\u00e9es par un acteur malveillant pour acc\u00e9der \u00e0 la page de gestion principale de l’appareil depuis le cloud et m\u00eame tromper le serveur pour qu’il se connecte \u00e0 des syst\u00e8mes internes ou externes arbitraires ( alias SSRF<\/a>), potentiellement fuite d’informations sensibles.<\/p>\n “M\u00eame une unit\u00e9 de distribution d’alimentation inoffensive g\u00e9r\u00e9e \u00e0 distance sur Internet ou via une plate-forme de gestion bas\u00e9e sur le cloud peut fournir \u00e0 un attaquant d\u00e9termin\u00e9 pour cibler le r\u00e9seau, ou un moyen de perturber les services essentiels en coupant l’alimentation des appareils connect\u00e9s \u00e0 un PDU”, a d\u00e9clar\u00e9 Katz. a dit.<\/p>\n Claroty a en outre r\u00e9v\u00e9l\u00e9 qu’il avait trouv\u00e9 un moyen d’\u00e9num\u00e9rer les appareils iBoot PDU connect\u00e9s au cloud en exploitant une combinaison d’un cookie valide et de l’ID de l’appareil (une valeur num\u00e9rique s\u00e9quentielle qui peut \u00eatre devin\u00e9e de mani\u00e8re triviale), \u00e9largissant ainsi la surface d’attaque disponible \u00e0 tous les appareils connect\u00e9s. .<\/p>\n Il est recommand\u00e9 aux utilisateurs de Dataprobe iBoot-PDU de passer \u00e0 la derni\u00e8re version du micrologiciel<\/a> (1.42.06162022) ainsi que d\u00e9sactiver SNMP, Telnet et HTTP, s’ils ne sont pas utilis\u00e9s, pour att\u00e9nuer certaines de ces vuln\u00e9rabilit\u00e9s.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/Microsoft-met-en-garde-contre-une-campagne-de-fraude-au.png\")
<\/a><\/div>\n![\"Unit\u00e9s](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663755273_211_Des-failles-critiques-de-piratage-a-distance-decouvertes-dans-les.jpg\" "\\"Unit\u00e9s")
<\/div>\n\n
![\"Unit\u00e9s](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663755273_937_Des-failles-critiques-de-piratage-a-distance-decouvertes-dans-les.jpg\" "\\"Unit\u00e9s")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663626286_532_Microsoft-met-en-garde-contre-une-campagne-de-fraude-au.png\")
<\/a><\/div>\n