Les chercheurs ont r\u00e9v\u00e9l\u00e9 les d\u00e9tails de trois nouvelles vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 affectant les produits de technologie op\u00e9rationnelle (OT) de CODESYS et Festo qui pourraient conduire \u00e0 la falsification du code source et au d\u00e9ni de service (DoS).<\/p>\n
Les vuln\u00e9rabilit\u00e9s, signal\u00e9es par Forescout Vedere Labs, sont les derni\u00e8res d’une longue liste de failles suivies collectivement sous le nom OT:ICEFALL.<\/p>\n
“Ces probl\u00e8mes illustrent soit une approche non s\u00e9curis\u00e9e d\u00e8s la conception – ce qui \u00e9tait habituel au moment du lancement des produits – o\u00f9 les fabricants incluent des fonctions dangereuses auxquelles on peut acc\u00e9der sans authentification ou une mise en \u0153uvre m\u00e9diocre des contr\u00f4les de s\u00e9curit\u00e9, tels que la cryptographie”, a d\u00e9clar\u00e9 le des chercheurs a dit<\/a>.<\/p>\n Le plus critique des d\u00e9fauts est CVE-2022-3270<\/a> (score CVSS\u00a0: 9,8), une vuln\u00e9rabilit\u00e9 critique qui affecte les contr\u00f4leurs d’automatisation Festo utilisant le protocole Festo Generic Multicast (FGMC) pour red\u00e9marrer les appareils sans n\u00e9cessiter aucune authentification et provoquer une condition de d\u00e9ni de service (DoS).<\/p>\n Une autre lacune DoS dans les contr\u00f4leurs Festo (CVE-2022-3079<\/a>score CVSS\u00a0: 7,5) concerne un cas d’acc\u00e8s \u00e0 distance non authentifi\u00e9 \u00e0 une page Web non document\u00e9e (“cec-reboot.php”) qui pourrait \u00eatre exploit\u00e9e par un attaquant disposant d’un acc\u00e8s r\u00e9seau \u00e0 Festo CPX-CEC-C1 et CPX-CMXX automates.<\/p>\n Le troisi\u00e8me probl\u00e8me, d’autre part, concerne l’utilisation d’une cryptographie faible dans l’environnement d’ex\u00e9cution CODESYS V3 pour s\u00e9curiser le t\u00e9l\u00e9chargement de code et les applications de d\u00e9marrage (CVE-2022-4048<\/a>score CVSS : 7,7), qui pourrait \u00eatre exploit\u00e9 par un acteur malveillant pour d\u00e9chiffrer et manipuler le code source, compromettant ainsi les protections de confidentialit\u00e9 et d’int\u00e9grit\u00e9.<\/p>\n Forescout a d\u00e9clar\u00e9 avoir \u00e9galement identifi\u00e9 deux bogues CODESYS connus affectant les contr\u00f4leurs Festo CPX-CEC-C1 (CVE-2022-31806<\/a> et CVE-2022-22515<\/a>) qui d\u00e9coulent d’une configuration non s\u00e9curis\u00e9e dans l’environnement d’ex\u00e9cution de Control et qui pourraient entra\u00eener un d\u00e9ni de service sans authentification.<\/p>\n “C’est encore un autre exemple d’un probl\u00e8me de cha\u00eene d’approvisionnement o\u00f9 une vuln\u00e9rabilit\u00e9 n’a pas \u00e9t\u00e9 divulgu\u00e9e pour tous les produits qu’elle affecte”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Pour att\u00e9nuer les menaces potentielles, il est recommand\u00e9 aux organisations de d\u00e9couvrir et d’inventorier les appareils vuln\u00e9rables, d’appliquer des contr\u00f4les de segmentation du r\u00e9seau appropri\u00e9s et de surveiller le trafic r\u00e9seau pour d\u00e9tecter toute activit\u00e9 anormale.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjRFZ8qsBvgTY-k97x35shkWsLwy9nml2qvGAhoSUrgnOv4cjMNq_Fxt3PX1-fGsYvukFgecZk_tEq7yo25JhDC5-Vs1Y7zQbdJRNWI2oxxbGupTJLIJ0PYz_4_8B6uWYsPON_7MgJlvofZuiWyadFpo71DOfXvGZzq6ie6zFQwJuzi2macqFLGR30PbA\/s1600\/Uptycs-728.jpg\")
<\/a><\/center><\/div>\n![\"Vuln\u00e9rabilit\u00e9s](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1669797588_717_3-nouvelles-vulnerabilites-affectent-les-produits-OT-des-societes-allemandes.png\" "\\"Vuln\u00e9rabilit\u00e9s")
<\/div>\n