L’Agence am\u00e9ricaine pour la cybers\u00e9curit\u00e9 et la s\u00e9curit\u00e9 des infrastructures (CISA) a publi\u00e9 cette semaine un avertissement sur les syst\u00e8mes de contr\u00f4le industriel (ICS) concernant de multiples vuln\u00e9rabilit\u00e9s dans le logiciel d’ing\u00e9nierie Mitsubishi Electric GX Works3.<\/p>\n
“L’exploitation r\u00e9ussie de ces vuln\u00e9rabilit\u00e9s pourrait permettre \u00e0 des utilisateurs non autoris\u00e9s d’acc\u00e9der aux modules CPU de la s\u00e9rie MELSEC iQ-R\/F\/L et au module de serveur OPC UA de la s\u00e9rie MELSEC iQ-R ou de visualiser et d’ex\u00e9cuter des programmes”, a d\u00e9clar\u00e9 l’agence. a dit<\/a>.<\/p>\n GX Works3<\/a> est un poste de travail d’ing\u00e9nierie<\/a> logiciel utilis\u00e9 dans les environnements ICS, servant de m\u00e9canisme pour charger et t\u00e9l\u00e9charger des programmes depuis\/vers le contr\u00f4leur, r\u00e9soudre les probl\u00e8mes logiciels et mat\u00e9riels et effectuer des op\u00e9rations de maintenance.<\/p>\n Le large \u00e9ventail de fonctions en fait \u00e9galement une cible attrayante pour les acteurs de la menace qui cherchent \u00e0 compromettre ces syst\u00e8mes pour r\u00e9quisitionner les automates g\u00e9r\u00e9s.<\/p>\n Trois des 10 lacunes concernent le stockage en clair de donn\u00e9es sensibles, quatre concernent l’utilisation d’une cl\u00e9 cryptographique cod\u00e9e en dur, deux concernent l’utilisation d’un mot de passe cod\u00e9 en dur et une concerne un cas d’identifiants insuffisamment prot\u00e9g\u00e9s.<\/p>\n Le plus critique des bogues, CVE-2022-25164<\/a>et CVE-2022-29830<\/a>portent un score CVSS de 9,1 et peuvent \u00eatre utilis\u00e9s de mani\u00e8re abusive pour acc\u00e9der au module CPU et obtenir des informations sur les fichiers de projet sans n\u00e9cessiter aucune autorisation.<\/p>\n Nozomi Networks, qui a d\u00e9couvert CVE-2022-29831<\/a> (score CVSS\u00a0: 7,5), a d\u00e9clar\u00e9 qu’un attaquant ayant acc\u00e8s \u00e0 un fichier de projet d’automate de s\u00e9curit\u00e9 pourrait exploiter le mot de passe cod\u00e9 en dur pour acc\u00e9der directement au module CPU de s\u00e9curit\u00e9 et potentiellement perturber les processus industriels.<\/p>\n “Les logiciels d’ing\u00e9nierie repr\u00e9sentent un \u00e9l\u00e9ment essentiel de la cha\u00eene de s\u00e9curit\u00e9 des contr\u00f4leurs industriels”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a>. “Si des vuln\u00e9rabilit\u00e9s devaient survenir, les adversaires pourraient en abuser pour finalement compromettre les appareils g\u00e9r\u00e9s et, par cons\u00e9quent, le processus industriel supervis\u00e9.”<\/p>\n La divulgation intervient alors que CISA r\u00e9v\u00e9l\u00e9<\/a> d\u00e9tails d’une vuln\u00e9rabilit\u00e9 de d\u00e9ni de service (DoS) dans Mitsubishi Electric MELSEC iQ-R Series qui d\u00e9coule d’un manque de validation d’entr\u00e9e appropri\u00e9e (CVE-2022-40265<\/a>score CVSS : 8,6).<\/p>\n “L’exploitation r\u00e9ussie de cette vuln\u00e9rabilit\u00e9 pourrait permettre \u00e0 un attaquant distant non authentifi\u00e9 de provoquer une condition de d\u00e9ni de service sur un produit cible en envoyant des paquets sp\u00e9cialement con\u00e7us”, a not\u00e9 CISA.<\/p>\n Dans un d\u00e9veloppement connexe, l’agence de cybers\u00e9curit\u00e9 a en outre d\u00e9crit trois probl\u00e8mes affectant le Remote Compact Controller (RCC) 972 de Horner Automation, dont le plus critique (CVE-2022-2641<\/a>score CVSS\u00a0: 9,8) pourrait entra\u00eener l’ex\u00e9cution de code \u00e0 distance ou provoquer une condition DoS.<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjRFZ8qsBvgTY-k97x35shkWsLwy9nml2qvGAhoSUrgnOv4cjMNq_Fxt3PX1-fGsYvukFgecZk_tEq7yo25JhDC5-Vs1Y7zQbdJRNWI2oxxbGupTJLIJ0PYz_4_8B6uWYsPON_7MgJlvofZuiWyadFpo71DOfXvGZzq6ie6zFQwJuzi2macqFLGR30PbA\/s1600\/Uptycs-728.jpg\")
<\/a><\/center><\/div>\n