La Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a publi\u00e9 plusieurs syst\u00e8mes de contr\u00f4le industriel (ICS) avis<\/a> avertissement de failles de s\u00e9curit\u00e9 critiques affectant les produits de Sewio, InHand Networks, Sauter Controls et Siemens.<\/p>\n La plus grave des failles concerne le RTLS Studio de Sewio, qui pourrait \u00eatre exploit\u00e9 par un attaquant pour “obtenir un acc\u00e8s non autoris\u00e9 au serveur, modifier des informations, cr\u00e9er une condition de d\u00e9ni de service, obtenir des privil\u00e8ges \u00e9lev\u00e9s et ex\u00e9cuter du code arbitraire”. selon CISA<\/a>.<\/p>\n Cela inclut CVE-2022-45444 (score CVSS\u00a0: 10,0), un cas de mots de passe cod\u00e9s en dur pour certains utilisateurs dans la base de donn\u00e9es de l’application qui accordent potentiellement \u00e0 des adversaires distants un acc\u00e8s illimit\u00e9.<\/p>\n Il convient \u00e9galement de noter deux failles d’injection de commande (CVE-2022-47911 et CVE-2022-43483, scores CVSS\u00a0: 9,1) et une vuln\u00e9rabilit\u00e9 d’\u00e9criture hors limites (CVE-2022-41989, score CVSS\u00a0: 9,1) qui pourraient entra\u00eener condition de d\u00e9ni de service ou ex\u00e9cution de code.<\/p>\n Les vuln\u00e9rabilit\u00e9s affectent RTLS Studio version 2.0.0 jusqu’\u00e0 la version 2.6.2 incluse. Il est recommand\u00e9 aux utilisateurs de mettre \u00e0 jour vers la version 3.0.0 ou ult\u00e9rieure.<\/p>\n CISA, dans un deuxi\u00e8me alerte<\/a>a mis en \u00e9vidence un ensemble de cinq failles de s\u00e9curit\u00e9 dans InHand Networks InRouter 302 et InRouter 615, y compris CVE-2023-22600 (score CVSS\u00a0: 10,0), qui pourraient entra\u00eener l’injection de commandes, la divulgation d’informations et l’ex\u00e9cution de code.<\/p>\n “Si elles sont correctement encha\u00een\u00e9es, ces vuln\u00e9rabilit\u00e9s pourraient amener un utilisateur distant non autoris\u00e9 \u00e0 compromettre compl\u00e8tement chaque appareil InHand Networks g\u00e9r\u00e9 dans le cloud accessible par le cloud”, a d\u00e9clar\u00e9 l’agence.<\/p>\n Toutes les versions de firmware de InRouter 302 ant\u00e9rieures \u00e0 IR302 V3.5.56 et InRouter 615 ant\u00e9rieures \u00e0 InRouter6XX-S-V2.3.0.r5542 sont sensibles aux bogues.<\/p>\n Des failles de s\u00e9curit\u00e9 ont \u00e9galement \u00e9t\u00e9 divulgu\u00e9<\/a> dans Sauter Controls Nova 220, Nova 230, Nova 106 et moduNet300 qui pourraient permettre une visibilit\u00e9 non autoris\u00e9e d’informations sensibles (CVE-2023-0053, score CVSS\u00a0: 7,5) et l’ex\u00e9cution de code \u00e0 distance (CVE-2023-0052, score CVSS\u00a0: 9,8) .<\/p>\n Cependant, la soci\u00e9t\u00e9 d’automatisation bas\u00e9e en Suisse ne pr\u00e9voit pas de publier de correctifs pour les probl\u00e8mes identifi\u00e9s en raison du fait que la gamme de produits n’est plus prise en charge.<\/p>\n Enfin, l’agence de s\u00e9curit\u00e9 d\u00e9taill\u00e9<\/a> un cross-site scripting (XSS<\/a>) faille dans l’\u00e9quipement Siemens Mendix SAML (CVE-2022-46823, score CVSS\u00a0: 9,3) qui pourrait permettre \u00e0 un acteur malveillant d’obtenir des informations sensibles en incitant les utilisateurs \u00e0 cliquer sur un lien sp\u00e9cialement con\u00e7u.<\/p>\n Il est conseill\u00e9 aux utilisateurs d’activer l’authentification multifacteur et de mettre \u00e0 jour Mendix SAML vers les versions 2.3.4 (Mendix 8), 3.3.8 (Mendix 9, Upgrade Track) ou 3.3.9 (Mendix 9, New Track) pour att\u00e9nuer les risques potentiels.<\/p>\n <\/p>\n