La Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a publi\u00e9<\/a> quatre avis sur les syst\u00e8mes de contr\u00f4le industriels (ICS), signalant plusieurs failles de s\u00e9curit\u00e9 affectant les produits de Siemens, GE Digital et Contec.<\/p>\n Les probl\u00e8mes les plus critiques ont \u00e9t\u00e9 identifi\u00e9s dans Siemens SINEC INS qui pourraient conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance via une faille de travers\u00e9e de chemin (CVE-2022-45092<\/a>score CVSS : 9,9) et injection de commandes (CVE-2022-2068<\/a>score CVSS : 9,8).<\/p>\n Siemens a \u00e9galement corrig\u00e9 une vuln\u00e9rabilit\u00e9 de contournement d’authentification dans l’analyseur llhttp (CVE-2022-35256<\/a>score CVSS\u00a0: 9,8) ainsi qu’un bogue d’\u00e9criture hors limites dans la biblioth\u00e8que OpenSSL (CVE-2022-2274, score CVSS\u00a0: 9,8) qui pourrait \u00eatre exploit\u00e9 pour d\u00e9clencher l’ex\u00e9cution de code \u00e0 distance.<\/p>\n L’entreprise allemande d’automatisation, en d\u00e9cembre 2022, lib\u00e9r\u00e9<\/a> Logiciel Service Pack 2 Update 1 pour att\u00e9nuer les d\u00e9fauts.<\/p>\n Par ailleurs, une faille critique a \u00e9galement \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans la solution Proficy Historian de GE Digital qui pourrait entra\u00eener l’ex\u00e9cution de code quel que soit le statut d’authentification. Le probl\u00e8me, suivi en tant que CVE-2022-46732 (score CVSS\u00a0: 9,8), affecte les versions 7.0 et sup\u00e9rieures de Proficy Historian, et a \u00e9t\u00e9 corrig\u00e9 dans Historien professionnel 2023<\/a>.<\/p>\n “Un attaquant peut profiter de ce fait et contourner l’authentification de l’historien en se faisant passer pour un service local”, a d\u00e9clar\u00e9 Uri Katz, chercheur en s\u00e9curit\u00e9 \u00e0 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 industrielle Claroty. m’a dit<\/a>. “Cela permet aux attaquants distants de se connecter \u00e0 n’importe quel serveur GE Proficy Historian et de le forcer \u00e0 effectuer des actions non autoris\u00e9es.”<\/p>\n La CISA a \u00e9galement mis \u00e0 jour un avis ICS publi\u00e9 le mois dernier, d\u00e9taillant une vuln\u00e9rabilit\u00e9 critique d’injection de commande dans le syst\u00e8me Contec CONPROSYS HMI (CVE-2022-44456, score CVSS\u00a0: 10,0) qui pourrait permettre \u00e0 un attaquant distant d’envoyer des requ\u00eates sp\u00e9cialement con\u00e7ues pour ex\u00e9cuter des commandes arbitraires. .<\/p>\n Bien que cette lacune ait \u00e9t\u00e9 corrig\u00e9e par Contec dans la version 3.4.5, le logiciel s’est depuis r\u00e9v\u00e9l\u00e9 vuln\u00e9rable \u00e0 quatre d\u00e9fauts suppl\u00e9mentaires pouvant entra\u00eener la divulgation d’informations et un acc\u00e8s non autoris\u00e9.<\/p>\n Il est recommand\u00e9 aux utilisateurs du syst\u00e8me CONPROSYS HMI de mettre \u00e0 jour vers la version 3.5.0 ou ult\u00e9rieure, en plus de prendre des mesures pour minimiser l’exposition du r\u00e9seau et isoler ces appareils des r\u00e9seaux d’entreprise.<\/p>\n Les avis surviennent moins d’une semaine apr\u00e8s que la CISA a publi\u00e9 12 alertes de ce type avertissant de failles critiques affectant les logiciels de Sewio, InHand Networks, Sauter Controls et Siemens.<\/p>\n <\/p>\n