La Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a publi\u00e9<\/a> huit<\/a> Avis sur les syst\u00e8mes de contr\u00f4le industriel (ICS) avertissant des d\u00e9fauts critiques affectant les produits de Hitachi Energy, mySCADA Technologies, Industrial Control Links et Nexx.<\/p>\n En t\u00eate de liste est CVE-2022-3682<\/a> (score CVSS\u00a0: 9,9), affectant le syst\u00e8me MicroSCADA System Data Manager SDM600 d’Hitachi\u00a0Energy, qui pourrait permettre \u00e0 un attaquant de prendre le contr\u00f4le \u00e0 distance du produit.<\/p>\n La faille provient d’un probl\u00e8me de validation des autorisations de fichiers, permettant ainsi \u00e0 un adversaire de t\u00e9l\u00e9charger un message sp\u00e9cialement con\u00e7u sur le syst\u00e8me, conduisant \u00e0 l’ex\u00e9cution de code arbitraire.<\/p>\n Hitachi Energy a publi\u00e9 SDM600 1.3.0.1339 pour att\u00e9nuer<\/a> le probl\u00e8me pour les versions SDM600 ant\u00e9rieures \u00e0 la version 1.2 FP3 HF4 (Build Nr. 1.2.23000.291).<\/p>\n Un autre ensemble de cinq vuln\u00e9rabilit\u00e9s critiques – CVE-2023-28400<\/a>, CVE-2023-28716<\/a>, CVE-2023-28384<\/a>, CVE-2023-29169<\/a>et CVE-2023-29150<\/a> (Scores CVSS\u00a0: 9,9) – concernent les bogues d’injection de commandes pr\u00e9sents dans mySCADA myPRO versions 8.26.0 et ant\u00e9rieures.<\/p>\n “L’exploitation r\u00e9ussie de ces vuln\u00e9rabilit\u00e9s pourrait permettre \u00e0 un utilisateur authentifi\u00e9 d’injecter des commandes arbitraires du syst\u00e8me d’exploitation”, a averti la CISA, exhortant les utilisateurs \u00e0 mettre \u00e0 jour vers la version 8.29.0 ou sup\u00e9rieure.<\/p>\n Un bogue de s\u00e9curit\u00e9 critique a \u00e9galement \u00e9t\u00e9 divulgu\u00e9 dans les contr\u00f4leurs SCADA ScadaFlex II de Industrial Control Links (CVE-2022-25359<\/a>score CVSS\u00a0: 9,1) qui pourrait permettre \u00e0 un attaquant authentifi\u00e9 d’\u00e9craser, de supprimer ou de cr\u00e9er des fichiers.<\/p>\n “Industrial Control Links a fait savoir qu’ils fermaient leur entreprise”, a indiqu\u00e9 l’agence. “Ce produit peut \u00eatre consid\u00e9r\u00e9 comme en fin de vie\u00a0; une assistance continue pour ce produit peut ne pas \u00eatre disponible.”<\/p>\n Il est recommand\u00e9 aux utilisateurs de minimiser l’exposition du r\u00e9seau, d’isoler les r\u00e9seaux du syst\u00e8me de contr\u00f4le des r\u00e9seaux d’entreprise et de les placer derri\u00e8re des pare-feu pour faire face aux risques potentiels.<\/p>\n La liste est compl\u00e9t\u00e9e par cinq d\u00e9fauts, dont un bug critique (CVE-2023-1748<\/a>score CVSS : 9,3), ayant un impact sur les contr\u00f4leurs de porte de garage, les prises intelligentes et les alarmes intelligentes vendues par Nexx.<\/p>\n Selon un chercheur en s\u00e9curit\u00e9, les vuln\u00e9rabilit\u00e9s qui pourraient permettre aux acteurs de la menace de casser les portes de garage des maisons, de prendre le contr\u00f4le des prises intelligentes et de prendre le contr\u00f4le \u00e0 distance des alarmes intelligentes Sam Sab\u00e9tan<\/a>qui a d\u00e9couvert et signal\u00e9 les probl\u00e8mes.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n