Les entreprises Siemens, Schneider Electric et Rockwell Automation ont publié de nouvelles mises à jour et alertes de sécurité pour les systèmes de contrôle industriel pendant le cycle du Patch Tuesday, en mettant l’accent sur des vulnérabilités susceptibles d’affecter les automates, les appareils périphériques et les plateformes d’exploitation utilisés dans les environnements industriels.
17 bulletins de Siemens
Siemens a publié 17 nouveaux bulletins de sécurité. Cette réponse comprenait des correctifs pour certaines vulnérabilités ainsi que des mesures d’atténuation temporaires pour d’autres, dans l’attente de la disponibilité des correctifs définitifs.
Les vulnérabilités critiques concernaient notamment certains processeurs centraux Simatic S7-1500, des appareils Industrial Edge et le contrôleur d’accès aux stations Ruggedcom Crossbow Station Access Controller (SAC). Dans les unités Simatic, plus de 400 vulnérabilités affectent le sous-système GNU/Linux.
Siemens a également corrigé des vulnérabilités à haut risque dans les produits Ruggedcom Crossbow, Simatic IPC, PSS(R)SINCAL et la bibliothèque .NET de l’interface Simatic S7 Webserver API, ainsi que dans Industrial Edge App Publisher, Apogee, Desigo, Talon, Ruggedcom APE1808 et Simatic WinCC. Les mises à jour de gravité moyenne concernaient les produits Sentron 3NA COM Fuse et Capital Embedded AR Classic, en plus d’une clarification d’une ambiguïté dans la documentation relative aux unités Simatic S7 et aux produits associés.
Vulnérabilités dans les produits de Schneider et Rockwell
Schneider Electric a publié deux nouveaux bulletins, chacun couvrant une vulnérabilité à haut risque. La première affecte Pro-face STW6000 et Harmony STW6 et pourrait permettre à un attaquant de prendre le contrôle de l’appareil en incitant l’utilisateur à consulter une page web malveillante. La seconde affecte les unités Sage RTU et peut être exploitée par un utilisateur disposant de privilèges élevés pour installer un micrologiciel malveillant sur l’appareil.
Rockwell Automation a publié un seul bulletin concernant deux vulnérabilités dans les appareils 1732E ArmorBlock. La vulnérabilité classée critique permet à un attaquant non authentifié de modifier le mot de passe du serveur web, ce qui pourrait entraîner la prise de contrôle du compte administrateur. La seconde vulnérabilité provoque un déni de service.
Alertes d’organismes de sécurité
La CISA a publié deux nouveaux bulletins : le premier concerne des vulnérabilités dans les caméras Swann SWIFI-SE2KIC susceptibles de divulguer des informations vidéo, tandis que le second traite d’un problème d’élévation de privilèges dans le produit Ignition d’Inductive Automation. Le CERT@VDE allemand a également signalé une vulnérabilité de divulgation d’informations dans la plateforme Bender Customer&Partner.
Entre le cycle actuel et le cycle précédent du Patch Tuesday, des bulletins ont également été publiés par Moxa, Honeywell, Hitachi Energy, Johnson Controls et ABB. Ils concernaient des produits de passerelles de protocoles, des systèmes de gestion des actifs et des systèmes de contrôle industriel.
Pourquoi cette information est-elle importante ?
La densité des bulletins et la diversité des produits montrent que la gestion de la sécurité des systèmes de contrôle industriel ne se limite pas à l’installation d’une seule mise à jour ; dans certains cas, elle peut nécessiter l’application d’une mesure d’atténuation temporaire, la révision des paramètres d’accès et la surveillance des journaux jusqu’à la publication du correctif. La vulnérabilité d’ArmorBlock souligne l’importance de protéger les interfaces d’administration des appareils, car la modification non authentifiée du mot de passe d’un serveur web peut transformer une faille dans un appareil périphérique en voie d’accès à un compte administrateur.
Concernant la vulnérabilité dynovaPRO d’ABB, l’entreprise a déclaré ne pas avoir connaissance d’une exploitation effective, mais a détecté en interne 26 opérations de changement de mots de passe ayant affecté 9 clients, une activité pouvant indiquer des tests ou une phase de reconnaissance. L’article a donc recommandé aux organisations de suivre régulièrement les bulletins de la CISA et du CERT@VDE, tout en gardant à l’esprit que la source ne prouve pas qu’une exploitation effective de ces vulnérabilités ait eu lieu.