Plusieurs vulnérabilités corrigées dans l’appareil d’automatisation Siemens

Siemens a récemment corrigé de nombreuses vulnérabilités affectant son dispositif d’automatisation A8000. Les vulnérabilités comprenaient même une faille d’exécution de code de gravité critique qui pourrait permettre des attaques à distance d’un adversaire non authentifié.

Vulnérabilités des appareils d’automatisation Siemens

Les chercheurs de SEC Consult ont partagé une analyse détaillée consultatif mettant en évidence de nombreuses vulnérabilités qu’ils ont trouvées dans le dispositif automatique Siemens A8000.

Siemens A8000 est un dispositif de télécontrôle et d’automatisation modulaire pour les zones d’approvisionnement en énergie, prenant en charge une large gamme d’applications. L’appareil facilite l’optimisation du réseau tout en répondant aux besoins de cybersécurité, de communication et d’ingénierie.

Cette application généralisée de cet appareil indique comment une vulnérabilité de sécurité, si elle est exploitée, peut menacer l’alimentation électrique avec un effet en cascade.

Les chercheurs de SEC Consult ont découvert quatre vulnérabilités différentes affectant les automates Siemens A8000 CP-8050 et CP-8031 (contrôleurs logiques programmables).

Le premier d’entre eux est une faille d’exécution de code à distance de gravité critique CVE-2023-28489 (CVSS 9.8). Un attaquant non authentifié peut exploiter la faille en envoyant des requêtes HTTP conçues de manière malveillante au port 80/443 de l’automate.

Ensuite, l’autre vulnérabilité importante est une faille d’injection de commande de haute gravité (CVE-2023-33919 ; CVSS 7.2) qui existait en raison de l’assainissement des entrées côté serveur. Un adversaire authentifié pourrait exécuter des commandes arbitraires sur l’automate cible avec les privilèges root.

Les deux autres vulnérabilités sont des problèmes de gravité moyenne, chacune atteignant un score CVSS de 6,8. Ceux-ci incluent CVE-2023-33920, qui existait en raison d’un mot de passe root codé en dur, et CVE-2023-33921, qui exposait l’interface UART à un attaquant ayant un accès physique au PCB. Un adversaire peut enchaîner CVE-2023-33920 et CVE-2023-33921 ​​pour obtenir un accès root à l’interface UART.

Siemens a publié des correctifs avec des mises à jour du micrologiciel

Les chercheurs ont trouvé ces vulnérabilités affectant les Siemens A8000 CP-8050 04.92 et Siemens A8000 CP-8031 04.92. Après avoir découvert les failles en mars 2023, les chercheurs ont divulgué les bogues de manière responsable à Siemens, après quoi les fournisseurs ont commencé à travailler sur un correctif.

Compte tenu de la nature critique de CVE-2023-28489, les chercheurs et les fournisseurs ont convenu d’aller chercher sa divulgation et de corriger en premier, résoudre le problème d’ici avril 2023. Ensuite, Siemens a publié le correctifs pour les trois autres vulnérabilités en juin. Et enfin, SEC Consult a partagé publiquement les détails et les PoC pour les quatre défauts de leur avis.

Pour recevoir les correctifs, les utilisateurs doivent s’assurer de mettre à jour les appareils vers CPCI85 V05 ou version ultérieure.

Faites-nous part de vos réflexions dans les commentaires.