L’Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a publié cette semaine un avertissement sur les systèmes de contrôle industriel (ICS) concernant de multiples vulnérabilités dans le logiciel d’ingénierie Mitsubishi Electric GX Works3.

« L’exploitation réussie de ces vulnérabilités pourrait permettre à des utilisateurs non autorisés d’accéder aux modules CPU de la série MELSEC iQ-R/F/L et au module de serveur OPC UA de la série MELSEC iQ-R ou de visualiser et d’exécuter des programmes », a déclaré l’agence. a dit.

GX Works3 est un poste de travail d’ingénierie logiciel utilisé dans les environnements ICS, servant de mécanisme pour charger et télécharger des programmes depuis/vers le contrôleur, résoudre les problèmes logiciels et matériels et effectuer des opérations de maintenance.

Le large éventail de fonctions en fait également une cible attrayante pour les acteurs de la menace qui cherchent à compromettre ces systèmes pour réquisitionner les automates gérés.

Trois des 10 lacunes concernent le stockage en clair de données sensibles, quatre concernent l’utilisation d’une clé cryptographique codée en dur, deux concernent l’utilisation d’un mot de passe codé en dur et une concerne un cas d’identifiants insuffisamment protégés.

Le plus critique des bogues, CVE-2022-25164et CVE-2022-29830portent un score CVSS de 9,1 et peuvent être utilisés de manière abusive pour accéder au module CPU et obtenir des informations sur les fichiers de projet sans nécessiter aucune autorisation.

Nozomi Networks, qui a découvert CVE-2022-29831 (score CVSS : 7,5), a déclaré qu’un attaquant ayant accès à un fichier de projet d’automate de sécurité pourrait exploiter le mot de passe codé en dur pour accéder directement au module CPU de sécurité et potentiellement perturber les processus industriels.

« Les logiciels d’ingénierie représentent un élément essentiel de la chaîne de sécurité des contrôleurs industriels », a déclaré la société. a dit. « Si des vulnérabilités devaient survenir, les adversaires pourraient en abuser pour finalement compromettre les appareils gérés et, par conséquent, le processus industriel supervisé. »

La divulgation intervient alors que CISA révélé détails d’une vulnérabilité de déni de service (DoS) dans Mitsubishi Electric MELSEC iQ-R Series qui découle d’un manque de validation d’entrée appropriée (CVE-2022-40265score CVSS : 8,6).

« L’exploitation réussie de cette vulnérabilité pourrait permettre à un attaquant distant non authentifié de provoquer une condition de déni de service sur un produit cible en envoyant des paquets spécialement conçus », a noté CISA.

Dans un développement connexe, l’agence de cybersécurité a en outre décrit trois problèmes affectant le Remote Compact Controller (RCC) 972 de Horner Automation, dont le plus critique (CVE-2022-2641score CVSS : 9,8) pourrait entraîner l’exécution de code à distance ou provoquer une condition DoS.