Atteinte à la confidentialité des données : de multiples vulnérabilités découvertes dans les produits Schneider Electric
De multiples vulnérabilités ont été découvertes dans les produits Schneider Electric. Certaines d’entre elles permettent à un attaquant de provoquer une atteinte à la confidentialité des données, une atteinte à l’intégrité des données et un contournement de la politique de sécurité. La gravité des vulnérabilités a été calculée à l’aide des indicateurs CVSS de base pour la version 4.0 (CVSS v4.0). CVSS v3.1 sera encore évaluée jusqu’à l’adoption de CVSS v4.0 par l’industrie. La gravité a été calculée sans intégrer les indicateurs temporels et environnementaux. Schneider Electric recommande à ses clients d’évaluer les indicateurs environnementaux CVSS, spécifiques aux entreprises utilisatrices, et de prendre en compte des facteurs tels que la présence de mesures d’atténuation dans cet environnement. Les indicateurs environnementaux peuvent affiner la gravité relative des vulnérabilités décrites dans ce document dans l’environnement d’un client.
RISQUES
- Atteinte à l’intégrité des données
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
SYSTÈMES AFFECTÉS
- EcoStruxure Panel Server versions antérieures à 2.1
- EcoStruxure Power Automation System User Interface (EPAS-UI) versions 2.x antérieures à 2.10
SOLUTIONS
- Localisez les réseaux et les périphériques distants des systèmes de contrôle et de sécurité derrière des pare-feu et isolez-les du réseau de l’entreprise
- Installez des contrôles physiques afin qu’aucune personne non autorisée ne puisse accéder à vos systèmes, composants, périphériques et réseaux de contrôle et de sécurité industriels
- Placez tous les contrôleurs dans des armoires verrouillées et ne les laissez jamais en mode « Programmation »
- Ne connectez jamais un logiciel de programmation à un réseau autre que celui prévu pour cet appareil
- Analysez tous les moyens d’échange de données mobiles avec le réseau isolé, tels que les CD, clés USB, etc., avant utilisation dans les terminaux ou tout nœud connecté à ces réseaux
- Ne laissez jamais des appareils mobiles connectés à un réseau autre que celui prévu se connecter aux réseaux de sécurité ou de contrôle sans une désinfection adéquate
- Minimisez l’exposition réseau de tous les périphériques et systèmes de contrôle et assurez-vous qu’ils ne sont pas accessibles depuis Internet.
- Lorsqu’un accès à distance est requis, utilisez des méthodes sécurisées, telles que les réseaux privés virtuels (VPN)
Source : CERT-FR
