Il a été découvert qu’un système de contrôle industriel (ICS) présentait plusieurs failles de gravité élevée, ce qui permettrait aux acteurs potentiels de la menace non seulement d’accéder au terminal cible (s’ouvre dans un nouvel onglet) – mais pour permettre l’accès physique à des locaux autrement interdits.
Les chercheurs en cybersécurité de Trellix ont récemment creusé dans les panneaux de contrôle d’accès LenelS2 de Carrier, fabriqués par HID Mercury et, selon les chercheurs, utilisés par des organisations dans les domaines de la santé, de l’éducation, des transports et de la sécurité physique du gouvernement.
Ce qu’ils ont trouvé était un total de huit vulnérabilités, dont l’une a même le score de vulnérabilité maximum de 10.
Attaquer le matériel
« Pour ce projet, nous avons anticipé un fort potentiel de détection de vulnérabilités, sachant que le contrôleur d’accès exécutait un système d’exploitation Linux et que l’accès root à la carte pouvait être obtenu en tirant parti des techniques classiques de piratage matériel », ont déclaré les chercheurs dans un article de blog.
« Alors que nous pensions que des failles pouvaient être trouvées, nous ne nous attendions pas à trouver des vulnérabilités logicielles héritées courantes dans une technologie relativement récente. »
Ils ont d’abord attaqué le matériel, à savoir les ports intégrés (s’ouvre dans un nouvel onglet), ce qui leur a permis d’accéder aux ports de débogage intégrés. À partir de là, ils ont réussi à accéder au micrologiciel et aux binaires du système, ce qui leur a permis de procéder à une rétro-ingénierie et à un débogage en direct du micrologiciel.
C’est alors que les chercheurs ont découvert six vulnérabilités non authentifiées et deux authentifiées, qui pourraient toutes être exploitées à distance.
« En enchaînant seulement deux des vulnérabilités ensemble, nous avons pu exploiter la carte de contrôle d’accès et obtenir à distance des privilèges de niveau racine sur l’appareil », ont ajouté les chercheurs.
« Avec ce niveau d’accès, nous avons créé un programme qui fonctionnerait parallèlement au logiciel légitime et contrôlerait les portes. Cela nous a permis de déverrouiller n’importe quelle porte et de subvertir toute surveillance du système.
Outre CVE-2022-31481, qui a un score de gravité de 10, les chercheurs ont également découvert CVE-2022-31479 et CVE-2022-31483, avec des scores de gravité de 9,0 et 9,1, respectivement.
Trellix, dont le produit a été approuvé par le gouvernement fédéral américain, a exhorté tous les clients à appliquer immédiatement les correctifs émis par le fournisseur.