Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

McAfee : Delta enteliBUS Manager

août 2019 par McAfee

McAfee a découvert une vulnérabilité zéro-day dans un système industriel de Delta Control couramment utilisé qui pourrait permettre à des acteurs malveillants de contrôler complètement le système, permettant la manipulation à distance des systèmes de contrôle d’accès, des chaufferies, du contrôle de température... Cette faille a été causée par une vulnérabilité de débordement de mémoire tampon ou une inadéquation des tailles de mémoire utilisées pour traiter les données réseaux entrants.

Steve Povolny, Directeur du Advanced Threat Research chez McAfee a commenté :

« Il y a très peu de réglementation concernant les atteintes à la sécurité des contrôles industriels, de sorte que de nombreuses attaques passent inaperçues et ne sont pas signalées, ce qui crée un faux sentiment de sécurité et un manque de compréhension du problème. C’est l’une des principales raisons pour lesquelles McAfee « Advanced Threat Research » pratique la divulgation responsable ; en partageant aux fournisseurs les informations sur les vulnérabilités qu’ils ne trouveraient probablement jamais en interne, nous pouvons tirer parti du pouvoir de la collaboration entre fournisseurs et chercheurs pour fournir des solutions efficaces, tout en éduquant l’industrie dans son ensemble et en relevant collectivement la barre pour nos concurrents. »

Téléphone de bureau IP Avaya série 9600

McAfee a découvert un bug vieux de dix ans dans un téléphone de bureau Avaya - une entreprise dont les solutions sont utilisées par 90 % des 100 entreprises les plus fortunées.
Les chercheurs ont découvert la présence d’une vulnérabilité RCE (Remote Code Execution) dans un logiciel open source (OS) qu’Avaya a probablement copié et modifié il y a 10 ans, et n’a pas appliqué les correctifs de sécurité qui ont suivi. Ce bug affectant le logiciel du système d’exploitation a été signalé en 2009, mais sa présence dans le firmware du téléphone est passée inaperçue jusqu’à présent. Cela permettrait aux acteurs malveillants de prendre le contrôle du téléphone à distance, d’exfiltrer l’audio et peut-être même de « bugger » le téléphone.

Raj Samani, scientifique en chef chez McAfee a commenté :

« Le code open source et la dette technique se retrouvent partout dans notre monde qui est de plus en plus connecté ; s’ils ne sont pas maitrisés à temps, les conséquences qui en résultent peuvent être préjudiciables.
C’est précisément pour cette raison que McAfee Advanced Threat Research s’engage à découvrir les failles de sécurité des logiciels et du matériel. Ce n’est que grâce au partenariat entre les chercheurs en sécurité et l’industrie technologique que des produits plus sûrs pourront être offerts aux entreprises et aux consommateurs.
La technologie n’est aussi sûre que le maillon le plus faible de la chaîne, et cela peut souvent être un dispositif auquel on ne s’attend pas. Ceci souligne l’importance de la surveillance du réseau : si les périphériques connectés parlent entre eux alors qu’ils ne sont pas censés le faire, cela devrait déclencher des signaux d’alarme. »


Voir les articles précédents

    

Voir les articles suivants