BRIDGE BREAK vulnérabilités dans les convertisseurs série IP qui vérifient l'infrastructure critique

Les appareils qui « déplacent » les équipements traditionnels en série avec les réseaux IP - les convertisseurs sérieux - à- IP - sont souvent invisibles jusqu'à ce que quelque chose échoue. Ce sont des pièces simples et efficaces qui permettent la gestion de capteurs, de contrôleurs et d'équipements industriels depuis des endroits éloignés, mais une étude récente de Forecout Vedere Labs a mis en lumière que ce pont peut devenir un moyen d'attaque. Les chercheurs ont identifié 22 vulnérabilités dans des modèles largement déployés de Lantronix et de Silex, un ensemble qu'ils ont baptisé BREVE: BREVETS et qui menacent l'intégrité et la disponibilité des communications dans les infrastructures essentielles et les environnements industriels.

Selon l'analyse, près de 20 000 convertisseurs Serial-to-Ethernet sont disponibles sur Internet, ce qui facilite la recherche et le pointage de ces équipes par un attaquant. Les échecs détectés ne sont pas triviaux : ils vont de l'exécution de code à distance à la manipulation du firmware et au filtrage des informations. Dans la pratique, cela signifie qu'une personne malveillante pourrait contrôler complètement l'appareil vulnérable, modifier les valeurs qui signalent des capteurs ou changer la logique d'action des appareils connectés par série, avec des conséquences potentiellement graves dans les installations industrielles, les systèmes d'automatisation et les équipements médicaux connectés.

Casuistique technique de BRIDGE: BREAK couvre plusieurs vecteurs d'attaque. Il y a des échecs qui vous permettent d'exécuter du code dans votre propre convertisseur (par exemple, plusieurs CVE liés à l'exécution à distance), d'autres qui compromettent la logique du client ou génèrent des dénis de service, et des vulnérabilités qui ignorent les mécanismes d'authentification ou permettent le chargement de fichiers arbitraires et la gestion de la configuration ou du firmware. On a également signalé des incidents qualifiés de contrôle d'appareil, certains ayant des identificateurs CVE et d'autres ayant des références de recherche internes. Tout cela fait d'un convertisseur mal sécurisé un point de support pour se déplacer latéralement dans un réseau.

Un scénario d'attaque plausible décrit par les chercheurs commence par l'accès initial à la périphérie du réseau - par exemple, à travers un routeur industriel exposé ou une passerelle mal défendue - et continue d'exploiter l'incapacité du convertisseur série-à-IP d'intercepter ou de modifier les communications série qui circulent entre l'équipe de terrain et le réseau IP. L'effet peut être aussi subtil que déformant les lectures des capteurs ou aussi destructeur que le changement des ordres aux actionneurs; dans les deux cas, le résultat est la perte de confiance sur les données et le contrôle des processus critiques.

Lantronix et Silex ont publié des mises à jour pour leurs lignées touchées, de sorte que la première étape réaliste pour réduire le risque est d'appliquer les correctifs officiels. Les fabricants peuvent être consultés par l'intermédiaire de leur page d'accueil et de leur page d'accueil. Lantronix et Silex- examiner les avertissements et les guides d'atténuation qu'ils publient. La recherche de Forescout, qui explique la portée et l'exploitation de BRIDGE: BREAK, propose un contexte et des recommandations techniques; son matériel est disponible dans la section de recherche de l'entreprise ( Recherche étrangère).

Cependant, la correction logicielle n'est qu'une partie de la réponse. Mesures opérationnelles supplémentaires sont tout aussi pertinentes : modifier les identifiants par défaut, imposer des mots de passe robustes, segmenter le réseau afin que ces appareils n'aient pas d'accès direct à Internet et limiter les itinéraires de la périphérie aux actifs critiques. Il convient également de vérifier l'inventaire des équipements de série, de déterminer quels convertisseurs sont en service et d'évaluer si leur exposition au réseau est réellement nécessaire. Les entités dédiées à la cybersécurité industrielle et les organismes publics recommandent cette approche dans leurs lignes directrices sur la protection des systèmes de contrôle (voir, par exemple, les informations de sécurité de la CISA ICS: CISA ICS et la base de données sur la vulnérabilité NIST: NVD).

L'émergence de BRIDGE: BREAK est un appel à l'attention sur un risque de plus en plus commun: la convergence entre la technologie héritée et les réseaux IP sans considération de sécurité adéquate. Alors que les convertisseurs sérieux à IP facilitent la modernisation et la gestion à distance, son déploiement nécessite les mêmes garanties de sécurité que tout autre actif connecté. Les fabricants, les intégrateurs et les opérateurs devraient traiter ces unités comme des composants critiques, les mettre à jour, les configurer correctement et concevoir le réseau pour minimiser l'impact d'un engagement.

Si vous gérez l'infrastructure qui dépend de ces convertisseurs, la chose la plus prudente est de revoir les avis de vos fournisseurs, d'appliquer les mises à jour recommandées et de vérifier les paramètres d'accès. Les articles publics et les bulletins d'information qui ont couvert la recherche offrent des détails plus techniques et des mesures d'atténuation; pour élargir l'information, vous pouvez consulter la couverture des nouvelles et la recherche originale, comme celle publiée par les médias spécialisés ( Les nouvelles Hacker) et le rapport des chercheurs eux-mêmes Recherche étrangère.

Bref, BRIDGE: BREAK non seulement expose des défaillances spécifiques dans des modèles spécifiques de Lantronix et de Silex, mais met également en évidence un principe de sécurité opérationnelle: lorsque vous connectez le monde physique aux réseaux IP, vous introduisez de nouveaux vecteurs qui doivent être gérés en priorité. Ignorer que la réalité peut ouvrir la porte à des manipulations très coûteuses et difficiles à détecter.