Vulnérabilité Scada dans les produits Power Monitoring Expert et Energy Expert de Schneider Electric

Schneider Electric a publié le 13 décembre un bulletin de sécurité portant sur plusieurs de ses produits Power Monotoring Expert et Energy Expert. La vulnérabilité porte sur des équipements de type SCADA dont la criticité est élevée (CVSS 7.4).

Power Monitoring Expert et Energy Expert sont des progiciels de supervision complet pour les applications de gestion de l'énergie. 

Il s'agit d'une faille de sécurité de redirection ouverte (Open Redirect) permettant à un attaquant de modifier des données directement sans qu'aucune validation de l'application soit nécessaire. Un attaquant distant pourrait alors utiliser l'interface web ou l'application afin de mettre en place une redirection vers un site externe dans le but de leurrer ses victimes. 

Cette vulnérabilité, identifiée  CVE-2018-7797 [CVSS v3 6.1], a été découverte par le chercheur Donato Onofri de la société italienne Business Integration Partners S.p.A spécialisée dans les services de conseil.

Détails techniques

Les failles de redirections ouvertes reçoivent peu d'attention de la part des développeurs puisqu'elles ne permettent pas à un attaquant de dérober des informations et ne portent pas directement atteinte au site web ou à l'application. Cependant, cela ne signifie pas pour autant que les failles Open Redirect ne constituent pas une menace : l'une des principales utilisations de cette vulnérabilité est de rendre les attaques de type hameçonnage (phishing) plus crédible et plus efficace. 

La configuration de ce type d'attaque ne requiert pas de compétence technique avancée et peut être réalisée à distance. Elle nécessite une interaction avec un utilisateur tout en restant difficile à identifier pour la victime. Son impact estimé porte sur la confidentialité et permet de contourner la politique de sécurité.

Aucune information concernant l'exploitation de cette vulnérabilité par un attaquant n'a été rendue publique. De même, aucun code d'exploitation n'est disponible publiquement pour cette vulnérabilité. Schneider Electric a publié des mises à jour contenant des correctifs pour tous les produits affectés.

Informations
+

Risques

  • Atteinte à la confidentialité des données

Criticité

  • Score CVSS : 7.40

Existence d’un code d’exploitation de la vulnérabilité

  • Aucun code d'exploitation n'est disponible publiquement pour cette vulnérabilité.

Composants & versions vulnérables

  • EcoStruxure Power Monitoring Expert (PME) Version 8.2 (toutes éditions)
  • EcoStruxure Energy Expert Version 1.3 (anciennement Power Manager)
  • EcoStruxure Power SCADA Operation (PSO) Version 8.2 Advanced Reports and Dashboards Module
  • EcoStruxure Power Monitoring Expert (PME) Version 9.0
  • EcoStruxure Energy Expert Version 2.0
  • EcoStruxure Power SCADA Operation (PSO) 9.0 Advanced Reports and Dashboards Module

CVE

  • CVE-2018-7797

Recommandations
+

Mise en place de correctif de sécurité

Solution de contournement

  • Aucune solution de contournement n'est proposée pour le moment