Des vulnérabilités découvertes dans les boulonneuses industrielles Bosch

Exploitées, ces failles pourraient bloquer une chaîne de production automobile ou rendre des voitures défectueuses voire dangereuses.

La société de cybersécurité industrielle Nozomi Networks a annoncé, le 9 janvier 2024, avoir découvert des vulnérabilités dans des boulonneuses industrielles de Bosch Rexroth. L’industrie automobile utilise ces équipements pour des opérations de serrage de boulons critiques pour la sécurité. Ces boulonneuses disposent d’un module wifi autorisant leur pilotage à distance et le transfert de données opérationnelles.

Les chercheurs de Nozomi ont identifié 25 failles différentes, touchant majoritairement l’application de gestion du système d’exploitation propriétaire NEXO-OS. Les autres vulnérabilités concernent les protocoles de communication pour l’intégration aux systèmes SCADA, PLC et autres. Selon Nozomi, l’exploitation de ces failles pourrait permettre à un attaquant de prendre le contrôle complet d’une boulonneuse, conduisant à deux scénarios d’attaque possibles.

Le premier consisterait à bloquer un maximum d’appareils dans une même usine pour interrompre les chaînes de production, en accompagnant l’attaque d’une demande de rançon. Le second impliquerait une modification des configurations du programme de serrage, fragilisant des boulons critiques. Cela rendrait les voitures fabriquées défectueuses, voire dangereuses, avec de graves conséquences sur les finances et la réputation du constructeur.

Nozomi a informé Bosch Rexroth de ces failles. Un correctif devrait être disponible d’ici la fin janvier 2024.