Une faille critique affecte des ICS de Siemens dans l’énergie

Cette vulnérabilité permet la prise de contrôle totale d’un appareil, et pourrait déstabiliser le réseau électrique

Siemens a récemment publié un avis de sécurité sur une faille critique affectant certains de ses ICS dans le secteur de l’électricité. SEC Consult, une filiale d’Eviden, la branche cybersécurité d’Atos, a identifié la vulnérabilité : elle permettrait à un attaquant connecté au même réseau Internet de prendre le contrôle de l’équipement.

Ces ICS équipent notamment des sous-stations électriques. Une injection de code malveillant pourrait donc « déstabiliser un réseau électrique, voire provoquer des pannes d’électricité, en modifiant des paramètres d’automatisation critiques », précise Siemens. Un cybercriminel pourrait aussi très facilement installer des portes dérobées sur un ICS infecté.

Pour autant, SEC Consult se montre rassurante. Ces ICS se retrouvent majoritairement sur des équipements jugés critiques, qui disposent donc généralement de bons pare-feux, et ne sont pas connecté directement à Internet. « On ne peut cependant pas exclure que certains appareils soient accessibles par le biais de connexions d’accès au support par une tierce partie, ou de mauvaises configurations potentielles », précise toutefois Johannes Greil, responsable du laboratoire de vulnérabilités de SEC Consult.

La société de cybersécurité n’a donné aucun détail technique sur la faille pour éviter d’attirer l’attention des cybercriminels. Elle indique aussi avoir identifié d’autres vulnérabilités de moindre importance dans les logiciels ICS de Siemens, toutes en cours de correction.