La CISA pointe de graves failles dans des ICS de Schneider et GE

Dans une note du 24 février 2022, la Cybersecurity and Infrastructure Security Agency (CISA) a révélé l’existence de failles de sécurité dans les ICS des relais moyenne tension Easergy de Schneider Electric.

« L’exploitation de ces vulnérabilités peut compromettre des identifiants utilisés pour piloter le dispositif, provoquer une condition de DDoS, déclencher un redémarrage du processus ou permettre à un attaquant de prendre le contrôle total du relais. Cela pourrait entraîner une perte de protection de votre réseau électrique », a indiqué l’agence.

La CISA précise toutefois que ces failles ont été corrigées par Schneider Electric durant des mises à jour effectuées le 11 janvier 2022. Cette même note révèle par ailleurs deux failles (elles aussi corrigées) dans le logiciel SCADA Proficy CIMPLICITY de General Electric (GE).

Mi-février 2022, la CISA avait déjà pointé plusieurs vulnérabilités dans l’Interactive Graphical SCADA System (IGSS) de Schneider Electric. Dans les cas de ces deux logiciels SCADA, les failles auraient pu permette un vol de données sensibles, une exécution de code malveillant, une compromission des privilèges locaux, voire une perte de contrôle du dispositif industriel.