Actus

Plateforme OAS vulnérable aux failles critiques d’accès RCE et API

Par hfrance , le 30 mai 2022 - 9 minutes de lecture
Plateforme OAS vulnérable aux failles critiques d'accès RCE et API
Notez l'article

Les analystes des menaces ont révélé des vulnérabilités affectant la plate-forme Open Automation Software (OAS), entraînant l’accès aux appareils, le déni de service et l’exécution de code à distance.

La plate-forme OAS est une solution de connectivité de données largement utilisée qui réunit des appareils industriels (API, OPC, Modbus), des systèmes SCADA, des IoT, des points de réseau, des applications personnalisées, des API personnalisées et des bases de données dans un système holistique.

Il s’agit d’une solution de connectivité matérielle et logicielle polyvalente et flexible qui facilite les transferts de données entre les appareils propriétaires et les applications de plusieurs fournisseurs et les connecte à des produits spécifiques à l’entreprise, des logiciels personnalisés, etc.

OAS est utilisé par Michelin, Volvo, Intel, JBT AeroTech, la marine américaine, Dart Oil and Gas, General Dynamics, AES Wind Generation et plusieurs autres entités industrielles de premier plan.

En tant que telles, les vulnérabilités de la plate-forme peuvent exposer des secteurs industriels cruciaux à un risque de perturbation et de divulgation d’informations confidentielles.

Défauts critiques

Défauts critiques

Selon un rapport de Cisco Talos, la version 16.00.0112 et inférieure de la plate-forme OAS est vulnérable à une série de bogues de gravité élevée et critique qui créent un potentiel d’attaques dommageables.

En commençant par le plus critique du groupe, CVE-2022-26833 a un indice de gravité CVSS de 9,4 sur 10 et concerne l’accès non authentifié et l’utilisation de la fonctionnalité de l’API REST dans OAS.

Un attaquant pourrait déclencher l’exploitation de cette faille en envoyant une série de requêtes HTTP spécialement conçues aux terminaux vulnérables.

Comme l’explique Cisco, l’API REST est conçue pour donner un accès programmatique aux modifications de configuration et à l’affichage des données à l’utilisateur « par défaut », que les chercheurs de Talos ont pu authentifier en envoyant une demande avec un nom d’utilisateur et un mot de passe vierges.

La deuxième faille critique est CVE-2022-26082, notée 9.1, qui est une vulnérabilité d’écriture de fichier dans le module OAS Engine SecureTransferFiles.

Selon Cisco, une série de requêtes réseau spécialement conçues envoyées au point de terminaison vulnérable peut conduire à l’exécution arbitraire de code à distance.

“En envoyant une série de messages de configuration correctement formatés à la plate-forme OAS, il est possible de télécharger un fichier arbitraire à n’importe quel emplacement autorisé par l’utilisateur sous-jacent. Par défaut, ces messages peuvent être envoyés à TCP/58727 et, en cas de succès, seront traités par l’utilisateur oasuser avec des autorisations utilisateur normales. – Cisco Talos

Cela permet à un pirate distant de télécharger de nouveaux fichiers de clés autorisées dans le répertoire .ssh de l’oasuser, ce qui permet d’accéder au système via des commandes ssh.

Les autres failles découvertes par Cisco Talos sont toutes classées comme étant de haute gravité (CVSS : 7.5) et sont les suivantes :

Cisco fournit des conseils d’atténuation pour chacune des vulnérabilités ci-dessus, ce qui implique la désactivation des services et la fermeture des ports de communication, donc si la mise à niveau vers une version plus récente d’OAS est impossible, il pourrait y avoir une solution avec des compromis de fonctionnalité ou de commodité.

Sinon, une mise à niveau vers une version plus récente de la plate-forme OAS serait souhaitable. Les correctifs de sécurité pour les deux failles critiques décrites ci-dessus ont atterri dans la version 16.00.0.113, qui a été publiée en tant que mise à jour de sécurité le 22 mai 2022.

Des retards de mise à niveau sont à prévoir dans les environnements industriels qui exploitent des systèmes de connectivité de données complexes et compliqués, mais dans ce cas, en raison de la gravité des défauts divulgués, il est crucial de prendre des mesures immédiates.

Qu’est-ce qu’un Oracle CVE ?

Qu'est-ce qu'un Oracle CVE ?

Les numéros CVE (Common Vulnerabilities and Exposures) sont utilisés par Oracle pour identifier les vulnérabilités répertoriées dans les matrices de risques des avis de mise à jour de correctif critique et d’alerte de sécurité. Les numéros CVE sont des identifiants uniques et communs pour les informations publiquement connues sur les vulnérabilités de sécurité.

Les correctifs CPU Oracle Database sont-ils cumulatifs ? Les correctifs CPU sont cumulatifs, mais les notes de version n’expliquent que les correctifs ajoutés depuis la version précédente du processeur. Chaque client Oracle reçoit le même processeur, quels que soient les produits qu’il utilise.

Comment télécharger un correctif CVE dans Oracle ?

Téléchargement de correctifs depuis My Oracle Support

  • Cliquez sur le bouton Se connecter et connectez-vous à l’aide de votre nom d’utilisateur et de votre mot de passe My Oracle Support.
  • Cliquez sur l’onglet Correctifs et mises à jour. À partir de cet onglet, vous avez deux options pour télécharger les correctifs : Entrez le numéro de correctif et la plate-forme pour télécharger un seul correctif.

Qu’est-ce qu’une mise à jour de correctif critique Oracle ?

Une mise à jour de correctif critique est un ensemble de correctifs pour plusieurs vulnérabilités de sécurité. Ces correctifs corrigent les vulnérabilités du code Oracle et des composants tiers inclus dans les produits Oracle.

Qu’est-ce qu’un ensemble de correctifs ?

Qu'est-ce qu'un ensemble de correctifs ?

Nom. patchset (patchsets pluriel) (informatique, programmation) Un ensemble de correctifs logiciels.

Qu’est-ce qu’un ensemble de correctifs Oracle ? Un ensemble de correctifs est un mécanisme permettant de fournir des correctifs de produit entièrement testés et intégrés qui peuvent être appliqués aux composants installés de la même version. Les ensembles de correctifs incluent tous les correctifs disponibles dans les précédents correctifs groupés pour la version. Un ensemble de correctifs peut également inclure de nouvelles fonctionnalités.

Qu’est-ce qu’un git Patchset ?

Si vous souhaitez modifier votre changement, vous n’avez pas besoin de pousser un nouveau changement vers Gerrit mais seulement un nouveau jeu de correctifs. Imaginez un ensemble de correctifs comme différentes versions ou révisions d’un changement. Chaque ensemble de correctifs peut recevoir des commentaires en ligne. Gerrit utilise le Change-Id d’un message de validation pour identifier les ensembles de correctifs d’un changement.

Qu’est-ce qu’un lot de correctifs ?

Un correctif groupé est une collection cumulative de correctifs pour un produit ou un composant spécifique. Un correctif de ce type est publié au besoin en fonction des exigences du produit. Vous pouvez également connaître un correctif groupé en tant que : pack de maintenance, service pack, MLR, correctif cumulatif ou version de mise à jour.

Qu’est-ce que la mise à jour de l’ensemble de correctifs dans Oracle ?

Les mises à jour des ensembles de correctifs (PSU) sont les mêmes correctifs cumulatifs qui incluent à la fois les correctifs de sécurité et les correctifs prioritaires. La clé avec les blocs d’alimentation est qu’il s’agit de mises à niveau de version mineures (par exemple, 11.2. 0.1. 1 à 11.2.

Comment annuler un correctif Oracle ?

Comment annuler un correctif Oracle ?

Correctif de base de données de restauration dans oracle 12c

  • Vérifiez l’existence d’un correctif dans l’inventaire Oracle Home. …
  • Arrêtez les services exécutés depuis oracle_home(database , listener) …
  • Annulez le correctif. …
  • Démarrez maintenant la base de données : …
  • Exécutez maintenant le script de post-annulation. …
  • Vérifiez la table de registre pour l’état :

Que fait Oracle Datapatch ? Datapatch est le nouvel outil qui permet l’automatisation des actions SQL post-correction pour les correctifs RDBMS. Datapatch réside dans le répertoire opatch, c’est-à-dire le dossier $ORACLE_HOME/OPatch (Sur les plateformes Windows : %ORACLE_HOME%\OPatch).

Qu’est-ce que le Rolling Patch dans Oracle ?

Dans Rolling Patching, chaque nœud est arrêté, le patch est appliqué, puis chaque nœud est relancé. Cette opération est effectuée nœud par nœud séparément jusqu’à ce que tous les nœuds d’Oracle RAC soient corrigés. Il s’agit du mode le plus efficace d’application d’un correctif provisoire à une configuration Oracle RAC, car cela n’entraîne aucun temps d’arrêt.

hfrance

Administrateur réseau dans un grand groupe, je partage mes connaissances sur Hfrance pour aider mes confrères et mes consoeurs.