Deux bogues de sécurité simples de type ‘give-me-control’ ont été découverts dans les commutateurs réseau Optigo utilisés dans la fabrication critique.

Deux failles de sécurité insignifiantes mais critiques ont été découvertes dans le commutateur d’agrégation Spectra d’Optigo, et jusqu’à présent aucun correctif n’est disponible. Les vulnérabilités, toutes deux avec des scores de gravité CVSS v4 de 9.3, peuvent être exploitées par un attaquant distant pour injecter des logiciels malveillants dans les commutateurs de gestion du réseau OT s’ils exécutent la version 1.3.7 et antérieure. Selon l’Agence américaine de la cybersécurité et de la sécurité des infrastructures, connue sous le nom de CISA, mardi, les commutateurs vulnérables d’Optigo peuvent être facilement compromis par un utilisateur distant non authentifié. L’agence a également déclaré que l’équipement de réseau peut être trouvé dans des environnements de fabrication critique, bien que pour être honnête, le matériel puisse être utilisé pour câbler le réseau de n’importe quel bâtiment petit ou grand. La première faille, CVE-2024-41925, est une vulnérabilité d’inclusion de fichier distant PHP affectant l’interface utilisateur basée sur le web pour le commutateur. Une fois exploitée, un attaquant distant serait capable de contourner l’authentification, de se déplacer entre les répertoires sur l’équipement, et d’exécuter du code arbitraire sur la cible. Cela signifie également que l’intrus doit être en mesure d’accéder à l’interface web de l’appareil pour réussir cette manipulation.