Blog ·
Accès distants et serveurs d'impression : deux failles activement exploitées cette semaine
Deux alertes de sécurité visent des équipements installés dans beaucoup de PME. Le vrai réflexe à prendre : savoir exactement ce qui, chez vous, répond depuis Internet.
La semaine qui vient de s'écouler a livré un rappel utile : les cybercriminels ne s'attaquent plus d'abord aux ordinateurs des employés, mais aux équipements qui font le lien entre le réseau de l'entreprise et Internet. Deux alertes publiées ces derniers jours concernent précisément ce genre de matériel, et l'une comme l'autre étaient déjà exploitées par des attaquants avant même l'arrivée du correctif.
Pour une PME de la région, le message est simple : ce n'est pas seulement le poste de travail qu'il faut protéger, c'est aussi le boîtier oublié au fond du local technique.
Un boîtier d'accès distant peut ouvrir tout le réseau
Le 1er septembre, le fabricant SonicWall a publié un avis de sécurité concernant ses appliances d'accès distant de la gamme SMA 1000, ces équipements qui permettent aux collaborateurs de se connecter au réseau de l'entreprise depuis l'extérieur. Deux défauts sont en cause. Le premier, noté au maximum de l'échelle de gravité, permet à un inconnu, sans aucun mot de passe, de faire relayer ses propres requêtes par l'appareil, comme s'il se servait du boîtier en guise de tremplin vers l'intérieur. Le second permet, une fois cette porte franchie, d'exécuter des commandes sur le système. Les chercheurs de Sophos et de Rapid7 expliquent que les deux peuvent être enchaînés pour prendre la main sur l'appareil sans identifiants valides, et l'agence américaine CISA les a inscrits à son catalogue des failles activement exploitées.
En Belgique, le Centre pour la Cybersécurité Belgique a lui aussi diffusé une mise en garde à ce sujet. Sa recommandation mérite d'être retenue même si vous n'utilisez pas ce modèle : appliquez la mise à jour en priorité absolue, et surtout, n'exposez jamais la console d'administration de ce type d'équipement à l'Internet ouvert. Elle ne devrait être joignable que depuis un petit nombre d'adresses de confiance.
Même le serveur d'impression devient une cible
L'autre alerte de la semaine surprendra davantage : elle concerne PaperCut NG et MF, un logiciel de gestion et de comptabilisation des impressions très répandu dans les écoles, les administrations communales, les cabinets et les entreprises de taille moyenne. Là aussi, deux faiblesses combinées permettent à un attaquant non authentifié de modifier la configuration du serveur puis d'y faire exécuter du code. La CISA a ajouté ces failles à sa liste des vulnérabilités exploitées et a fixé au 14 septembre l'échéance de correction pour les administrations fédérales américaines, ce qui donne une idée du niveau d'urgence.
Selon la société de sécurité Huntress, les premières tentatives d'exploitation ont été observées dès le 26 août, avant la publication officielle du problème. Le média SecurityWeek rapporte que les intrus sont ensuite passés de la simple reconnaissance à une présence active sur les machines compromises. Un serveur d'impression paraît anodin ; il est pourtant installé au cœur du réseau, souvent avec des droits élevés, et constitue un excellent point de départ pour se déplacer vers les données comptables ou les partages de fichiers.
Le conseil pratique tient en un exercice d'une demi-heure, à faire avec votre prestataire : dressez la liste de tout ce qui, chez vous, répond à une sollicitation venant d'Internet. Pare-feu, portail VPN, serveur d'impression, NAS de sauvegarde, enregistreur de caméras, accès à distance au poste du comptable. Pour chaque ligne, posez trois questions. Cet accès est-il encore vraiment nécessaire, ou est-ce un reste d'une ancienne configuration ? Le matériel reçoit-il encore des mises à jour du fabricant, et qui les installe ? L'interface d'administration est-elle atteignable depuis n'importe où, alors qu'elle pourrait être réservée au réseau local ou à un tunnel sécurisé ?
Dans la majorité des dossiers que nous traitons, cette liste réserve au moins une surprise : un port ouvert dont plus personne ne se souvient, un appareil qui n'est plus mis à jour depuis trois ans. Refermer ces portes coûte beaucoup moins cher qu'une remise en route après incident. Et si vous gérez vous-même votre informatique, abonnez-vous aux avis du Centre pour la Cybersécurité Belgique : les alertes y arrivent souvent avant que le problème ne fasse la une.