Le Socomec DIRIS Digiware M-70 est une passerelle utilisée pour centraliser la surveillance et la mesure des installations électriques. Ces appareils sont des composants critiques dans les environnements de technologie opérationnelle (OT), tels que les sites industriels, les centres de données et autres infrastructures critiques, offrant une visibilité essentielle sur la consommation d’énergie et la qualité du réseau électrique.

Une vulnérabilité à risque élevé a été identifiée, permettant à un attaquant non authentifié sur le réseau de provoquer un déni de service (DoS) complet, rendant l’appareil non réactif. Le risque principal est l’interruption opérationnelle : une attaque pourrait masquer des événements critiques liés à l’alimentation électrique, dissimuler d’autres activités malveillantes ou entraver la gestion de l’installation, entraînant des temps d’arrêt coûteux.

Cette vulnérabilité n’est actuellement pas répertoriée dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA, et aucun signalement public d’exploitation active n’a été rapporté. Cependant, l’attaque est simple à exécuter, ne nécessitant qu’un seul paquet réseau spécialement conçu, ce qui abaisse la barrière pour les acteurs malveillants souhaitant développer et déployer un exploit. Toute passerelle M-70 avec le port Modbus TCP accessible est exposée.

Produit	Socomec DIRIS Digiware M-70
Date	05/12/2025 00:23:24

Résumé technique

La vulnérabilité réside dans la pile Modbus TCP de la passerelle Socomec DIRIS Digiware M-70. La cause profonde est une gestion inappropriée des paquets malformés envoyés au service Modbus, un problème courant classé sous le nom de CWE-20 : Validation d’entrée incorrecte. L’appareil ne valide pas correctement la structure d’un paquet entrant avant son traitement, ce qui conduit à un état provoquant l’arrêt du service, puis de l’appareil entier.

L’attaque se déroule comme suit :

1. Un attaquant identifie un appareil DIRIS Digiware M-70 avec le port Modbus TCP (généralement 502/TCP) accessible sur le réseau.
2. L’attaquant crée un paquet Modbus TCP malveillant conçu pour exploiter la vulnérabilité d’analyse (parsing) dans le firmware de l’appareil.
3. Dès la réception et le traitement du paquet malformé, le firmware entre dans un état d’erreur irrécupérable, provoquant un déni de service total. La passerelle cesse toutes ses fonctions de surveillance et de communication jusqu’à ce qu’elle soit redémarrée manuellement.

• Version concernée : La version du firmware 1.6.9 est confirmée comme vulnérable.
• Disponibilité du correctif : Aucune version corrigée spécifique n’a été annoncée. Les utilisateurs doivent contacter le fournisseur pour obtenir des instructions et des mises à jour du firmware.

Un attaquant distant non authentifié peut interrompre les opérations de surveillance de l’alimentation, générant de fait un scénario de “perte de visibilité” pour les opérateurs des infrastructures critiques.

// Logique conceptuelle de la faille
// Le gestionnaire Modbus TCP de l'appareil manque de vérifications d'erreurs robustes.
void modbus_tcp_handler(Packet* packet) {
    // Un paquet malformé pourrait spécifier une longueur de données ou un code de fonction invalide.
    int data_length = packet->get_length();

    // VULNÉRABILITÉ : Aucune vérification pour voir si 'data_length' est dans une plage valide.
    // Un attaquant peut fournir une valeur qui provoque un plantage lorsque le tampon
    // est traité en fonction de cette longueur erronée.
    process_buffer(packet->data, data_length); // Cet appel déclenche le plantage.
}

Recommandations

• Mise à jour immédiate : Contactez Socomec pour obtenir des informations sur les mises à jour du firmware résolvant la CVE-2024-48882 et appliquez-les dès qu’elles sont disponibles.
• Atténuations :
  • Limitez l’accès réseau au service Modbus TCP (port 502) sur les passerelles DIRIS Digiware M-70.
  • Mettez en œuvre une segmentation réseau rigoureuse pour garantir que les appareils OT comme le M-70 ne soient pas accessibles depuis Internet ou des réseaux d’entreprise non fiables. L’accès doit être limité à un réseau de gestion dédié et sécurisé.
  • Utilisez des listes de contrôle d’accès (ACL) sur les pare-feu ou des solutions similaires pour appliquer le principe du moindre privilège, en autorisant uniquement les systèmes autorisés à communiquer avec l’appareil.

• Recherche et surveillance :
  • Surveillez les journaux réseau à la recherche de trafic inattendu ou anormal dirigé vers le port 502/TCP sur les actifs OT sensibles.
  • Surveillez les tentatives de connexion provenant de plages IP ou de sous-réseaux non autorisés.
  • Configurez des alertes dans les systèmes de gestion des actifs pour détecter lorsqu’une passerelle DIRIS Digiware M-70 devient non réactive ou nécessite un redémarrage imprévu.

• Réponse aux incidents :
  • Si un appareil devient non réactif, isolez-le immédiatement du réseau pour empêcher toute interaction supplémentaire.
  • Effectuez un cycle de mise hors tension/sous tension contrôlé pour rétablir son fonctionnement.
  • Avant de reconnecter l’appareil, assurez-vous que des contrôles réseau atténuants sont en place pour bloquer le vecteur d’attaque.

• Défense en profondeur :
  • Maintenez un inventaire complet et à jour de tous les actifs OT/ICS et de leurs versions de firmware respectives.
  • Développez et testez un plan de réponse aux incidents qui traite spécifiquement des environnements de technologie opérationnelle.

[Callforaction-THREAT-Footer]