ICS/OT

SecurityWeek publie un récapitulatif des avis Patch Tuesday d’août 2025 pour l’ICS/OT, avec des correctifs et mitigations émis par Siemens, Schneider Electric, Honeywell, Aveva, ABB et Phoenix Contact, ainsi que des avis de la CISA. Plusieurs failles sont critiques ou à haute sévérité, exposant à l’exécution de code, à l’accès non autorisé, à la fuite de données et aux DoS. • Siemens a publié 22 nouveaux avis, dont un pour la faille critique CVE-2025-40746 dans Simatic RTLS Locating Manager, exploitable par un attaquant authentifié pour une exécution de code avec privilèges Système ⚠️. Des failles à haute sévérité touchent aussi Comos (exécution de code), Siemens Engineering Platforms (exécution de code), Simcenter (crash ou exécution de code), Sinumerik (accès distant non autorisé), Ruggedcom (contournement d’authentification avec accès physique), Simatic (exécution de code), Siprotect (DoS) et Opcenter Quality (accès non autorisé). Des vulnérabilités issues de composants tiers sont également traitées (OpenSSL, Linux kernel, Wibu Systems, Nginx, Nozomi Networks, SQLite). Des correctifs existent pour beaucoup de failles, tandis que seules des mitigations ou contournements sont disponibles pour d’autres. Des problèmes de sévérité moyenne/faible sont résolus dans Simotion Scout, Siprotec 5, Simatic RTLS Locating Manager, Ruggedcom ROX II et Sicam Q. ...

SecurityWeek rapporte que Rockwell Automation a publié plusieurs avis de sécurité détaillant des vulnérabilités de sévérité critique et élevée affectant divers produits industriels, et que la CISA a relayé ces informations. 🛠️ Correctifs critiques FactoryTalk Linx Network Browser — CVE-2025-7972 : faille permettant de désactiver la validation de jeton FTSP, pouvant être utilisée pour créer, mettre à jour et supprimer des pilotes FTLinx. Micro800 (PLCs) — correction de trois vulnérabilités plus anciennes liées à Azure RTOS (open source RTOS) pouvant mener à de la prise de contrôle à distance (RCE) et à de l’élévation de privilèges, ainsi qu’un correctif pour une vulnérabilité de déni de service (DoS) distincte. ControlLogix — correctif pour une RCE identifiée sous CVE-2025-7353. ⚠️ Vulnérabilités de sévérité élevée ...