Vulnérabilité enteliBUS de Delta Controls : Contrôle à distance des systèmes de bâtiment exposé

Le système de contrôle enteliBUS de Delta Controls, un contrôleur BACnet programmable, promettait autrefois « gérer toute votre centrale depuis un seul contrôleur. » Cependant, cette commodité est devenue une épée à double tranchant, car une vulnérabilité récente a exposé le système à une prise de contrôle à distance complète.

Ce que signifie la vulnérabilité

La faille, identifiée comme CVE‑2019‑9569, permet à un attaquant de déclencher un buffer overflow en envoyant du trafic réseau malformé. Une fois exploitée, l'attaquant peut émettre des commandes BACnet arbitraires, contrôlant efficacement unités CVC, pompes, vannes, éclairage et même systèmes d'alarme à travers un bâtiment entier.

Demo live par McAfee

Pendant la conférence MPOWER de McAfee, le chercheur senior Doug McKee a démontré l'exploit dans un environnement de data center mis en scène. Avec une seule commande, il a pu basculer les contrôles CVC, désactiver des pompes en réseau, et activer/désactiver les alarmes – le tout à distance et sans accès physique.

Comme l'a expliqué McKee, « Avec quelques frappes, je peux aller de l'avant et activer l'alarme. » La démonstration a mis en lumière comment une simple payload malveillante pouvait perturber des opérations critiques ou même compromettre la sécurité des patients dans les hôpitaux où enteliBUS gère des salles à pression positive.

Impact potentiel sur les installations

Les bâtiments industriels qui comptent sur des systèmes CVC à eau ou chaudières sont particulièrement vulnérables. Un attaquant pourrait couper les pompes, bloquer le flux d'air ou altérer les relevés de température, menant à surchauffe d'équipement, temps d'arrêt de production ou risques de sécurité. La vulnérabilité permet aussi des attaques par déni de service, potentiellement mettant hors ligne des systèmes de contrôle de bâtiment entiers.

Portée et visibilité

Une recherche Shodan en août 2018 a identifié 1 600 dispositifs enteliBUS Manager dans le monde, avec une requête ultérieure le 4 octobre retournant près de 500 unités exposées – la plupart en Amérique du Nord. Beaucoup tournaient sur le firmware v3.40.571848, la version exacte exploitée en labo. Bien que certains listings fussent des honeypots, le nombre pur de dispositifs exposés souligne le risque global.

Réponse et atténuation

Delta Controls a répondu promptement après que McAfee a divulgué l'issue le 7 décembre 2018. L'entreprise a publié un patch qui, selon McKee, remédiait pleinement la vulnérabilité. Les utilisateurs sont invités à vérifier que leur firmware enteliBUS Manager est au moins version 3.40.571848 ou plus récent et à appliquer le patch officiel depuis le site web de Delta Controls.

Les organisations opérant enteliBUS ou contrôleurs BACnet similaires devraient conduire un audit d'inventaire rapide, imposer la segmentation de réseau et implémenter des contrôles d'accès stricts pour atténuer le risque d'exploitation à distance.