Les vulnérabilités de ClickShare ont peut-être été corrigées, mais elles masquent un problème bien plus vaste

Une version de cet article est parue sur DevOps.com. Il a été mis à jour pour être diffusé ici et inclut des liens interactifs vers des défis de vulnérabilité.

Je pense que nous nous souvenons tous d'une situation récente où, lors d'une réunion ou d'une conférence, quelqu'un a rencontré des problèmes avec la technologie de présentation. Cela arrive si souvent que l'on s'attend presque, au départ, à une expérience laborieuse. Il n'est donc pas surprenant que l'application fluide de ClickShare ait immédiatement séduit les utilisateurs finaux. Pour eux, rien n'est plus simple que d'utiliser une application ClickShare pour projeter une présentation depuis leur ordinateur portable, leur tablette ou leur smartphone sur un grand écran ou un projecteur de salle de conférence. Le fournisseur belge de technologies de projection et d'imagerie numérique Barco a conçu sa plateforme d'automatisation pour fonctionner ainsi, et les grandes entreprises ont adopté le concept. FutureSource Consulting estime la part de marché de Barco dans la technologie de conférence à 29 %, avec une intégration dans 40 % de toutes les entreprises du Fortune 1 000.

Lorsque des chercheurs de F-Secure ont révélé en décembre que cette plateforme d'automatisation, en apparence inoffensive, était truffée de vulnérabilités de sécurité, cela a provoqué une onde de choc dans le monde des affaires. Les failles de sécurité découvertes sont critiques et pourraient potentiellement permettre une multitude d'activités malveillantes.

Les chercheurs ont démontré comment ces vulnérabilités pouvaient permettre à des utilisateurs distants d'espionner des présentations actives, de créer des portes dérobées dans des réseaux sécurisés ou même de configurer un serveur de distribution de logiciels espions capable d'infecter chaque utilisateur se connectant à un appareil Barco. Soudain, les entreprises ont été confrontées à la perspective d'avoir de graves problèmes de sécurité installés directement dans leurs salles de conférence et leurs bureaux. Et en raison de la nature de ces vulnérabilités, un seul appareil compromis pouvait entraîner une brèche à l'échelle de tout le réseau.

« Un attaquant ayant réussi à compromettre une unité obtient la capacité de déchiffrer ainsi que de produire des images chiffrées valides pour n'importe quelle unité, qu'elle appartienne à la même famille ou à une autre », ont écrit les responsables de F-Secure dans leur rapport. « De plus, un tel attaquant peut obtenir l'accès à des données sensibles au repos, telles que la clé PSK Wi-Fi configurée et les certificats. »

À sa décharge, Barco a été extrêmement proactif dans la publication de correctifs pour les vulnérabilités trouvées dans ses produits. Le fournisseur de sécurité Tenable a récemment publié un rapport faisant état de 15 vulnérabilités sur huit outils de présentation, dont ceux de Barco. En février, seul Barco avait déployé des correctifs.

Bien que certaines des vulnérabilités de Barco nécessitent des modifications matérielles (et qu'il sera cauchemardesque de les déployer, si tant est qu'une entreprise prenne de telles mesures pour les sécuriser), beaucoup peuvent être corrigées par des correctifs logiciels. Cela offre à la plupart des entreprises un plan apparemment efficace pour résoudre leurs problèmes immédiats, mais elles sont loin d'être tirées d'affaire. Les problèmes rencontrés avec Barco ne sont que la partie émergée de l'iceberg lorsqu'il s'agit de traiter les vulnérabilités des produits matériels et logiciels bien connus.

La racine du problème

Maintenant que les problèmes immédiats ont été résolus, nous devons nous demander comment des appareils présentant de graves failles de sécurité ont pu se retrouver dans des milliers de salles de conférence à travers le monde, ou pourquoi ils ont été si mal conçus et programmés dès le départ. Ce n'est pas comme si l'équipe de F-Secure avait découvert des vulnérabilités « zero-day » ou inconnues jusqu'alors. Dix des failles découvertes dans les produits Barco étaient associées à des vulnérabilités courantes bien connues, comme les attaques par injection de code. La plupart possédaient déjà des identifiants CVE (Common Vulnerabilities and Exposures).

Alors, comment des CVE vieux de plusieurs décennies ont-ils pu être codés, voire intégrés, dans des outils de présentation modernes ? La seule réponse possible est que les développeurs ne les connaissaient pas, ou que la sécurité n'a pas été une priorité lors de la conception des appareils Barco. Malheureusement, c'est une situation courante, et certainement pas exclusive aux équipes de Barco.

Le meilleur moment pour corriger une vulnérabilité est pendant le développement d'une application, bien avant qu'elle ne soit envoyée aux utilisateurs. Le pire (et le plus coûteux) est après le déploiement d'un produit, ou après qu'il a été exploité par des attaquants. C'est une leçon difficile, que Barco apprendra sûrement alors que sa part de marché, autrefois impénétrable, subit un coup dur suite à ce fiasco de sécurité.

Déplacer les correctifs de sécurité vers le processus de développement n'est pas chose aisée, mais c'est une nécessité dans le monde actuel, où même des appareils en apparence simples, comme les outils de présentation, sont à la fois étonnamment complexes et connectés à tout le reste. Dans cet environnement, la sécurité doit devenir une bonne pratique organisationnelle. Peu importe qu'une entreprise programme des applications pour les réseaux sociaux ou fabrique des grille-pain intelligents, la sécurité doit être prise en compte dans chaque facette de l'organisation.

Donner la priorité aux bonnes pratiques de sécurité et en faire une responsabilité partagée est l'objectif du mouvement DevSecOps, où les équipes de développement, de sécurité et d'exploitation travaillent ensemble pour coder et déployer des logiciels et des produits sécurisés. Cela nécessite autant un changement de culture qu'autre chose. Le nouvel état d'esprit doit être que déployer un produit fonctionnel présentant des vulnérabilités de sécurité est un échec tout aussi grave que d'en créer un incapable d'accomplir sa fonction première.

Dans un environnement DevSecOps sain, toute personne travaillant sur un logiciel doit être sensibilisée à la sécurité, les développeurs recevant une formation pertinente et fréquente pour éviter d'introduire des bugs désastreux dans leur travail. Si les équipes travaillant pour Barco avaient considéré la sécurité comme une responsabilité partagée, il est impossible qu'une telle collection de vulnérabilités, incluant des CVE vieux de plusieurs décennies, se soit retrouvée dans leurs outils de présentation.

La voie de la sécurité

Personne ne veut être le prochain Barco, devant expliquer pourquoi des failles de sécurité bien connues ont été déployées via leurs appareils sur des milliers de réseaux d'entreprise à travers le monde. Pour éviter ce sort, les entreprises qui développent des logiciels ou du matériel intelligent doivent immédiatement donner la priorité à la sécurité en tant que responsabilité partagée et bonne pratique organisationnelle. Créer un programme DevSecOps sain prendra du temps et nécessitera probablement un changement de culture, mais les résultats en valent largement la peine. Un DevSecOps robuste peut écraser les vulnérabilités bien avant qu'elles ne causent des problèmes.

Pour les entreprises qui achètent des produits et des logiciels, il est dans leur intérêt de soutenir les entreprises qui ont adopté le DevSecOps. Cela contribuera grandement à garantir que les appareils et les logiciels obtenus ne sont pas des bombes à retardement attendant d'être exploitées par des attaquants de plus en plus qualifiés.

Consultez les pages du blog de Secure Code Warrior pour en savoir plus sur le DevSecOps et découvrir comment protéger votre organisation et vos clients contre les ravages des failles et vulnérabilités de sécurité.

Envie d'approfondir les failles de sécurité rencontrées par Barco ?

Jouez à ces défis ludiques sur :

• Injection de commandes OS en C
• Injection de code à distance en C
• Dépassement de tampon en C
• Téléchargement de fichier distant en C
• Identifiants stockés en texte clair en C.