Les chercheurs de Forescout ont utilisé un système anthropique combinant analyse du code et tests dynamiques pour valider 99 vulnérabilités dans 10 piles TCP/IP, dont 66 failles auparavant inconnues. L’analyse automatisée a demandé environ 10 heures, contre 80 heures de validation dynamique, tandis que le développement du système et son infrastructure n’était pas inclus dans cette comparaison. Forescout a signalé 54 nouvelles vulnérabilités aux fournisseurs, estimant que les dépenses liées aux modèles allaient de 1 200 à 2 300 dollars, hors mise en place et coûts de recherche experte. Siemens propose des mises à jour pour certains contrôleurs APOGEE PXC et TALON, mais aucun correctif n’est prévu pour certains produits APOGEE MBC/MEC et Desigo, ce qui impose des mesures d’atténuation. La méthode a toutefois retrouvé 33 failles connues sur 82, soit 40 %, et s’est révélée moins efficace pour détecter les erreurs de logique et de conception propres à une implémentation.
Source: Lire l’article original
