Vulnérabilités majeures dans les systèmes de gestion de l’énergie solaire : un rapport alarmant révèle les détails à connaître
Failles de sécurité majeures dans les systèmes de gestion de l’énergie solaire
Le 7 août, des chercheurs en cybersécurité ont révélé des vulnérabilités importantes dans les systèmes de gestion de l’énergie solaire à l’échelle mondiale, impactant potentiellement plus de 195 Gigawatts de production électrique répartis sur plus de 190 pays. Les plateformes Solarman et Deye, contrôlant environ 20 % du marché de production d’énergie solaire, ont été identifiées comme vulnérables.
Failles critiques identifiées par les chercheurs
Les chercheurs ont mis en lumière plusieurs failles critiques dans les inverter Deye et les Data logger Solarman, notamment :
Data Loger Solarman :
- Compromission complète des comptes utilisateurs : la modification des données JSON permet de prendre le contrôle de n’importe quel compte, quel que soit son niveau de privilège.
- Réutilisation des jetons JWT : facilitant la propagation d’une compromission initiale.
- Exposition excessive de données sensibles : augmentant le risque d’attaques ciblées ou de réutilisation des données pour d’autres opérations.
Inverter Deye :
- Identifiants codés en dur : le mot de passe administrateur par défaut, « 123456 », est présent sur toutes les installations.
- Fuite d’information via des API mal sécurisées : exposant des données sensibles.
- Faiblesse dans la gestion du contrôle d’accès : le serveur échoue à vérifier la signature d’un token JWT fournit, ce qui permet de manipuler son contenu pour s’authentifier en tant que n’importe qui.
Corrections rapides des failles par les éditeurs
Les éditeurs ont rapidement réagi aux vulnérabilités signalées en mai 2024, en déployant des correctifs en juillet 2024. Cette réactivité démontre l’importance de la cybersécurité dans un contexte où la dépendance à l’informatique et au Cloud est croissante, en incluant des risques potentiels pour la stabilité des réseaux énergétiques mondiaux.
Source : www.it-connect.fr
