CISA étend l’alerte visant les terminaux satellites iDirect après la découverte d’une faille critique d’élévation de privilèges

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a étendu son alerte concernant des vulnérabilités affectant les terminaux satellites ST Engineering iDirect. Deux failles ont été ajoutées : elles exposent des condensats d’identifiants et permettent une élévation de privilèges en local.

La mise à jour A, publiée le 10 septembre, couvre quatre vulnérabilités affectant les terminaux Evolution iQ-Series, 3315-Series et 9-Series exécutant la version 4.5.2.1 ou une version antérieure. Une exploitation réussie pourrait révéler des données d’authentification satellite, compromettre l’accès administratif, élever les privilèges locaux ou interrompre les communications en redémarrant un terminal à répétition.

Le résumé exécutif de la CISA attribue à l’avis un score CVSS v3 global de 8,8. Les scores CVSS v3.1 individuels vont de 7,5 à 8,8, tandis que la vulnérabilité d’élévation de privilèges en local reçoit la note Critical de 9,4 selon CVSS v4.0.

La mise à jour de septembre ajoute deux vulnérabilités à fort impact

La CISA a initialement publié l’avis iDirect iQ-Series le 2 juillet. La mise à jour du 10 septembre a ajouté CVE-2026-38056 et CVE-2026-38058, révisé les informations relatives aux vulnérabilités et à CVSS v4.0, et mis à jour les recommandations d’atténuation.

Les trois gammes de produits concernées sont les suivantes :

• Terminaux Evolution iQ-Series, versions 4.5.2.1 et antérieures
• Terminaux 3315-Series, versions 4.5.2.1 et antérieures
• Terminaux 9-Series, versions 4.5.2.1 et antérieures

Le numéro de la version corrective n’a pas été communiqué. La CISA recommande aux opérateurs d’installer la version la plus récente du produit disponible auprès de ST Engineering iDirect.

Bien que le périmètre couvre trois familles de terminaux, les descriptions techniques se concentrent sur l’iDirect iQ200. La vulnérabilité d’élévation de privilèges fait précisément référence à un terminal VSAT iQ200 exécutant le firmware 23.0.1.0.

Ces équipements sont déployés dans le monde entier dans les secteurs des communications, de la défense, de l’énergie, des administrations publiques, des transports, du maritime, du pétrole et du gaz, ainsi que des infrastructures isolées. Sur les sites isolés, un terminal satellite peut constituer le principal, voire l’unique, moyen de communication ; même un bref redémarrage peut donc avoir des conséquences opérationnelles importantes.

Des API exposées révèlent des données sur le terminal et l’authentification

CVE-2026-38059 est une vulnérabilité de divulgation d’informations sans authentification, due à l’absence d’authentification pour une fonction critique. Elle obtient un score CVSS v3.1 de 7,5 et un score CVSS v4.0 de 8,7.

L’iQ200 expose les points d’accès REST /api/identity et /api/ à des attaquants pouvant accéder au réseau, sans leur demander de se connecter. Les réponses peuvent divulguer les informations suivantes :

• Numéro de série du terminal
• Identifiant de l’équipement, ou DID
• Identifiant de la clé privée du terminal, ou TPK
• Adresse MAC
• Version exacte du firmware

Le DID et le TPK sont utilisés pour l’authentification sur le réseau satellite au sein de la plate-forme iDirect. Leur exposition ne suffit pas, à elle seule, à établir qu’un attaquant peut prendre le contrôle d’un terminal. Ces informations peuvent toutefois faciliter la reconnaissance du réseau et les tentatives d’usurpation d’un équipement.

La vulnérabilité ne nécessite ni privilèges ni interaction avec un utilisateur. Son effet direct concerne la confidentialité, mais la divulgation de la version du firmware fournit également à l’attaquant des informations précises pour choisir les techniques à employer par la suite.

L’exposition des condensats d’identifiants et l’élévation locale ouvrent la voie à une prise de contrôle

CVE-2026-38058, notée 8,1 selon CVSS v3.1 et 8,6 selon CVSS v4.0, expose des données de configuration sensibles à des utilisateurs disposant d’identifiants web valides.

Un point d’accès vulnérable renvoie la configuration complète du terminal au format JSON. Sa section SECURITY contient les condensats de mots de passe au format MD5-crypt des comptes SSH root et d’administration web.

L’attaquant n’a pas besoin de récupérer les mots de passe en clair sur le terminal. Les condensats peuvent être copiés puis attaqués hors ligne, sans être limités par les mécanismes de limitation du débit ni par la surveillance de l’authentification. Si les mots de passe sont faibles ou réutilisés, du matériel courant peut suffire à les retrouver et à obtenir un accès SSH privilégié ou un accès administratif.

La seconde vulnérabilité ajoutée dans la mise à jour A, CVE-2026-38056, concerne l’autorisation locale. Elle obtient un score CVSS v3.1 de 8,8 et la note Critical de 9,4 selon CVSS v4.0.

L’iQ200 concerné est fourni avec un compte local préconfiguré doté de faibles privilèges, destiné à permettre aux techniciens de terrain d’accéder au shell pour effectuer des opérations de maintenance et de diagnostic. Ce compte ne devrait pas disposer de droits administratifs, mais il fournit la position initiale nécessaire à l’exploitation de la faille. Il n’est pas nécessaire d’obtenir ou de forcer d’autres identifiants.

Une exploitation réussie peut compromettre la confidentialité, l’intégrité et la disponibilité. L’évaluation selon CVSS v4.0 tient également compte des effets sur les systèmes connectés au terminal ou qui en dépendent, ce qui contribue à expliquer la note Critical malgré le vecteur d’attaque local.

Une attaque par navigateur peut redémarrer la liaison satellite

CVE-2026-38057 est une vulnérabilité de type cross-site request forgery affectant les opérations de l’API qui modifient l’état du système. Elle obtient un score de 8,1 selon CVSS v3.1 et de 7,0 selon CVSS v4.0.

Une fois l’administrateur authentifié, l’iQ200 ne valide pas les jetons CSRF pour les requêtes concernées. Le cookie de session ne possède pas non plus l’attribut SameSite. Par conséquent, le point d’accès /api/reboot accepte une requête POST interorigine contenant le cookie de session actif de l’administrateur.

Un attaquant pourrait intégrer cette requête à une page web malveillante et convaincre un administrateur connecté de la consulter. Le navigateur enverrait alors la commande de redémarrage sans que l’attaquant ait à s’authentifier directement auprès du terminal.

Une requête exécutée avec succès interrompt immédiatement la connexion satellite. Des requêtes répétées pourraient maintenir l’équipement dans une boucle de redémarrages et provoquer durablement un déni de service.

Cette attaque nécessite l’intervention d’un administrateur, contrairement à la fuite d’informations d’identité exploitable sans authentification. Dans les environnements où le terminal prend en charge des opérations offshore, un navire, une installation de défense ou un site industriel isolé, la panne qui en résulte peut affecter bien davantage qu’un simple accès à Internet.

Les quatre failles peuvent contribuer à une intrusion en plusieurs étapes

Les vulnérabilités ne dépendent pas les unes des autres, mais elles fournissent des capacités susceptibles d’être combinées.

Un attaquant non authentifié pourrait d’abord utiliser CVE-2026-38059 pour inventorier le terminal et obtenir des informations sur son identité et son firmware. L’accès à n’importe quel compte web valide pourrait ensuite rendre CVE-2026-38058 exploitable pour extraire les condensats de mots de passe privilégiés et tenter de les retrouver hors ligne.

Un attaquant qui parviendrait à accéder au compte du technicien local pourrait exploiter CVE-2026-38056 afin d’obtenir des privilèges élevés. De son côté, CVE-2026-38057 permettrait d’interrompre la liaison au moyen du navigateur d’un administrateur authentifié.

Les conséquences potentielles comprennent la compromission de l’administration, la modification du comportement du terminal, la reconnaissance du réseau satellite, des tentatives d’usurpation d’équipement et la perte des communications. Le risque est particulièrement élevé lorsque aucune liaison de secours n’est disponible ou lorsque des opérations en aval dépendent d’une connectivité permanente.

Au moment de la publication de son avis, la CISA n’avait reçu aucun signalement d’exploitation publique connue visant spécifiquement ces quatre vulnérabilités. Elles ne figurent pas dans le catalogue des vulnérabilités exploitées connues de la CISA ; aucun délai de correction KEV ne s’applique donc. Ahmed Alqahtani, d’Aramco, a signalé les problèmes.

Les opérateurs doivent mettre à niveau les terminaux, isoler les accès d’administration et rechercher les signes d’exposition

Les opérateurs doivent mettre à niveau tous les terminaux concernés vers la version la plus récente fournie par ST Engineering iDirect. La version corrective précise n’étant pas indiquée, les organisations doivent confirmer la version appropriée directement auprès de leur canal d’assistance habituel du fournisseur.

Les interfaces d’administration ne doivent pas être directement accessibles depuis Internet. L’administration des terminaux doit être limitée aux réseaux de gestion de confiance, protégée par des pare-feu et séparée des systèmes métiers.

Les équipes de défense doivent également :

• Examiner les accès à /api/identity, /api/, aux points d’accès de configuration et à /api/reboot.
• Rechercher les requêtes ayant récupéré des données d’identité du terminal ou des configurations JSON complètes.
• Surveiller les requêtes de redémarrage répétées, les redémarrages inexpliqués et les pertes soudaines de la liaison satellite.
• Auditer le compte de technicien préconfiguré et le désactiver ou le sécuriser lorsqu’il n’est pas nécessaire aux opérations.
• Renouveler les identifiants SSH root et d’administration web lorsque les données de configuration ont pu être exposées.
• Considérer les condensats MD5-crypt récupérés comme compromis, sans attendre de preuve qu’ils ont été cassés.
• Rechercher les connexions administratives inhabituelles, la réutilisation d’identifiants et les modifications de configuration non autorisées.
• Limiter les interfaces privilégiées au personnel autorisé et à des adresses sources contrôlées.

Avant tout déploiement, les changements doivent faire l’objet d’une évaluation de leur impact opérationnel, en particulier lorsque les terminaux prennent en charge des fonctions critiques pour la sécurité ou des fonctions à distance. L’isolement du réseau ne corrige pas les défauts logiciels sous-jacents, mais il peut réduire considérablement le nombre de personnes en mesure d’accéder aux API et aux services d’administration vulnérables.