Rockwell Automation OTTO Fleet Manager : des hash bcrypt faibles mettent en danger les identifiants

Rockwell Automation a publié une mise à jour pour OTTO Fleet Manager afin de corriger une vulnérabilité qui affaiblit la protection des mots de passe. La faille, identifiée comme CVE-2026-75112, a été classée CWE-916, « Utilisation d'un hachage de mot de passe avec un effort de calcul insuffisant ». En substance, les hash bcrypt utilisés pour protéger les identifiants sont générés avec un facteur de travail trop faible. Un attaquant qui parvient à obtenir une sauvegarde système non chiffrée peut ainsi mener des attaques par force brute hors ligne avec un coût de calcul réduit.

La vulnérabilité a été signalée par Rockwell Automation à la CISA et republiée le 27 août 2026 dans l'avis Rockwell Automation SD1791. À ce jour, aucune activité d'exploitation publique ciblée n'a été constatée. La gravité est moyenne : score de base de 6,8 selon CVSS v3.1 et 6,9 selon CVSS v4.0.

Une protection des mots de passe moins robuste que prévu

Le cœur du problème réside dans l'implémentation de l'algorithme bcrypt. Bcrypt est un algorithme de hachage conçu pour être lent et coûteux à calculer, précisément pour décourager les tentatives de devinette de mots de passe. Son coût de calcul dépend d'un paramètre qui définit le nombre d'itérations. Si ce paramètre, appelé facteur de travail, est réglé trop bas, les hash peuvent être vérifiés beaucoup plus rapidement que prévu.

Dans OTTO Fleet Manager, le facteur de travail insuffisant permet à un attaquant de réduire le temps nécessaire pour essayer des millions de combinaisons de mots de passe. Ce n'est pas une vulnérabilité qui permet de contourner l'authentification ou d'exécuter du code arbitraire. Elle rend plutôt moins robuste la protection des mots de passe stockés, facilitant la récupération des identifiants en clair. La classification CWE-916 met précisément en évidence cette faiblesse : l'utilisation d'un hachage de mot de passe avec un effort de calcul insuffisant.

La chaîne d'attaque : accès local et sauvegardes non chiffrées

L'exploitation de la vulnérabilité n'est pas possible à distance. Selon le vecteur CVSS v3.1, l'attaque nécessite un accès depuis un réseau adjacent, des privilèges faibles et aucune interaction de l'utilisateur. En pratique, l'attaquant doit déjà se trouver dans le réseau local de l'organisation ou avoir accès à un appareil adjacent. Les privilèges faibles signifient qu'un utilisateur disposant d'identifiants limités peut tenter l'attaque.

Le point critique est représenté par les sauvegardes système. Si une sauvegarde non chiffrée d'OTTO Fleet Manager est compromise, un attaquant peut en extraire les hash de mots de passe qu'elle contient. Avec la protection affaiblie, l'attaquant peut lancer une attaque par force brute hors ligne pour récupérer les mots de passe. Le risque concret est la compromission des identifiants et l'accès non autorisé au système de gestion de flotte qui en découle. La condition de sauvegarde non chiffrée est un élément clé : sans elle, l'attaque n'a pas de matière sur laquelle travailler.

Versions concernées et impact sur les secteurs critiques

Toutes les versions de Rockwell Automation OTTO Fleet Manager jusqu'à la V2.36.2 incluse sont affectées. La version corrigée est la 2.36.3, disponible via le portail de partage de fichiers d'OTTO Motors à l'adresse file-share.ottomotors.com/login.

La vulnérabilité touche principalement les secteurs de la fabrication critique et des systèmes de transport, avec une distribution mondiale. Selon le vecteur CVSS v3.1 (CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N), l'impact est élevé sur la confidentialité (C:H), tandis que l'intégrité et la disponibilité ne sont pas compromises. Le changement de portée (S:C) indique que l'effet peut s'étendre au-delà du composant vulnérable. Le vecteur CVSS v4.0 (CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N) confirme une confidentialité élevée sur le système vulnérable et aucun impact sur les systèmes ultérieurs.

Les contre-mesures : mettre à jour ou chiffrer les sauvegardes

La principale atténuation consiste à mettre à jour vers OTTO Fleet Manager 2.36.3. Pour ceux qui ne peuvent pas appliquer immédiatement le correctif, Rockwell Automation recommande de suivre les bonnes pratiques de sécurité disponibles à l'adresse support.rockwellautomation.com et d'activer la sauvegarde système chiffrée, comme décrit dans l'avis Rockwell Automation SD1791.

La CISA recommande en particulier de :

• Minimiser l'exposition réseau de tous les systèmes de contrôle.
• Ne pas exposer les systèmes de contrôle directement à Internet.
• Placer les réseaux ICS et les appareils distants derrière des pare-feu.
• Isoler les réseaux de contrôle des réseaux d'entreprise.
• Utiliser des VPN à jour pour l'accès à distance.

Avant d'appliquer des contre-mesures, une analyse d'impact et de risque est conseillée. Ces recommandations sont standard pour les environnements industriels et réduisent la surface d'attaque globale.

Aucune preuve d'exploitation active

À ce jour, aucune exploitation publique ciblant spécifiquement CVE-2026-75112 n'a été signalée. L'absence d'exploit en circulation réduit le risque immédiat, mais n'élimine pas la nécessité d'intervenir. Les systèmes utilisant des sauvegardes non chiffrées sont exposés à un risque concret, en particulier dans les environnements industriels où la segmentation du réseau peut ne pas être parfaite.

Pour obtenir de l'aide, Rockwell Automation met à disposition OTTO Care (ottomotors.com/otto-care) et le PSIRT de l'entreprise à l'adresse [email protected].