Vulnérabilités des communications CPDLC : faux messages et déconnexions radio

Le système ATN-B1 expose les communications à des interventions à distance

L’avis CISA/CSAF icsa-26-219-01, publié le 7 août 2026, concerne CPDLC over ATN-B1, le système utilisé pour l’échange de données entre les aéronefs et les infrastructures du contrôle du trafic aérien.

La liaison repose sur des communications radio en radiofréquence non chiffrées et dépourvues d’authentification. Un attaquant distant peut donc intervenir par radio, sans nécessairement compromettre directement un système embarqué ou un réseau au sol.

Le périmètre indiqué comprend :

• Produit : CPDLC over ATN-B1 Vulnerabilities ;
• standard : Advisory Circular 90-117 Data Link Communications ;
• version : ATN-B1 CPDLC: vers:all/* ;
• état : known_affected ;
• secteur : systèmes de transport ;
• déploiement : mondial.

Le fournisseur n’est pas précisé et aucune version corrigée ou non vulnérable n’a été communiquée.

Cinq CVE affectent l’authentification et la continuité des sessions

La vulnérabilité CVE-2025-71409 concerne l’absence d’authentification des messages du Very High Frequency Data Link. Des stations au sol malveillantes peuvent injecter des messages CPDLC, créant des autorisations inattendues ou trompeuses et augmentant le risque de confusion pour les pilotes.

La faille est classée CWE-306, avec une gravité HIGH et un score CVSS 3.1 de 7.1. Le score CVSS 4.0 est également de 7.1.

Les vulnérabilités CVE-2025-71410 et CVE-2025-71411 affectent quant à elles la disponibilité du service. Des messages Unnumbered Disconnect (U DISC) et des trames Aviation Very High Frequency Link Control malformées peuvent fermer les sessions CPDLC. Un autre type de trame de contrôle diffusée peut déconnecter plusieurs aéronefs simultanément.

Toutes deux présentent une gravité MEDIUM : CVSS 3.1 de 5.3 et CVSS 4.0 de 6.0. Elles sont associées à la CWE-770, qui concerne l’allocation de ressources sans limites ni mécanismes de limitation.

Le même ensemble comprend également CVE-2025-71412 et CVE-2025-71413. Pour ces deux identifiants, aucune description technique, classification CWE ou métrique CVSS spécifique n’est disponible.

Les effets concernent les pilotes et les contrôleurs

Les attaques décrites peuvent altérer l’intégrité des communications, interrompre les fonctions CPDLC et contraindre les équipages à revenir aux communications vocales. Cela peut accroître la charge de travail des contrôleurs et retarder les instructions opérationnelles.

La conséquence n’est pas décrite comme une condition compromettant la navigabilité. Toutefois, les faux messages, les sessions interrompues et les retards dans les autorisations peuvent réduire les marges de sécurité opérationnelle, notamment en diminuant la connaissance de la situation.

Le tableau récapitulatif attribue aux vulnérabilités une gravité globale CVSS v3 de 7.1. La confidentialité ne figure pas parmi les principaux impacts indiqués.

Aucun correctif ni contournement public n’a encore été publié

Aucun correctif, mise à jour, contournement ou autre mesure d’atténuation spécifique n’a été indiqué. Par conséquent, tous les déploiements conformes à ATN-B1 CPDLC: vers:all/* sont inclus dans le périmètre d’exposition actuellement connu.

Les opérateurs devraient vérifier auprès des responsables des systèmes CPDLC et des infrastructures ATC si des consignes opérationnelles sont disponibles. Il convient notamment de surveiller les tentatives anormales d’établissement ou de fermeture de sessions, les messages CPDLC inattendus et les déconnexions simultanées de plusieurs aéronefs.