Contrôle d'accès
C•CURE 9000 et victor : l’installeur qui notait les mots de passe dans ses journaux
Le 5 novembre, Johnson Controls a publié un avis de sécurité qui ne concerne pas le cœur de son logiciel de contrôle d’accès, mais quelque chose de plus discret : ses programmes d’installation. Et c’est justement ce qui m’intéresse, parce que ce genre de faille ne se règle pas uniquement avec une mise à jour.
Ce que dit l’avis JCI-PSA-2026-45
La vulnérabilité porte la référence CVE-2026-106019. Les installeurs de C•CURE 9000 en build 3.20.597 et de victor en build 8.0.597, diffusés entre le 1er juillet et le 18 septembre 2026, écrivent en clair dans les journaux locaux des identifiants d’administration ou d’autres informations d’authentification. Cela se produit pendant une installation, une mise à jour ou une réparation.
- Score : 8,8 en CVSS 4.0, attribué par Johnson Controls lui-même.
- Conditions : un attaquant présent sur le réseau adjacent, disposant d’un compte à faibles privilèges, qui peut lire ces journaux.
- Correction : builds 3.20.607 et 8.0.607, ou toute version ultérieure.
- Exploitation : aucune exploitation connue à ce jour, pas de preuve de concept publique.
C•CURE 9000 est l’hyperviseur de contrôle d’accès de Software House, que l’on retrouve sur des sièges sociaux, des sites industriels ou des sites sensibles, y compris en France, souvent couplé à la vidéo victor ou à d’autres VMS du marché.
Pourquoi une « simple » fuite dans un journal me fait tiquer
Sur le papier, il faut déjà avoir un pied dans le réseau. Mais réfléchissez à la durée de vie d’un fichier journal d’installation : personne ne le supprime. Il reste sur le serveur, il part parfois dans une archive envoyée au support, il est copié avec une sauvegarde. Les identifiants qu’il contient sont ceux du système d’exploitation, ceux qui ont servi à installer le serveur : rarement des comptes de second rang.
Et ce serveur commande des portes. Un compte d’administration récupéré sur la machine C•CURE, c’est potentiellement la main sur les droits d’accès, les plages horaires et les journaux d’événements. On est pile à l’endroit où sûreté, réseau et cybersécurité se rejoignent : la meilleure UTL du monde ne sert à rien si le serveur qui la pilote se laisse visiter.
Le point qui me semble le plus important : mettre à jour ne suffit pas. Les builds corrigées arrêtent d’écrire ces informations, mais elles n’effacent pas forcément les journaux déjà produits. Les résumés publiés ne parlent pas de nettoyage : c’est une question à poser au support Johnson Controls.
Ce que je vérifierais cette semaine
- Retrouver l’historique : une installation, une mise à jour ou une réparation a-t-elle été faite entre juillet et septembre avec les builds 3.20.597 ou 8.0.597 ? Le cahier de maintenance et les rapports d’intervention le disent normalement.
- Passer aux builds 3.20.607 / 8.0.607 ou plus récentes, sur tous les serveurs et postes concernés.
- Rechercher et purger les journaux d’installation contenant des identifiants, en suivant les consignes de l’éditeur.
- Changer les mots de passe des comptes utilisés pendant ces opérations. C’est le seul moyen d’être certain qu’un identifiant déjà copié ne sert plus à rien.
- Restreindre l’accès au serveur : réseau de sûreté séparé, accès distant de maintenance par un bastion ou un VPN tracé, comptes nominatifs pour les prestataires.
Mon avis
Je salue la transparence de Johnson Controls : des numéros de build précis, une période de diffusion datée, une correction disponible. C’est exactement ce dont un intégrateur a besoin pour savoir s’il est concerné, et tous les constructeurs n’en font pas autant 🙂
En revanche, écrire des secrets en clair dans un journal, c’est une erreur classique (CWE-532) qu’on n’aimerait plus voir en 2026 sur un logiciel de sûreté haut de gamme. Elle rappelle aussi que la phase de mise en service est un moment sensible : on y manipule les comptes les plus puissants du système. Je conseille d’ajouter à la recette d’un système de contrôle d’accès une vérification simple : quels comptes ont été utilisés, où ont-ils pu laisser des traces, et ont-ils été changés à la fin du chantier.
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.