## Contournement d'authentification dans PX4 Autopilot exposant des systèmes critiques Des chercheurs en sécurité ont identifié une vulnérabilité significative dans **PX4 Autopilot**, un logiciel de contrôle de vol open-source largement utilisé pour les drones et autres véhicules sans pilote. La faille, **CVE-2026-1579**, découle de l'absence d'authentification cryptographique obligatoire au sein du protocole de communication MAVLink. ### Détails de la vulnérabilité La vulnérabilité réside dans la configuration par défaut du protocole MAVLink. Si la signature des messages MAVLink 2.0 n'est pas activée, un attaquant ayant accès à l'interface MAVLink peut envoyer des messages arbitraires, y compris des commandes `SERIAL_CONTROL`, qui fournissent un accès interactif au shell. Cela permet effectivement une exécution de code à distance sans aucune forme d'authentification. **PX4** propose la signature des messages MAVLink 2.0 comme mécanisme d'authentification cryptographique, et l'activation de cette fonctionnalité atténue le risque en rejetant les messages non signés au niveau du protocole. ### Impact L'exploitation réussie de cette vulnérabilité pourrait avoir des conséquences graves, en particulier pour les secteurs des infrastructures critiques qui dépendent des systèmes sans pilote. Selon la **CISA**, les secteurs affectés comprennent : * Systèmes de transport * Services d'urgence * Base industrielle de défense Compte tenu du déploiement mondial de **PX4 Autopilot**, la vulnérabilité présente un risque généralisé. ### Répartition technique * **CVE:** CVE-2026-1579 * **CWE:** CWE-306 Absence d'authentification pour une fonction critique * **Score CVSS v3:** 9.8 (Critique) * **Version affectée:** PX4 Autopilot v1.16.0_SITL_latest_stable ### Remédiation La **CISA** recommande les étapes d'atténuation suivantes : * **Activer la signature des messages MAVLink 2.0 :** Cela garantira que toutes les communications MAVLink sont cryptographiquement authentifiées. * **Minimiser l'exposition réseau :** Assurez-vous que les appareils du système de contrôle ne sont pas directement accessibles depuis Internet. * **Isoler les réseaux des systèmes de contrôle :** Placez les réseaux des systèmes de contrôle derrière des pare-feux et isolez-les des réseaux d'entreprise. * **Sécuriser l'accès à distance :** Utilisez des méthodes sécurisées comme les VPN pour l'accès à distance, en veillant à ce que le logiciel VPN soit à jour. * **Mettre en œuvre des stratégies de cybersécurité :** Défendez de manière proactive les actifs ICS en mettant en œuvre des stratégies de cybersécurité recommandées, telles que la défense en profondeur. ### Rapports et remerciements **Dolev Aviv** de **Cyviation** a signalé cette vulnérabilité à la **CISA**. Les organisations observant une activité malveillante suspecte doivent suivre les procédures internes établies et signaler leurs conclusions à la **CISA** pour suivi et corrélation avec d'autres incidents. ### Ressources supplémentaires La **CISA** fournit des conseils supplémentaires et des pratiques recommandées sur la page web ICS à l'adresse cisa.gov/ics. Ils recommandent également aux utilisateurs de prendre des mesures pour se protéger contre les attaques d'ingénierie sociale, comme éviter de cliquer sur des liens web ou d'ouvrir des pièces jointes dans des messages électroniques non sollicités.