Un clic pour compromettre : comment une faille cachée dans IDIS Cloud Manager Viewer expose les réseaux aux attaques de spear-phishing

Tout commence par un clic. Un employé de confiance, distrait un instant, suit un lien dans un e-mail. Dans la plupart des cas, le pire qui puisse arriver est une fenêtre pop-up ou une tentative de phishing. Mais pour les utilisateurs d’IDIS Cloud Manager (ICM) Viewer, ce simple clic pourrait donner les clés de tout leur réseau. Derrière ce scénario glaçant se cache une vulnérabilité critique découverte par Claroty Team82 - une faille qui transforme le spear-phishing d’une simple nuisance en une véritable intrusion informatique, avec le potentiel de compromettre les systèmes de surveillance, des séquences sensibles et l’infrastructure d’entreprise sous-jacente elle-même.

En bref

• Vulnérabilité critique (CVE-2025-12556) dans IDIS Cloud Manager Viewer permettant l’exécution de code à distance (RCE) via des liens spécialement conçus.
• Les attaquants peuvent exploiter cette faille pour sortir du bac à sable du navigateur et exécuter du code directement sur les hôtes Windows.
• La vulnérabilité obtient un score de 8,7/10 (CVSS v4), soulignant sa gravité et le risque élevé pour les secteurs industriels et des communications.
• IDIS exhorte tous les utilisateurs à mettre à jour vers ICM Viewer v1.7.1 ou à désinstaller immédiatement pour atténuer la menace.
• L’exploit exploite une injection d’arguments et une mauvaise validation des entrées dans les composants basés sur Chromium de l’application.

Anatomie d’une attaque en un clic

Vera Mens de Claroty décrit un scénario qui devrait glacer le sang de tout professionnel de la sécurité. Contrairement aux attaques classiques basées sur le navigateur, généralement contenues dans le bac à sable du navigateur, cette vulnérabilité permet à des acteurs malveillants d’en sortir et d’exécuter du code arbitraire sur la machine de la victime. L’attaque repose sur la façon dont ICM Viewer traite les arguments reçus via une connexion WebSocket locale, sans les nettoyer ni les valider correctement avant de les transmettre à son navigateur Chromium intégré.

Lorsqu’un utilisateur se connecte au portail web IDIS et clique sur « Lancer le Viewer », une chaîne de communications chiffrées s’active. Mais une faille fatale se cache dans ce flux : le composant CWGService, à l’écoute sur localhost, accepte des messages spécialement conçus provenant de n’importe quelle page locale - sans vérification de domaine, sans clés de chiffrement adéquates, sans garde-fous. Il suffit qu’un attaquant trompe l’utilisateur pour qu’il visite une page web malveillante envoyant un message WebSocket spécialement conçu au service local. Si l’attaque réussit, elle injecte des options de ligne de commande dangereuses, telles que --utility-cmd-prefix, dans le viewer basé sur Chromium, ouvrant la porte à l’exécution de code à distance.

Ce qui rend cette menace particulièrement redoutable, c’est son adéquation au spear-phishing : les attaquants peuvent cibler par e-mail des opérateurs de vidéosurveillance ou des responsables d’installations, sachant qu’un simple clic pourrait compromettre non seulement un poste de travail, mais potentiellement se propager à travers des infrastructures critiques.

Comment cela s’est-il produit ?

L’enquête de Team82 pointe une cascade de négligences de conception : l’absence de politiques CORS a permis l’accès WebSocket inter-domaines, le chiffrement utilisait une clé constante facilement répliquée par les attaquants, et les vulnérabilités d’injection d’arguments n’ont pas été corrigées. Résultat ? Une architecture pensée pour la commodité est devenue un terrain de jeu pour les hackers.

Bien que IDIS ait réagi avec une version corrigée (v1.7.1), cet incident rappelle brutalement les risques liés à l’intégration de navigateurs complexes dans des outils de sécurité - et l’importance d’une défense en profondeur à chaque maillon de la chaîne.

Conclusion : Le prix élevé d’un simple clic

Cette vulnérabilité n’est pas qu’une note technique - c’est un avertissement. À mesure que les organisations s’empressent d’intégrer la surveillance gérée dans le cloud et les infrastructures critiques, chaque nouvelle fonctionnalité peut ouvrir des portes insoupçonnées aux attaquants. La leçon d’IDIS ? Connaissez votre surface d’attaque, appliquez les correctifs sans relâche et ne sous-estimez jamais le pouvoir d’un simple clic, au bon moment.

WIKICROOK

• Exécution de code à distance (RCE) : L’exécution de code à distance (RCE) survient lorsqu’un attaquant exécute son propre code sur le système d’une victime, menant souvent à un contrôle total ou à la compromission de ce système.
• Spear : Le spear phishing est une cyberattaque ciblée utilisant des e-mails personnalisés pour tromper des individus ou organisations spécifiques et leur soutirer des informations sensibles.
• WebSocket : WebSocket est un protocole qui maintient un canal ouvert entre votre navigateur et un serveur, permettant un échange de messages bidirectionnel en temps réel.
• Commande : Une commande est une instruction envoyée à un appareil ou un logiciel, souvent par un serveur C2, lui ordonnant d’effectuer des actions spécifiques, parfois à des fins malveillantes.
• Sandbox : Un sandbox est un environnement sécurisé et isolé où les experts analysent en toute sécurité des fichiers ou programmes suspects sans mettre en danger les systèmes ou données réels.