Rockwell corrige quatre failles d’exécution de code de gravité élevée dans Arena Simulation

Rockwell Automation a publié une mise à jour corrigeant quatre vulnérabilités de gravité élevée dans son logiciel Arena Simulation. Selon les avis de Rockwell et de l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA), ces failles pourraient permettre l’exécution de code arbitraire lorsqu’un utilisateur ouvre un fichier d’expérience ou de modèle Arena spécialement conçu.

Arena est utilisé pour créer des simulations à événements discrets de processus opérationnels. Les organisations peuvent modéliser des flux de travail, tester des changements proposés et identifier d’éventuels problèmes avant de modifier les environnements de production. Bien que le logiciel n’exploite pas directement les équipements de contrôle industriel, il peut être déployé dans des environnements connectés à des réseaux d’entreprise ou de technologie opérationnelle plus vastes.

Des fichiers malveillants sont nécessaires

Les vulnérabilités sont suivies sous les identifiants CVE-2026-8085, CVE-2026-8312, CVE-2026-8313 et CVE-2026-8314. Elles impliquent une corruption de la mémoire due à une validation insuffisante des données fournies par l’utilisateur, pouvant entraîner des écritures hors limites. Une exploitation réussie pourrait permettre l’exécution de code avec les privilèges du processus Arena.

Les problèmes affectent les versions 17.00.00 et antérieures d’Arena. Rockwell les a corrigés dans la version 17.00.01. L’exploitation n’est pas possible à distance de manière autonome : un attaquant devrait d’abord convaincre un utilisateur ciblé d’ouvrir un fichier malveillant.

Le chercheur Michael Heinzl, qui a signalé les problèmes, a déclaré que les fichiers Arena sont fréquemment échangés et ouverts dans le cadre du travail quotidien, ce qui pourrait rendre difficile la distinction entre un document piégé et un projet légitime. Les conséquences potentielles dépendraient des privilèges associés au compte utilisé par Arena et de la segmentation du réseau de l’organisation. Un intrus qui parviendrait à exécuter du code pourrait potentiellement utiliser le poste de travail compromis comme point d’appui, même si un accès supplémentaire ne serait pas automatique.

Une divulgation plus large des vulnérabilités

Heinzl a déclaré avoir identifié 17 faiblesses distinctes dans le logiciel. Rockwell les a regroupées par composant affecté, ce qui a donné lieu à quatre identifiants CVE, tandis que le chercheur a publié des avis individuels concernant les problèmes sous-jacents.

Rockwell et la CISA ont indiqué ne disposer d’aucune preuve que ces vulnérabilités sont exploitées dans la nature. Les organisations utilisant Arena devraient passer à la version 17.00.01, limiter l’accès aux fichiers de projet non fiables et renforcer la sensibilisation des utilisateurs aux pièces jointes inattendues et aux modèles de simulation partagés.