CISA Malcolm : Comment sécuriser cet outil d'analyse réseau face aux failles d'extraction ?

Qu'est-ce que la suite d'analyse réseau CISA Malcolm ?

Malcolm est une suite d'outils open-source conçue pour faciliter l'analyse approfondie du trafic réseau. Développée à l'origine par la Cybersecurity and Infrastructure Security Agency (CISA) en collaboration avec le laboratoire national de l'Idaho (INL), elle permet de visualiser et d'interpréter de grands volumes de données réseau. Cet outil est particulièrement apprécié des analystes en sécurité pour sa capacité à traiter des fichiers de capture de paquets, communément appelés fichiers PCAP. Il offre une interface unifiée pour explorer des environnements complexes.

Contrairement à d'autres solutions propriétaires coûteuses, Malcolm se distingue par sa gratuité et sa flexibilité d'installation. Il s'adresse aux administrateurs réseau qui ont besoin de comprendre précisément ce qui circule sur leurs commutateurs et leurs routeurs. En centralisant plusieurs outils de référence, cette suite simplifie grandement le travail d'investigation numérique après un incident ou lors d'audits de sécurité réguliers. Son adoption a dépassé le cadre des grandes administrations pour toucher des structures plus modestes.

Les principaux objectifs de la suite Malcolm incluent :

• La capture complète des paquets réseau (PCAP) pour une analyse historique rigoureuse.
• La génération de journaux de sécurité enrichis grâce au moteur de surveillance Zeek.
• La détection des menaces en temps réel via l'intégration des signatures d'intrusion Suricata.
• La visualisation simplifiée et la recherche rapide des événements de sécurité dans OpenSearch.

Les composants clés de l'architecture Malcolm

Pour comprendre la portée des vulnérabilités, il convient d'examiner l'architecture interne de Malcolm. Cette suite intègre des technologies éprouvées comme Zeek, un puissant moniteur de sécurité réseau, et Suricata, un système de détection d'intrusions (IDS). Ces moteurs analysent le trafic pour en extraire des métadonnées et lever des alertes en cas de comportement suspect. Les données générées sont ensuite indexées dans OpenSearch, ce qui permet des recherches rapides et des visualisations dynamiques.

Un autre composant essentiel est Arkime, qui offre une interface web intuitive pour inspecter les sessions réseau et reconstruire les fichiers transférés. L'ensemble de ces outils est orchestré via des conteneurs Docker, ce qui facilite grandement le déploiement sur site ou dans le cloud. Cependant, cette concentration de technologies diverses augmente également la surface d'attaque. Si l'un des scripts d'interconnexion présente une faiblesse, c'est l'ensemble de la suite qui devient vulnérable.

Le rôle de Malcolm dans la surveillance des réseaux industriels (OT)

Malcolm n'est pas uniquement destiné aux réseaux informatiques traditionnels (IT). Il a été conçu avec une attention particulière pour les réseaux industriels, souvent appelés technologies opérationnelles (OT). Ces réseaux pilotent des machines physiques, des automates ou des systèmes de supervision dans les usines et les infrastructures critiques. L'analyse du trafic y est plus complexe en raison de l'utilisation de protocoles industriels spécifiques qui nécessitent des décodeurs adaptés.

Les entreprises qui gèrent des chaînes de production ou des réseaux de distribution d'eau et d'énergie utilisent Malcolm pour cartographier leurs actifs et détecter des anomalies de communication. La suite permet de s'assurer qu'aucun équipement non autorisé ne tente de se connecter aux automates programmables. Cette double compétence IT et OT fait de Malcolm un outil précieux, mais sa compromission peut avoir des conséquences directes sur l'outil de production physique d'une entreprise.

Les vulnérabilités d'extraction dans safe-extract.py

Le cœur de la sécurité de Malcolm repose sur sa capacité à traiter des fichiers importés par les utilisateurs. Les analystes téléversent régulièrement des archives compressées contenant des captures PCAP ou des journaux d'événements. Pour traiter ces fichiers, Malcolm utilise un script Python interne nommé safe-extract.py. C'est précisément ce script qui a été identifié comme contenant des vulnérabilités critiques liées à la décompression.

Dans les versions antérieures à la version v24.06.0, le script d'extraction ne limitait pas correctement la taille des fichiers extraits, le nombre d'entrées, ni la profondeur des répertoires. Cette absence de contrôle strict expose le système à deux types d'attaques majeures : la traversée de chemin (Path Traversal) et l'épuisement des ressources par le biais de bombes de décompression (Zip Bombs). Ces failles ont été documentées sous les références CVE-2024-31452 et CVE-2024-31453.

La faille de traversée de chemin (CVE-2024-31452)

La vulnérabilité de traversée de chemin (Path Traversal) permet à un attaquant de manipuler les noms de fichiers au sein d'une archive compressée. En insérant des séquences de caractères spécifiques comme ../, l'attaquant peut forcer le script d'extraction à écrire des fichiers en dehors du répertoire de destination prévu. Si le conteneur s'exécute avec des privilèges élevés, cela peut permettre d'écraser des fichiers de configuration système ou d'injecter des scripts malveillants.

Cette faille est particulièrement redoutable car elle peut mener à une exécution de code arbitraire à distance (RCE). Un attaquant capable d'écrire un fichier exécutable dans un répertoire de démarrage ou de remplacer une bibliothèque partagée peut prendre le contrôle total du conteneur Malcolm, puis tenter de s'échapper vers l'hôte pour compromettre l'ensemble du serveur d'analyse.

Le risque de déni de service par Zip Bomb (CVE-2024-31453)

La seconde faille majeure concerne l'absence de limitation de taille lors de la décompression, ouvrant la voie à des attaques par déni de service (DoS). Un attaquant peut concevoir une archive hautement compressée, de l'ordre de quelques kilo-octets, qui se dilate pour atteindre plusieurs centaines de gigaoctets une fois extraite sur le disque dur. C'est le principe classique de la bombe de décompression.

Lorsque le script safe-extract.py tente de décompresser ce fichier sans contrôle préalable, il sature instantanément l'espace disque ou la mémoire vive du serveur. Cette saturation provoque le plantage des services critiques comme OpenSearch et interrompt toute activité d'analyse réseau. Les équipes de sécurité se retrouvent alors aveugles, incapables de surveiller le trafic pendant la phase de résolution de l'incident.

Impact sur la sécurité des infrastructures d'analyse

L'impact de ces vulnérabilités est amplifié par la nature même de l'outil. Malcolm est conçu pour analyser des fichiers potentiellement hostiles récupérés lors d'incidents de sécurité. Si un analyste téléverse un fichier PCAP ou un journal compressé provenant d'un système compromis sans savoir que l'archive a été manipulée, il déclenche lui-même l'attaque sur son propre outil de diagnostic. C'est un cas typique d'attaque par rebond technique.

De plus, la compromission d'un serveur d'analyse réseau est une cible de choix pour les cybercriminels. Un attaquant qui parvient à s'installer sur Malcolm peut observer passivement toutes les captures de trafic importées, y compris les données sensibles, les identifiants de connexion non chiffrés ou les secrets industriels qui transitent sur le réseau. La sécurisation de cet environnement doit donc être une priorité absolue pour toute organisation qui l'utilise.

Tableau récapitulatif des versions de Malcolm et des correctifs

Afin d'aider les administrateurs système à identifier rapidement si leurs installations sont vulnérables, nous avons synthétisé les informations de sécurité relatives aux versions de Malcolm. Le tableau ci-dessous présente les versions concernées, les identifiants CVE associés et les actions de remédiation recommandées. Il est essentiel de vérifier vos versions de déploiement actuelles.

Ce tableau démontre que toutes les versions antérieures à la branche v24.06.0 présentent des risques majeurs pour la sécurité de vos données. Si votre entreprise ou votre prestataire utilise l'une de ces versions pour auditer vos infrastructures, l'application du correctif ne doit pas être différée. Les détails techniques de ces vulnérabilités étant publics, les risques d'exploitation automatisée sont réels.

Guide pratique : comment sécuriser et mettre à jour Malcolm ?

La sécurisation d'une instance Malcolm repose sur deux piliers complémentaires : la mise à jour logicielle immédiate et le durcissement de l'environnement d'exécution. Si vous gérez vous-même votre infrastructure, vous devez suivre une procédure stricte pour éviter toute perte de données ou interruption de service prolongée. Pour les structures ne disposant pas de compétences internes, l'accompagnement par un professionnel qualifié est fortement recommandé.

Étape 1 : Sauvegarde et mise à niveau de l'instance

Avant toute manipulation sur vos conteneurs Docker, il est indispensable de réaliser une sauvegarde complète de vos configurations et de vos volumes de données OpenSearch. Cette précaution vous permettra de restaurer rapidement le service en cas d'erreur durant le processus de mise à jour. Vous pouvez utiliser les commandes de sauvegarde natives de Docker pour exporter vos volumes importants vers un espace de stockage externe sécurisé.

Une fois la sauvegarde validée, vous devez mettre à jour les fichiers de configuration de Malcolm en récupérant la dernière version stable sur le dépôt officiel. Le processus implique généralement de mettre à jour les images de conteneurs et de redémarrer les services. Voici les commandes types pour effectuer cette opération dans votre terminal :

# Arrêter les conteneurs en cours d'exécution
./scripts/control stop
# Récupérer la dernière version stable du dépôt
git pull origin main
# Télécharger les nouvelles images Docker sécurisées
./scripts/control pull
# Redémarrer la suite Malcolm mise à jour
./scripts/control start

Après le redémarrage, connectez-vous à l'interface d'administration pour vérifier que la version affichée est bien supérieure ou égale à la version corrigée (v24.06.0). Inspectez également les journaux d'exécution pour vous assurer que tous les services, notamment Filebeat et OpenSearch, fonctionnent correctement et qu'aucune erreur de base de données n'est survenue lors de la migration.

Étape 2 : Isolation réseau et restriction des accès

Au-delà de la simple mise à jour, la sécurité de Malcolm dépend de son intégration dans votre réseau global. Un outil d'analyse de trafic ne devrait jamais être exposé directement sur l'internet public. Il doit être confiné dans un réseau local virtuel dédié (VLAN d'administration) avec des règles de pare-feu très strictes. Seuls les postes de travail des administrateurs dûment authentifiés doivent pouvoir accéder à l'interface web d'Arkime ou d'OpenSearch.

De plus, il convient de limiter l'accès à l'importation de fichiers aux seuls utilisateurs de confiance. Si possible, configurez des quotas stricts sur la taille des fichiers téléversés pour bloquer préventivement les tentatives d'attaques par saturation de disque. En appliquant le principe du moindre privilège, vous limitez considérablement l'impact d'une éventuelle faille de sécurité résiduelle qui n'aurait pas encore été découverte par les chercheurs.

Voici quelques bonnes pratiques d'isolation à appliquer immédiatement :

• Ne jamais exposer l'interface web de Malcolm directement sur l'internet public sans VPN.
• Utiliser des identifiants uniques et robustes pour chaque analyste réseau.
• Configurer des alertes de surveillance sur l'utilisation du disque dur du serveur d'analyse.
• Isoler l'instance Malcolm dans un VLAN d'administration étanche.

Le rôle d'un accompagnement informatique de proximité

La gestion de la cybersécurité et la mise à jour d'outils complexes comme Malcolm nécessitent des compétences techniques pointues que toutes les TPE et PME ne possèdent pas en interne. C'est ici que l'expertise d'un prestataire informatique local prend tout son sens. Faire de la prévention et maintenir ses systèmes à jour est indispensable pour assurer la continuité de votre activité.

Un technicien de proximité peut réaliser un audit complet de votre infrastructure réseau, identifier les logiciels obsolètes ou vulnérables, et mettre en place des solutions de sauvegarde robustes. En confiant ces tâches critiques à un spécialiste, vous vous libérez des contraintes techniques pour vous concentrer pleinement sur le développement de votre activité, tout en ayant l'assurance que vos données sont protégées. Pour en savoir plus sur nos engagements, vous pouvez consulter notre page à propos.

Que vous ayez besoin d'un dépannage informatique à Agen ou d'un accompagnement global pour sécuriser vos postes de travail, un expert local saura vous proposer des solutions adaptées à votre budget et à vos contraintes opérationnelles. Ne laissez pas une vulnérabilité logicielle mettre en péril la pérennité de votre entreprise ; anticipez les risques en adoptant une démarche de prévention active et en consultant notre page dédiée à l'expertise informatique.

Questions fréquentes

Sources

• CISA Malcolm Project
• Malcolm Official Documentation
• Idaho National Laboratory - Malcolm