Alerte aux vulnérabilités dans les séquenceurs ADN

Des chercheurs en sécurité d'Eclypsium ont identifié des vulnérabilités au niveau UEFI dans le séquenceur ADN Illumina iSeq 100, mettant en lumière des dysfonctionnements plus larges dans le processus de développement des dispositifs médicaux. L'analyse de ces failles dans un dispositif largement utilisé pour le séquençage génétique attire l'attention sur l'état préoccupant de la sécurité des équipements médicaux. La conception et le développement de ces appareils sont souvent externalisés à des fabricants sous contrat, ce qui laisse place à des lacunes en matière de suivi et de sécurité.

Le séquenceur Illumina iSeq 100 : un équipement stratégique

Le séquenceur compact iSeq 100 d'Illumina est utilisé dans des laboratoires du monde entier pour diverses analyses génétiques. Lors de leur enquête, les experts d’Eclypsium ont découvert des vulnérabilités au niveau du firmware, en plus de l’absence de certaines protections cruciales contre les implants malveillants. « Nous avons constaté que l’iSeq 100 utilisait une version obsolète du firmware Bios, fonctionnant en mode CSM (Compatibility Support Module), sans activation de Secure Boot ni protections standard d’écriture du firmware », expliquent les chercheurs dans leur rapport. Ces failles donnent à un attaquant la capacité de réécrire le firmware pour rendre l’appareil inutilisable ou d’installer un implant persistant.

Des problèmes structurels liés au processus de développement

Ce type de vulnérabilité n'est pas isolé. Le développement des dispositifs médicaux s'inscrit souvent dans un modèle où les fabricants externalisent la conception matérielle et l'intégration logicielle à des sous-traitants, ce qui expose potentiellement d'autres dispositifs aux mêmes faiblesses. Le iSeq 100 utilise une architecture proche d’un PC classique, avec un processeur Intel Celeron J1900 Quad Core 2 GHz, 8 Go de RAM et un SSD de 240 Go fonctionnant sous Windows 10 IoT Enterprise. Cette architecture rappelle celle d'un ordinateur x86 traditionnel, et les composants sont fournis par IEI Integration, un fabricant spécialisé dans le matériel industriel et médical. Le firmware UEFI, qui remplace le Bios classique, est une composante essentielle de tout système informatique moderne. Pourtant, la version intégrée dans le iSeq 100 date de 2018 et présente des vulnérabilités connues.

Le rôle des IBV (Independent Bios Vendors)

Le firmware UEFI utilisé par Illumina provient d'un fournisseur tiers, un IBV (Independent BIOS Vendor), chargé de fournir une base logicielle personnalisée pour les équipements. Cependant, les failles présentes dans les versions de base affectent potentiellement l'ensemble des produits utilisant ces firmwares.

Par exemple, la vulnérabilité "LogoFAIL" identifiée en 2023 a affecté les principales entreprises du secteur (Insyde, AMI, Phoenix), obligeant de nombreux fabricants à publier des mises à jour de sécurité. Cependant, dans l'industrie des dispositifs connectés (IoT), ces mises à jour sont souvent inexistantes, même si les équipements continuent à être utilisés pendant plusieurs années.

Des lacunes qui persistent

Outre "LogoFAIL", Eclypsium a détecté d'autres problèmes sur l’iSeq 100, notamment l’absence de protections d'écriture du firmware, la non-activation de Secure Boot, et un démarrage du système en mode CSM, limitant les fonctionnalités de sécurité modernes. Les microcodes du processeur étaient également obsolètes, exposant le dispositif aux failles Spectre v2, Fallout et RIDL, liées aux fuites de données lors de l'exécution.

La réponse d'Illumina

Un porte-parole d’Illumina a déclaré : « Nous apprécions le rapport d'Eclypsium et partageons leur engagement envers le principe de divulgation coordonnée des vulnérabilités. Nous suivons nos processus standard et informerons les clients concernés si des mesures sont nécessaires. Notre évaluation initiale indique que ces failles ne présentent pas un risque élevé. » La société a réaffirmé son engagement envers la sécurité de ses produits et la confidentialité des données génomiques, précisant qu'elle œuvre à l'amélioration continue de la gestion des mises à jour de sécurité sur ses instruments.

Une menace persistante sans Secure Boot

En l'absence de mécanismes empêchant la réécriture du firmware, un attaquant ayant des privilèges administratifs pourrait insérer du code malveillant ou rendre l’appareil inopérant. L’iSeq 100 a déjà été affecté par une vulnérabilité critique d’exécution de code à distance (CVE-2023-1968), ce qui a entraîné un rappel de classe II par la FDA ainsi qu’un avis de sécurité du CISA (Cybersecurity and Infrastructure Security Agency). Cette faille a été corrigée depuis, mais le risque demeure : un attaquant pourrait exploiter une autre faille ou voler des identifiants pour obtenir des droits élevés sur le système. Le séquenceur utilise Windows 10 2016 LTSB (version 1607), dont le support principal a pris fin en 2021, bien que le support étendu se poursuive jusqu’en 2026.

L’absence de Secure Boot propose à des attaquants d’altérer le processus de démarrage, injectant du code malveillant dans le noyau du système d'exploitation via une attaque de type "bootkit". Ce type de menace est connu depuis plus d'une décennie avec des exemples notoires tels que LoJax (2018), MosaicRegressor (2020) ou BlackLotus (2023).

Une problématique structurelle

Le rapport d'Eclypsium ne se limite pas à l’iSeq 100 : il souligne un problème systémique lié aux chaînes d'approvisionnement du matériel médical. Les fabricants de dispositifs médicaux externalisent souvent la conception matérielle à des ODM (Original Design Manufacturers) et intègrent des firmwares fournis par des IBV, ce qui peut entraîner un suivi insuffisant des mises à jour de sécurité.

Alex Bazhaniuk, directeur technique d’Eclypsium, explique : « Une fois entré en phase de recherche et développement, un fabricant achète des solutions matérielles et logicielles aux ODM et IBV pour accélérer la mise sur le marché. Ce processus est souvent traité comme une simple transaction commerciale avec un support limité à X années, parfois avec ou sans mises à jour de sécurité. »

La sécurité des dispositifs IoT : un défi majeur

Les chaînes d'approvisionnement matérielles industrielles sont particulièrement touchées par ce modèle, et les correctifs peuvent être difficiles à générer pour des dispositifs vieillissants. Les cartes mères industrielles, conçues pour fonctionner sur de longues périodes, sont particulièrement vulnérables à des failles découvertes après plusieurs années d'utilisation. Les failles mises en évidence par Eclypsium dans le séquenceur Illumina iSeq 100 révèlent un défi plus large pour l'industrie des dispositifs médicaux : assurer une sécurité durable pour des appareils conçus pour fonctionner sur le long terme, malgré des pratiques de développement et des chaînes d'approvisionnement complexes. Pour y parvenir, une révision des pratiques de gestion des firmwares et une meilleure intégration des mises à jour de sécurité sont indispensables.