OPERA PMS: une faille critique de contrôle d'accès (CVE-2023-22087)
Une faille d'authentification dans OPERA 5 permet à un attaquant peu privilégié via HTTP de contrôler le PMS. Correctif Oracle d'octobre 2023.
Qui est touché
- Oracle OPERA 5 Property Services, version 5.6 et antérieures
- Tout hôtel exposant l'interface OPERA sur le réseau, y compris derrière un VPN de back-office
- Chaînes répliquant l'infrastructure d'une enseigne partenaire ou rachetée
Comment corriger
Appliquer le correctif du Corrective Security Update d'Oracle d'octobre 2023 ou la version corrigée fournie par Oracle. En attendant, isoler l'interface OPERA dans un segment dédié, couper l'exposition internet directe, et journaliser les connexions administratives. Vérifier auprès de votre intégrateur que le correctif est bien déployé sur toutes les propriétés, y compris les établissements récemment repris.
Ce qui se passe
CVE-2023-22087 touche OPERA 5 Property Services, le progiciel de gestion hôtelière d'Oracle, déployé dans des dizaines de milliers d'établissements à travers le monde. L'advisory CNA d'Oracle décrit une faille facilement exploitable par un attaquant disposant d'un accès réseau HTTP, avec des privilèges faibles, aboutissant à une compromission totale du produit: confidentialité, intégrité et disponibilité. L'analyse ADP de la CISA classe le défaut comme une absence d'authentification sur une fonction critique, la famille CWE-306.
En clair: une fois le point d'entrée atteint, l'attaquant pilote le PMS. Or le PMS concentre les dossiers clients, les tarifs, les comptes débiteurs, les clés de rooming list envoyées aux chaînes et souvent les chemins vers les systèmes de paiement. C'est la raison pour laquelle HotelSec classe cette faille en sévérité critique pour l'hôtellerie, même si le score CVSS brut s'arrête à 8,8.
Pourquoi c'est grave pour un hôtel
- Le PMS est le système central de la propriété: une prise de contrôle alimente directement le vol de données clients à grande échelle et la fraude sur les comptes.
- Les remontées automatiques vers les chaînes (profil ID, folio ID) permettent à une attaque ciblant une enseigne de passer d'une propriété à l'autre sans autre interaction.
- De nombreuses propriétés dépendent d'un intégrateur ou d'un prestataire infogéré pour les correctifs: le correctif publié ne vaut que s'il est appliqué partout.
Qui est touché
- Oracle OPERA 5 Property Services 5.6 et les versions antérieures non corrigées.
- Les environnements où l'interface OPERA reste joignable depuis des réseaux larges (back-office étendu, VPN mal segmenté, accès partenaire).
Comment corriger
- Déployer le correctif du CPU d'Oracle d'octobre 2023 ou la version corrigée indiquée dans l'advisory.
- Faire confirmer par écrit l'application du correctif par l'intégrateur, propriété par propriété.
- Segmented: l'interface OPERA ne doit être joignable que depuis le réseau strictement nécessaire, jamais depuis Internet.
- Journaliser et surveiller les connexions administratives au PMS, y compris les profils de service.
Contexte
Le pattern n'est pas propre à Oracle: les PMS hébergés sur site ou en modèle hybride restent l'un des actifs les plus visés de l'hôtellerie, parce qu'ils agrègent le plus de données et rarement les contrôles de sécurité les plus récents. Les équipes CERT recommandent le même tri pour tous les progiciels hôteliers: exposition réseau d'abord, correctif ensuite.