Contrôle d'accès: une clé codée en dur dans Kantech EntraPass
Johnson Controls corrige une clé codée en dur dans Kantech EntraPass, son contrôle d'accès. Correctif 9.20, aucune exploitation signalée.
Qui est touché
- Kantech EntraPass, logiciel de gestion du contrôle d'accès, toutes versions antérieures à 9.20
- Postes et serveurs de gestion EntraPass sur le réseau interne: sécurité, back-office, local technique
- Chaînes opératrices et intégrateurs déployant la même version d'EntraPass sur plusieurs établissements
Comment corriger
Mettre à niveau vers Kantech EntraPass 9.20, seule correction publiée par l'avis JCI-PSA-2026-21 du 26 octobre. En attendant, restreindre l'accès local aux postes et serveurs de gestion: le vecteur est local, un attaquant doit déjà disposer d'un pied sur une machine du réseau interne. Demander par écrit à l'intégrateur la version déployée établissement par établissement et la date de mise à niveau. Relever les journaux de la console EntraPass depuis le 26 octobre pour écarter tout usage anormal.
Ce qui se passe
Johnson Controls a publié le 26 octobre 2026 un avis de sécurité, référencé JCI-PSA-2026-21 dans son centre de confiance, corrigeant une clé cryptographique codée en dur dans Kantech EntraPass, son logiciel de pilotage des contrôles d'accès. La faille, référencée CVE-2026-71456 et notée 8,5 en CVSS v4.0 par le NVD, ouvre la voie à une attaque par oracle de bourrage sur les données chiffrées manipulées par l'application. Un second défaut, CVE-2026-71455 (5,3), stocke des informations sensibles en clair en mémoire. Les deux sont corrigés dans la version 9.20. Le NVD ne signale aucune exploitation dans la nature et la faille ne figure pas au catalogue KEV de la CISA.
Le vecteur est local (AV:L dans le score de vulnérabilité): pour exploiter la clé, il faut déjà avoir accès à un poste ou à un serveur EntraPass. Ce n'est donc pas une porte d'entrée depuis Internet, c'est un multiplicateur de dégâts une fois le réseau interne atteint.
Pourquoi c'est grave pour un hôtel
EntraPass pilote typiquement les accès du personnel, les locaux techniques, les étages sécurisés ou les ailes suites d'un établissement, souvent sur le même réseau que l'informatique de gestion. Une clé intégrée au code du produit est identique d'une installation à l'autre: extraite d'un déploiement, elle se reporte sur toutes les installations de la même version. Combiné à une compromission classique du réseau (hameçonnage, rançongiciel), le défaut transforme un poste de gestion déjà touché en prise de contrôle potentielle des portes, au-delà de la seule fuite de données.
Qui est touché
- Kantech EntraPass dans toutes les versions antérieures à 9.20, côté serveur comme consoles d'exploitation.
- Les établissements dont le réseau de contrôle d'accès n'est pas segmenté de l'informatique générale: le prérequis local de l'attaque devient trivial pour un intrus déjà présent.
- Les groupes et franchises: la clé commune rend le travail de l'attaquant réutilisable d'un site à l'autre.
Comment corriger
- Mettre à niveau chaque instance vers EntraPass 9.20 (avis JCI-PSA-2026-21 du 26 octobre 2026).
- En attendant, cloisonner les postes et serveurs de gestion EntraPass: accès restreint au personnel habilité, pas d'exposition au réseau clients ni aux postes génériques.
- Exiger de l'intégrateur ou de l'exploitant infogéré, par écrit, la version déployée dans chaque établissement et un échéancier de mise à niveau.
- En cas de compromission interne récente sur le réseau, vérifier les journaux de la console EntraPass et considérer le remplacement des supports d'accès (badges, codes) comme mesure conservatoire.
Contexte
C'est le deuxième avis de sécurité grand public de Johnson Controls ce mois-ci: le 7 octobre, le centre canadien CCCS signalait le produit de vidéosurveillance ADVMS du même éditeur. Les correctifs de contrôle d'accès physique intéressent les groupes hôteliers parce que ces logiciels restent souvent déployés dix ans sans inventaire, pilotés par des postes de gestion ouverts à toute l'informatique de l'établissement.