CVE-2018-2957 et CVE-2023-22087 touchent Oracle OPERA, un PMS très déployé. Données exposées, prise de contrôle: ce que la cadence des correctifs impose.
Oracle OPERA, l’un des PMS les plus déployés dans l’hôtellerie mondiale, a accumulé pendant des années des vulnérabilités majeures publiées dans les bases publiques. La plus spectaculaire, CVE-2018-2957, permettait à un attaquant sans le moindre compte de lire l’intégralité des données accessibles par le système. Cinq ans plus tard, CVE-2023-22087 permet à un utilisateur faiblement privilégié de prendre le contrôle complet d’OPERA 5.6. Pour les responsables informatiques d’hôtels, la question n’est pas de savoir si ces failles existent, mais combien de temps leurs instances restent en retard sur les correctifs.
Un PMS, property management system, ou en français logiciel de gestion hôtelière, est le cœur informatique d’un établissement: arrivées et départs, profils et coordonnées des clients, tarification, facturation, et l’essentiel des interfaces avec les autres systèmes, de la serrure connectée au téléphone de chambre. OPERA, édité par Oracle Hospitality, en est une des variantes les plus répandues dans les chaînes internationales. Une faille sur ce niveau de la pile ne concerne donc pas un module périphérique: elle touche le registre central de l’exploitation.
La fiche NVD publiée le 18 juillet 2018 décrit une vulnérabilité du composant Logging d’Oracle Hospitality OPERA 5 Property Services, version 5.5.x. Elle est qualifiée d’aisément exploitable: un attaquant non authentifié, avec un simple accès réseau en HTTP, peut compromettre le système et obtenir un accès complet à toutes les données accessibles par OPERA. Le score CVSS 3.0 de 7,5 reflète un impact total sur la confidentialité. Traduit en langage hôtelier: réservations, noms, coordonnées, séjours, depuis Internet, sans identifiant ni mot de passe.
Publié le même jour, CVE-2018-3014 vise le composant Reports de la même version 5.5.x. Elle exige un privilège faible, mais débouche aussi sur un accès complet aux données accessibles par OPERA, pour un score CVSS de 6,5. Les deux fiches décrivent des failles « aisément exploitables » sur des interfaces HTTP exposées sur le réseau.
Le 17 octobre 2023, la base NVD publie CVE-2023-22087, corrigée par la Critical Patch Update d’Oracle d’octobre 2023. Cette fois, la composante atteinte est « Opera » elle-même, sur la version 5.6. Un attaquant réseau doté d’un privilège faible peut, là encore via HTTP, aboutir à la prise de contrôle complète d’OPERA 5 Property Services. Le score CVSS 3.1 atteint 8,8, avec impact sur la confidentialité, l’intégrité et la disponibilité. La classification ajoute une précision de taille: la CISA-ADP range la faille sous CWE-306, « Missing Authentication for Critical Function », une fonction critique à laquelle manque l’authentification.
Le profil de ces deux époques est le même à cinq ans d’écart: des briques logicielles conçues pour un réseau interne de propriété, exposées en HTTP, dont certaines fonctions critiques se passent d’authentification ou s’en contentent d’une trop faible.
À ce jour, aucun cas public d’exploitation de CVE-2018-2957 contre un hôtel identifié n’a été documenté. Ces failles relèvent donc du risque de sécurité, pas d’une violation confirmée, et il faut les décrire comme telles. Le précédent du côté des moteurs de réservation invite toutefois à ne pas les ranger dans un tiroir: le white paper de Bitdefender publié en 2023 sur le moteur IRM Next Generation de Resort Data Processing montre comment des intrusions réussies, exploitant des failles de ce logiciel de réservation, ont permis de capter les données de paiement de clients d’établissements américains via un module malveillant greffé au serveur web. Même famille d’exposition, côté client cette fois.
Oracle publie ses correctifs de sécurité par trimestre, dans ses Critical Patch Updates, et CVE-2023-22087 porte la marque de celle d’octobre 2023. Pour un responsable informatique d’hôtel ou d’un portefeuille d’établissements, cette périodicité a des conséquences très concrètes.
D’abord, un inventaire de versions est indispensable: les fiches NVD citent OPERA 5 Property Services en 5.5.x et en 5.6, deux lignes de versions encore visibles dans des parcs réels, et chaque CPU peut en corriger d’autres. Ensuite, la revue des expositions réseau prime sur tout le reste: une interface HTTP d’OPERA, qu’il s’agisse de Logging, de Reports ou du cœur applicatif, ne devrait jamais être joignable depuis Internet, et cette vérification mérite d’être rejouée après chaque chantier d’infrastructure ou de télétravail des prestataires.
Il faut aussi traiter chaque CPU comme un rendez-vous, pas comme une formalité: s’abonner aux advisories d’Oracle Hospitality, évaluer en staging l’impact sur les interfaces tierces avant de déployer en production, et documenter les dérogations quand un site doit attendre. Enfin, la récurrence des failles de type CWE-306 incite à auditer systématiquement l’authentification de chaque interface exposée par le PMS aux intégrations, portes connectées incluses, plutôt que de supposer qu’un accès interne vaut autorisation. Un PMS non patché n’est pas un incident en soi, c’est une porte de service laissée ouverte, et l’histoire d’OPERA montre qu’elle peut le rester des années.
Trustwave, Imperva et Visa documentent des tests de cartes volées sur les moteurs de réservation hôteliers. Un phénomène persistant, pas un incident unique.
En 2012, une sonde branchée sur le port de service ouvrait les serrures Onity. Quatre CVE de SALTO ProAccess SPACE montrent que ce risque physique persiste.
Kr00K (CVE-2019-15126) : des puces Wi-Fi chiffraient des trames avec une clé nulle. Corrigé en 2019-2020, le sujet reste le micrologiciel des bornes d’hôtels.