S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 15 janvier 2024
N° CERTFR-2024-ACT-003
Affaire suivie par: CERT-FR
le 15 janvier 2024

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité CERTFR-2024-ACT-003

Gestion du document

Référence CERTFR-2024-ACT-003
Titre Bulletin d’actualité CERTFR-2024-ACT-003
Date de la première version 15 janvier 2024
Date de la dernière version 15 janvier 2024
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 2

Tableau récapitulatif :

Vulnérabilités critiques du 08/01/24 au 14/01/24

Editeur Produit Identifiant CVE Score CVSSv3 Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis Cert-FR Avis éditeur
Juniper Networks Junos OS CVE-2024-21591 9.8 Exécution de code arbitraire à distance 10/01/2024 Pas d’information CERTFR-2024-AVI-0027 https://supportportal.juniper.net/s/article/2024-01-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Security-Vulnerability-in-J-web-allows-a-preAuth-Remote-Code-Execution-CVE-2024-21591?language=en_US
Ivanti Connect Secure, Policy Secure Gateways, Ivanti Neurons for ZTA gateways CVE-2024-21887 9.1 Exécution de code arbitraire à distance 10/01/2024 Exploitée CERTFR-2024-ALE-001 https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
Ivanti Connect Secure, Policy Secure Gateways, Ivanti Neurons for ZTA gateways CVE-2023-46805 8.2 Contournement de la politique de sécurité 10/01/2024 Exploitée CERTFR-2024-ALE-001 https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
SAP Web IDE Full-Stack, Web IDE pour SAP HANA, Edge Integration Cell, Business Technology Platform (BTP) Security Services Integration Libraries CVE-2023-50422 9.1 Élévation de privilèges 09/01/2024 Pas d’information CERTFR-2024-AVI-0018 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1
SAP Business Technology Platform (BTP) Security Services Integration Libraries CVE-2023-50423 9.1 Élévation de privilèges 09/01/2024 Pas d’information CERTFR-2024-AVI-0018 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1
SAP Business Technology Platform (BTP) Security Services Integration Libraries CVE-2023-50424 9.1 Élévation de privilèges 09/01/2024 Pas d’information CERTFR-2024-AVI-0018 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1
SAP Business Application Studio, Web IDE Full-Stack, Web IDE pour SAP HANA, Edge Integration Cell, Business Technology Platform (BTP) Security Services Integration Libraries CVE-2023-49583 9.1 Élévation de privilèges 09/01/2024 Pas d’information CERTFR-2024-AVI-0018 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1
Microsoft Windows, Windows Server CVE-2024-20674 8.8 Contournement de la politique de sécurité 09/01/2024 Pas d’information CERTFR-2024-AVI-0021 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20674
Microsoft .NET CVE-2024-0057 9.1 Contournement de la politique de sécurité 09/01/2024 Pas d’information CERTFR-2024-AVI-0024 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-0057
Siemens SIMATIC CN 4100 CVE-2023-49621 9.8 Contournement de la politique de sécurité 09/01/2024 Pas d’information CERTFR-2024-AVI-0014 https://cert-portal.siemens.com/productcert/html/ssa-777015.html
Siemens SIMATIC IPC647E , SIMATIC IPC847E, SIMATIC IPC1047E CVE-2023-51438 10 Exécution de code arbitraire à distance 09/01/2024 Pas d’information CERTFR-2024-AVI-0014 https://cert-portal.siemens.com/productcert/html/ssa-702935.html
GitLab Community Edition (CE) et Enterprise Edition (EE) CVE-2023-5356 9.6 Exécution de code arbitraire à distance 11/01/2024 Pas d’information CERTFR-2024-AVI-0030 https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/
GitLab Community Edition (CE) et Enterprise Edition (EE) CVE-2023-7028 10 Contournement de la politique de sécurité 11/01/2024 Code d’exploitation public CERTFR-2024-ALE-002 https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/

CVE-2019-17571, CVE-2020-9493, CVE-2021-26691, CVE-2021-39275, CVE-2021-44228, CVE-2021-44790, CVE-2022-23305, CVE-2022-37434 et CVE-2023-38408 : Multiples vulnérabilités dans les produits Juniper Networks

En complément de la vulnérabilité CVE-2024-21591, Juniper Networks a également publié des correctifs pour de multiples vulnérabilités critiques affectant des composants tiers utilisés par Session Smart Router, CTPView et Security Director Insights.

Liens :

Rappel des alertes CERT-FR

CVE-2024-21887, CVE-2023-46805 : Multiples vulnérabilités dans les produits Ivanti

Le 10 janvier 2024, Ivanti a publié un avis de sécurité concernant ses produits Connect Secure et Policy Secure Gateways car ils sont affectés par deux vulnérabilités critiques.

La vulnérabilité CVE-2023-46805 permet à un attaquant de contourner l’authentification, tandis que la vulnérabilité CVE-2024-21887 permet à un administrateur distant et authentifié d’exécuter des commandes arbitraires. Un attaquant qui exploite ces deux vulnérabilités peut par conséquent prendre le contrôle complet de l’équipement.

Ivanti indique que ces vulnérabilités sont activement exploitées dans le cadre d’attaques ciblées. Selon l’éditeur, une dizaine d’équipements ont été compromis.

Les correctifs ne sont pas disponibles pour l’instant. Leurs publications sont prévues, pour les versions 9.x et 22.x, entre les semaines du 22 janvier et du 19 février 2024.

Liens :

CVE-2023-7028 : Vulnérabilité dans les produits GitLab

Le 11 janvier 2024, l’éditeur a publié un avis de sécurité concernant plusieurs vulnérabilités affectant GitLab.

La plus critique est la vulnérabilité CVE-2023-7028. Elle permet à un attaquant non authentifié d’envoyer un courriel de réinitialisation de mot de passe de n’importe quel utilisateur à une adresse arbitraire. L’attaquant peut ainsi, par le biais d’une simple requête HTTP POST, prendre le contrôle d’un compte dont il connaîtrait le courriel.

Des codes d’exploitation sont publiquement disponibles.

Liens :

Autres vulnérabilités

CVE-2023-29357 : Vulnérabilités dans Microsoft Sharepoint

La CISA indique que la vulnérabilité CVE-2023-29357 est activement exploitée. Pour rappel, celle-ci permet à un attaquant non authentifié d’obtenir les droits administrateur sur un serveur Sharepoint.

Liens :

CVE-2023-48795 : Vulnérabilité dans les produits Palo Alto Networks

L’éditeur recommande de désactiver l’algorithme CHACHA20-POLY1305 dans ses produits pour bloquer l’exploitation potentielle de la vulnérabilité CVE-2023-48795, aussi appelée Terrapin.

Liens :

CVE-2023-51467 : Vulnérabilité dans Apache OFBiz

La vulnérabilité critique CVE-2023-51467 permet à un attaquant de contourner l’authentification pour injecter des requêtes illégitimes par rebond côté serveur (SSRF) dans OFBiz. Une preuve de concept de l’exploitation est publiquement disponible.

Liens :

 

La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.

Rappel des avis émis

Dans la période du 08 au 14 janvier 2024, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 15 janvier 2024
    Version initiale