Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 44
CVE-2021-40119, CVE-2021-40113, CVE-2021-34795 : Multiples vulnérabilités dans les produits Cisco
Le 03 novembre 2021, l'éditeur a publié un correctif pour plusieurs de ses produits affectés par trois vulnérabilités significatives, respectivement immatriculées CVE-2021-40119, CVE-2021-40113 et CVE-2021-34795.Le score CVSSv3 de la CVE-2021-40119 s'élève à 9.8. Ses homologues, les CVE-2021-40113 et CVE-2021-34795, possèdent quant à elles un score CVSSv3 de 10. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à l'intégrité des données. Après étude, il s'avère que ces vulnérabilités sont exploitables si et seulement si le service Telnet et le service web de gestion à distance (Remote Web Management) sont activés. Par défaut, ils ne sont pas activés. Dans le cas contraire, il est recommandé de désactiver ces services et d'appliquer les correctifs mis à disposition par l'éditeur.
Liens :
- /avis/CERTFR-2021-AVI-846/
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cps-static-key-JmS92hNv
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-catpon-multivulns-CE3DSYGr
CVE-2021-22205 : Vulnérabilité dans Gitlab Community Edition et Enterprise Edition
Le 14 avril 2021, l'éditeur déclarait que de multiples vulnérabilités ont été découvertes dans les produits Gitlab. L'une d'elle, la CVE-2021-22205 permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance. Son score CVSSv3 s'élève à 9.9. Les produits concernés sont GitLab Community Edition (CE) et GitLab Enterprise Edition (EE) pour les versions 13.10.3, 13.9.6 et 13.8.8. Le CERT-FR a connaissance de codes d'exploitation disponibles publiquement depuis juin 2021. Cette vulnérabilité étant activement exploitée, le CERT-FR renouvelle ainsi sa recommandation d'appliquer dans les plus brefs délais les correctifs de sécurité mis à disposition par l'éditeur.Liens :
- /avis/CERTFR-2021-AVI-267/
- https://about.gitlab.com/releases/2021/04/14/security-release-gitlab-13-10-3-released/
- https://forum.gitlab.com/t/cve-2021-22205-how-to-determine-if-a-self-managed-instance-has-been-impacted/60918
CVE-2021-1048 : Vulnérabilité dans Google Android
Le 01 novembre 2021, l'éditeur a déclaré de multiples vulnérabilités affectant son produit. Toutefois, il précise que la CVE-2021-1048 pourrait faire l'objet d'une exploitation limitée et ciblée. Aucun score CVSSv3 n'a pas pour l'instant été communiqué par l'éditeur, mais le CERT-FR anticipe l'arrivée potentielle de codes d'exploitation publiquement disponibles et recommande d'appliquer dans les plus brefs délais les correctifs de sécurité mis à disposition par l'éditeur.Liens :
La mise à jour d'un produit ou d'un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d'effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l'application des mises à jour comme des correctifs ou des changements de version.
