Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 31
Tableau récapitulatif :
Vulnérabilités critiques du 31/07/23 au 06/08/23
CVE-2023-35078, CVE-2023-35081 et CVE-2023-35082 : Multiples vulnérabilités dans les produits Ivanti
Le 24 juillet 2023, Ivanti a corrigé une vulnérabilité affectant le produit Endpoint Manager Mobile, anciennement MobileIron Core. Cette vulnérabilité permet à un attaquant d'obtenir un accès non authentifié à des chemins d'API spécifiques afin de récupérer des informations personnellement identifiables (PII) d'utilisateurs. Un attaquant peut également, par le biais de cette vulnérabilité, modifier la configuration du produit EPMM et créer un compte administrateur.Le 28 juillet 2023, Ivanti a publié un nouvel avis concernant Endpoint Manager Mobile, anciennement MobileIron Core. La vulnérabilité CVE-2023-35081 permet à un attaquant ayant les droits administrateur d'effectuer une écriture arbitraire de fichier sur le serveur, conduisant in fine à une exécution de code arbitraire à distance.
Selon Ivanti, ces vulnérabilités sont activement exploitées dans le cadre d'attaques ciblées.
Le 01 août 2023, la CISA conjointement avec l'agence de sécurité des systèmes d'information norvégienne (NCSC-NO) ont publié un avis [1] concernant les vulnérabilités CVE-2023-35078, exploitée depuis au moins avril 2023, et CVE-2023-35081. Cet avis décrit les modes opératoires observés des attaquants et fournit des moyens de détecter des intrusions.
Le 02 août 2023, Ivanti a publié un nouvel avis concernant la vulnérabilité CVE-2023-35082 affectant MobileIron Core. Celle-ci ressemble à la vulnérabilité CVE-2023-35078, mais n'affecte que les anciennes versions de MobileIron Core, car elle a été corrigée de manière fortuite à partir de la version 11.3.
[Mise à jour du 11 août 2023]
Le 07 août 2023, Ivanti a publié un nouvel avis de sécurité [2] pour indiquer que la vulnérabilité CVE-2023-35082 affecte toutes les versions de Endpoint Manager Mobile, et non uniquement les versions antérieures à 11.3, comme initialement indiqué. Dans l'attente de la publication de la version 11.11, Ivanti fournit un script RPM corrigeant la vulnérabilité CVE-2023-35082 pour les versions 11.8.1.2, 11.9.1.2 et 11.10.0.3. Si l'équipement est dans une version antérieure, il est conseillé de le mettre à jour vers l'une de ces trois versions, puis d'exécuter le script. Cette procédure est décrite dans l'avis.
L'éditeur annonce que :
- La vulnérabilité CVE-2023-35082 est exploitable uniquement sur HTTP mais pas HTTPS ;
- Une preuve de concept est disponible publiquement ;
- La vulnérabilité CVE-2023-35082 est activement exploitée.
Liens :
- /avis/CERTFR-2023-AVI-0584/
- /avis/CERTFR-2023-AVI-0604/
- /avis/CERTFR-2023-AVI-0615/
- /alerte/CERTFR-2023-ALE-009/
- https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability
- https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write
- https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older
- https://www.rapid7.com/blog/post/2023/08/02/cve-2023-35082-mobileiron-core-unauthenticated-api-access-vulnerability/
- [1] https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a
- [2] https://forums.ivanti.com/s/article/KB-Remote-Unauthenticated-API-Access-Vulnerability-CVE-2023-35082
Autres vulnérabilités
CVE-2023-3519 : Vulnérabilité dans Citrix NetScaler ADC et NetScaler Gateway
La vulnérabilité CVE-2023-3519 permet à un attaquant non authentifié d'exécuter du code arbitraire à distance sur Netscaler ADC et Gateway. Celle-ci est activement exploitée et a fait l'objet d'une alerte du CERT-FR.Le CERT-FR a connaissance d'un code d'exploitation disponible publiquement. Tous les équipements vulnérables exposés sur Internet doivent donc être considérés comme compromis.
Liens :
- /alerte/CERTFR-2023-ALE-008/
- https://support.citrix.com/article/CTX561482/citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467
CVE-2023-39143 : Vulnérabilité dans Papercut
Papercut est un logiciel de gestion d'impression. La vulnérabilité CVE-2023-39143 affecte les versions antérieures à 22.1.3 et permet à un attaquant non authentifié de lire, supprimer ou téléverser des fichiers arbitraires si le serveur est exécuté sur Windows. Si l'intégration d'appareils externes est activée (pour le paiement, par exemple), ce qui est le cas par défaut, la vulnérabilité permet alors à l'attaquant d'exécuter du code arbitraire à distance et ainsi prendre la main sur le serveur.Liens :
La mise à jour d'un produit ou d'un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d'effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l'application des mises à jour comme des correctifs ou des changements de version.
