S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 11 septembre 2023
N° CERTFR-2023-ACT-039
Affaire suivie par: CERT-FR
le 11 septembre 2023

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité CERTFR-2023-ACT-039

Gestion du document

Référence CERTFR-2023-ACT-039
Titre Bulletin d’actualité CERTFR-2023-ACT-039
Date de la première version 11 septembre 2023
Date de la dernière version 08 septembre 2023
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 36

Tableau récapitulatif :

Vulnérabilités critiques du 04/09/23 au 09/09/23

Editeur Produit Identifiant CVE Score CVSSv3 Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis Cert-FR Avis éditeur
QNAP QuLog Center CVE-2023-23357 9.8 Exécution de code arbitraire à distance 08/09/2023 Pas d’information CERTFR-2023-AVI-0721 https://www.qnap.com/fr-fr/security-advisory/qsa-23-16
Cisco Cisco BroadWorks CVE-2023-20238 10 Élévation de privilèges 06/09/2023 Pas d’information CERTFR-2023-AVI-0715 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bw-auth-bypass-kCggMWhX
Google Android CVE-2023-35674 Élévation de privilèges 05/09/2023 Exploitée CERTFR-2023-AVI-0711 https://source.android.com/docs/security/bulletin/2023-09-01?hl=fr
Apple macOS CVE-2023-41064 Exécution de code arbitraire 07/09/2023 Exploitée CERTFR-2023-AVI-0720 https://support.apple.com/en-us/HT213906
Apple iOS, iPadOS CVE-2023-41061 Exécution de code arbitraire 07/09/2023 Exploitée CERTFR-2023-AVI-0720 https://support.apple.com/en-us/HT213907

CVE-2023-20269 : Vulnérabilité dans Cisco ASA et Cisco FTD

Le 06 septembre 2023, l’éditeur a publié un avis de sécurité concernant la vulnérabilité identifiée CVE-2023-20269 et affectant les produits Cisco ASA et Cisco FTD. Celle-ci permet à un attaquant non authentifié de tenter une attaque par force brute afin d’exfiltrer les données contenues soit dans la base locale (LOCAL database) soit dans un service d’authentification (AAA server) s’il est configuré dans le gestionnaire d’authentification HTTPS.

Cisco annonce que l’attaque ne peut se faire qu’au travers de la fonctionnalité VPN SSL sans client (clientless).

L’attaque peut être menée si le service VPN SSL ou VPN IKEv2 est activé sur au moins une des interfaces de l’équipement.

Une fois les données d’authentification obtenues, l’attaquant est en mesure de demander l’établissement d’une connexion VPN SSL sans client directement via un navigateur web vers les boîtiers Cisco ASA versions 9.16 et antérieures.

La connexion est établie avec succès si le protocole VPN SSL sans client est autorisé dans la politique DfltGrpPolicy.

Les boîtiers Cisco FTD ne prennent pas en charge la fonctionnalité VPN SSL sans client. Ils restent cependant concernés par l’attaque par force brute.

L’éditeur indique avoir connaissance de l’exploitation de cette vulnérabilité. Il ne propose pas de correctif, des mesures de contournement ainsi que des méthodes de détection de l’attaque sont indiquées dans le bulletin ci-dessous.

Liens :

 

La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.

Rappel des avis émis

Dans la période du 04 au 10 septembre 2023, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 08 septembre 2023
    Version initiale