Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 44
Tableau récapitulatif :
Vulnérabilités critiques du 30/10/23 au 05/11/23
| Editeur | Produit | Identifiant CVE | Score CVSSv3 | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Cisco | Firepower Management Center | CVE-2023-20048 | 9.9 | Exécution de code arbitraire à distance | 01/11/2023 | Pas d'information | CERTFR-2023-AVI-0906 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-fmc-cmd-inj-29MP49hN |
| Atlassian | Confluence Data Center, Confluence Server | CVE-2023-22518 | 9.1 | Atteinte à l'intégrité des données | 31/10/2023 | Preuve de concept publique | CERTFR-2023-AVI-0899 | https://confluence.atlassian.com/security/cve-2023-22518-improper-authorization-vulnerability-in-confluence-data-center-and-server-1311473907.html |
| Ubuntu | 22.04 LTS | CVE-2023-38427 | 9.8 | Exécution de code arbitraire à distance, Déni de service à distance | 31/10/2023 | Pas d'information | CERTFR-2023-AVI-0911 | https://ubuntu.com/security/notices/USN-6466-1 |
| Ubuntu | 22.04 LTS | CVE-2023-38430 | 9.1 | Déni de service à distance | 31/10/2023 | Pas d'information | CERTFR-2023-AVI-0911 | https://ubuntu.com/security/notices/USN-6464-1, https://ubuntu.com/security/notices/USN-6466-1 |
| Ubuntu | 22.04 LTS | CVE-2023-38431 | 9.1 | Déni de service à distance, Atteinte à la confidentialité des données | 31/10/2023 | Pas d'information | CERTFR-2023-AVI-0911 | https://ubuntu.com/security/notices/USN-6466-1 |
| Ubuntu | 22.04 LTS | CVE-2023-38432 | 9.1 | Déni de service à distance | 31/10/2023 | Pas d'information | CERTFR-2023-AVI-0911 | https://ubuntu.com/security/notices/USN-6464-1, https://ubuntu.com/security/notices/USN-6466-1 |
| Tenable | Security Center (curl) | CVE-2023-38545 | 9.8 | Non spécifié par l'éditeur | 31/10/2023 | Preuve de concept publique | CERTFR-2023-AVI-0904 | https://www.tenable.com/security/tns-2023-35 |
CVE-2019-17571, CVE-2022-23307 et CVE-2020-9493 : Multiples vulnérabilités dans IBM QRadar SIEM
IBM a publié des correctifs pour des vulnérabilités critiques affectant les composants tiers Apache Log4j et Chainsaw utilisés par QRadar SIEM.Liens :
CVE-2016-1000027 et CVE-2023-20862 : Multiples vulnérabilités NetApp Active IQ
NetApp a publié des correctifs pour des vulnérabilités critiques affectant des composants tiers Spring utilisés par Active IQ.Liens :
- /avis/CERTFR-2023-AVI-0908/
- https://security.netapp.com/advisory/ntap-20230420-0009/
- https://security.netapp.com/advisory/ntap-20230526-0002/
Alertes CERT-FR
CVE-2023-20198 et CVE-2023-20273 : Multiples vulnérabilités dans Cisco IOS XE
Cisco a publié les versions 17.6.6a, 16.12.10a et 17.3.8a qui corrigent les vulnérabilités CVE-2023-20198 et CVE-2023-20273, activement exploitées. De plus, des codes d'exploitations sont désormais disponibles publiquement.Liens :
- /alerte/CERTFR-2023-ALE-011/
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z
Autres vulnérabilités
CVE-2023-46747 et CVE-2023-46748 : Multiples vulnérabilités dans F5 BIG-IP
Le 02 novembre 2023, F5 a mis à jour ses avis de sécurité concernant les vulnérabilités CVE-2023-46747 et CVE-2023-46748 pour indiquer qu'elles sont activement exploitées. La première permet à un attaquant non authentifié d'exécuter du code arbitraire à distance. La deuxième permet à un attaquant authentifié d'injecter du code SQL. De plus, des codes d'exploitations sont disponibles publiquement.Liens :
- https://cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0897/
- https://my.f5.com/manage/s/article/K000137353
- https://my.f5.com/manage/s/article/K000137365
CVE-2023-46604 : Vulnérabilité dans Apache ActiveMQ
Le 01 novembre 2023, Rapid7 a publié un billet de blogue pour indiquer que la vulnérabilité CVE-2023-46604 est possiblement exploitée. Le même jour, la CISA l'a rajoutée à son catalogue de vulnérabilités exploitées. Des preuves de concept sont disponibles publiquement.Liens :
- /actualite/CERTFR-2023-ACT-047/
- https://activemq.apache.org/security-advisories.data/CVE-2023-46604-announcement.txt
- https://www.rapid7.com/blog/post/2023/11/01/etr-suspected-exploitation-of-apache-activemq-cve-2023-46604/
- https://www.cisa.gov/news-events/alerts/2023/11/02/cisa-adds-one-known-exploited-vulnerability-catalog
CVE-2023-26457 : Vulnérabilité dans SAP Content Server
Une preuve de concept est disponible publiquement pour cette vulnérabilité d'injection de cette injection de code indirecte à distance (XSS).Liens :
: Vulnérabilité dans GNU LIBC
La vulnérabilité CVE-2023-4911, aussi appelée Looney Tunables, affecte la glibc et permet une élévation de privilèges. Des preuves de concept sont disponibles depuis le début du mois d'octobre 2023. La vulnérabilité est désormais activement exploitée.Liens :
- /avis/CERTFR-2023-AVI-0804/
- https://access.redhat.com/security/cve/CVE-2023-4911
- https://www.debian.org/security/2023/dsa-5514
- https://sourceware.org/git/?p=glibc.git;a=commit;h=1056e5b4c3f2d90ed2b4a55f96add28da2f4c8fa
La mise à jour d'un produit ou d'un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d'effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l'application des mises à jour comme des correctifs ou des changements de version.
