Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 3
Tableau récapitulatif :
Vulnérabilités critiques du 14/01/24 au 21/01/24
CVE-2023-22527 : Exécution de code arbitraire à distance dans Atlassian Confluence
Le 16 janvier 2024, Atlassian a publié un avis de sécurité concernant la vulnérabilité CVE-2023-22527 affectant son produit Confluence. Cette vulnérabilité permet à un attaquant d'exécuter du code arbitraire à distance sans être authentifié. Elle affecte les versions 8.x antérieures à 8.5.4 d'Atlassian Confluence. Ces versions sont obsolètes et donc ne bénéficieront pas de rétroportage des correctifs de sécurité.Le CERT-FR a connaissance de tentatives d’exploitation et de code d'exploitation public et recommande donc de mettre à jour Confluence vers une version supportée par l'éditeur.
Liens :
- /avis/CERTFR-2024-AVI-0040/
- https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html
Multiples vulnérabilités dans les implémentations d’UEFI
De multiples vulnérabilités ont été découvertes dans la pile réseau du projet EDK II de la fondation Tianocore, largement utilisée par les constructeurs d’ordinateurs comme socle de développement pour leur micrologiciel UEFI. Au total, 9 vulnérabilités ont été découvertes, permettant l’exécution de code arbitraire à distance et l’injection de trafic dans des sessions TCP.Le code d’EDK II est utilisé ou intégré de façon diverse par les différents éditeurs de code UEFI (souvent dénommé BIOS par abus de langage), qui fournissent à leur tour leur solution aux différents fabricants d’ordinateurs.
Une description plus détaillée est disponible dans le bulletin d'actualité associé.
Liens :
- /actualite/CERTFR-2024-ACT-004/
- https://github.com/tianocore/edk2/security/advisories/GHSA-hc6x-cw6p-gj7h
- https://kb.cert.org/vuls/id/132380
CVE-2023-50164 : Nouveaux produits affectés
Le 17 janvier 2024 Juniper a annoncé que le produit Juniper Secure Analytics sans les derniers correctifs de sécurité est affecté par la vulnérabilité CVE-2023-50164. Le même jour IBM a indiqué que le produit IBM Qradar SIEM est également sujet à cette vulnérabilité.La vulnérabilité CVE-2023-50164 est relative au composant Apache Struts 2. Elle permet à un attaquant non authentifié de téléverser une porte dérobée sur un serveur vulnérable, et ainsi exécuter du code arbitraire à distance.
Le CERT-FR a connaissance de codes d'exploitation publics et de tentatives d'exploitations sur Apache Struts 2. En revanche aucune information spécifique aux produits IBM et Juniper n'est disponible.
Liens :
Rappel des alertes CERT-FR
CVE-2024-21887, CVE-2023-46805 : Multiples vulnérabilités dans les produits Ivanti
Le 10 janvier 2024, Ivanti a publié un avis de sécurité concernant ses produits Connect Secure et Policy Secure Gateways car ils sont affectés par deux vulnérabilités critiques.La vulnérabilité CVE-2023-46805 permet à un attaquant de contourner l'authentification, tandis que la vulnérabilité CVE-2024-21887 permet à un administrateur distant et authentifié d'exécuter des commandes arbitraires. Un attaquant qui exploite ces deux vulnérabilités peut par conséquent prendre le contrôle complet de l’équipement.
Ces vulnérabilités sont activement exploitées. Le CERT-FR a connaissance de nombreux équipements compromis. Tout équipement dont le contournement provisoire n'aurait pas déjà été appliqué doit être considéré comme compromis.
Les informations complémentaires, notamment concernant les mesures de remédiations, sont disponibles dans le bulletin d'alerte du CERT-FR.
Liens :
- /alerte/CERTFR-2024-ALE-001/
- https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways
- https://forums.ivanti.com/s/article/Recovery-Steps-Related-to-CVE-2023-46805-and-CVE-2024-21887
