S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 21 mai 2024
N° CERTFR-2024-ACT-022
Affaire suivie par: CERT-FR

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité CERTFR-2024-ACT-022

Gestion du document

RéférenceCERTFR-2024-ACT-022
TitreBulletin d’actualité CERTFR-2024-ACT-022
Date de la première version21 mai 2024
Date de la dernière version21 mai 2024
Source(s)
Pièce(s) jointe(s)Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 20

Tableau récapitulatif :

Vulnérabilités critiques du 13/05/24 au 19/05/24

Autres vulnérabilités

Vulnérabilités dans les produits Alcatel-Lucent

Le 6 mai 2024, Alcatel-Lucent a publié un avis de sécurité détaillant les vulnérabilités CVE-2024-29149 et CVE-2024-29150. Ces vulnérabilités permettent de charger un micrologiciel arbitraire et d'effectuer une élévation de privilèges.

Lien :

Vulnérabilités dans les produits D-Link

Le 16 mai 2024, la Cisa a ajouté les vulnérabilités CVE-2021-40655 et CVE-2014-100005 à son catalogue de vulnérabilités réputées exploitées. Celles-ci permettent de contourner les mesures d'authentification sur les équipements D-Link DIR-600 et DIR-605.

De plus le CERT-FR a connaissance de codes d'exploitation publics permettant une élévation de privilège et une exécution de code arbitraire à distance sur les équipements DIR-x4860.

Lien :

CVE-2024-32113 : Exécution de code arbitraire dans Apache OfBiz

Le 8 mai 2024, Apache a publié un avis de sécurité concernant la vulnérabilité CVE-2024-32113. Cette vulnérabilité permet l'exécution de code arbitraire à distance en exploitant une traversée de répertoire. Le CERT-FR a connaissance d'une preuve de concept publique.

La version corrective 18.12.13 a été publiée.

Lien :

Multiples vulnérabilités dans Solarwinds Access Rights Manager (ARM)

Le 9 mai 2024, Solarwinds a publié des avis de sécurité concernant les vulnérabilité CVE-2024-23473 et CVE-2024-28075. Ces vulnérabilités permettent l'exécution de code arbitraire à distance et le contournement de l'authentification. La CVE-2024-28075 est évaluée à un score CVSSv3 de 9.0 (CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

La version 2023.2.3 a été publiée pour corriger cette vulnérabilité.

Liens :

Multiples vulnérabilités dans Git

Le 14 mai 2024, cinq avis de sécurité concernant git ont été publiés. Les vulnérabilités présentées permettent notamment l'exécution de code arbitraire à distance (CVE-2024-32021 et CVE-2024-32002).

Les vulnérabilités sont corrigées dans les versions v2.45.1, v2.44.1, v2.43.4, v2.42.2, v2.41.1, v2.40.2 et v2.39.4.

Liens :

Injection de code indirecte à distance (XSS) dans Collabora Online

Le 2 avril 2024, Collabora Online a publié un avis de sécurité indiquant la présence d'une vulnérabilité de type injection de code indirecte à distance (XSS), avec pour identifiant CVE-2024-29182. Le CERT-FR a connaissance de codes d'exploitation publics.

Lien :

 

La mise à jour d'un produit ou d'un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d'effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l'application des mises à jour comme des correctifs ou des changements de version.

Rappel des publications émises

Dans la période du 13 mai 2024 au 19 mai 2024, le CERT-FR a émis les publications suivantes :


Dans la période du 13 mai 2024 au 19 mai 2024, le CERT-FR a mis à jour les publications suivantes :

Gestion détaillée du document

    le 21 mai 2024
    Version initiale
EditeurProduitIdentifiant CVEScore CVSSv3Type de vulnérabilitéDate de publicationExploitabilité (Preuve de concept publique)Avis Cert-FRAvis éditeur
SiemensSIMATIC CN 4100CVE-2024-32740 9.8 Exécution de code arbitraire à distance 14/05/2024Pas d'informationCERTFR-2024-AVI-0393https://cert-portal.siemens.com/productcert/html/ssa-273900.html
SiemensSIMATIC CN 4100CVE-2024-32741 10 Exécution de code arbitraire 14/05/2024Pas d'informationCERTFR-2024-AVI-0393https://cert-portal.siemens.com/productcert/html/ssa-273900.html
GoogleChrome et navigateurs basés sur chromiumCVE-2024-4761 Non spécifié par l'éditeur 14/05/2024ExploitéeCERTFR-2024-AVI-0398https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html
GoogleChrome et navigateurs basés sur chromiumCVE-2024-4947 Non spécifié par l'éditeur 15/05/2024ExploitéeCERTFR-2024-AVI-0410https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_15.html
Aruba NetworksPoint d'accès avec ArubaOS et InstantOSCVE-2024-31473 9.8 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0408https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt
Aruba NetworksPoint d'accès avec ArubaOS et InstantOSCVE-2024-31472 9.8 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0408https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt
Aruba NetworksPoint d'accès avec ArubaOS et InstantOSCVE-2024-31471 9.8 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0408https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt
Aruba NetworksPoint d'accès avec ArubaOS et InstantOSCVE-2024-31470 9.8 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0408https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt
Aruba NetworksPoint d'accès avec ArubaOS et InstantOSCVE-2024-31469 9.8 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0408https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt
Aruba NetworksPoint d'accès avec ArubaOS et InstantOSCVE-2024-31468 9.8 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0408https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt
Aruba NetworksPoint d'accès avec ArubaOS et InstantOSCVE-2024-31467 9.8 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0408https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt
Aruba NetworksPoint d'accès avec ArubaOS et InstantOSCVE-2024-31466 9.8 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0408https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt
VmWareVMware Workstation, VMware FusionCVE-2024-22267 9.3 Exécution de code arbitraire à distance 15/05/2024Pas d'informationCERTFR-2024-AVI-0405https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24280
MicrosoftWindowsCVE-2024-30040 8.8 Contournement de la politique de sécurité 14/05/2024ExploitéeCERTFR-2024-AVI-0400https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30040
MicrosoftWindowsCVE-2024-30051 7.8 Élévation de privilèges 14/05/2024ExploitéeCERTFR-2024-AVI-0400https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30051
AppleiOS 17.5 et iPadOSCVE-2024-27804 Élévation de privilèges 14/05/2024Preuve de concept publiqueCERTFR-2024-AVI-0392https://support.apple.com/en-us/HT214101
SAPSAP NetWeaver Application Server ABAP et ABAP PlatformCVE-2024-33006 9.6 Exécution de code arbitraire à distance 14/05/2024Pas d'informationCERTFR-2024-AVI-0395https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2024.html
SAPSAP CX CommerceCVE-2019-17495 9.8 Exécution de code arbitraire à distance 14/05/2024Pas d'informationCERTFR-2024-AVI-0395https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2024.html