Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 25
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | Score CVSSv3 | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Broadcom | VMWare vCenter Server | CVE-2024-37080 | 9.8 | Exécution de code arbitraire à distance | 18/06/2024 | Pas d'information | CERTFR-2024-AVI-0502 | https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453 |
| Broadcom | VMWare vCenter Server | CVE-2024-37079 | 9.8 | Exécution de code arbitraire à distance | 18/06/2024 | Pas d'information | CERTFR-2024-AVI-0502 | https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453 |
| Elastic | Kibana (Google Chrome) | CVE-2024-2887 | 9.9 | Exécution de code arbitraire à distance | 17/06/2024 | Pas d'information | CERTFR-2024-AVI-0500 | https://discuss.elastic.co/t/kibana-7-17-22-8-14-0-security-update-esa-2024-17/361508 |
Autres vulnérabilités
CVE-2024-3080 : Vulnérabilité dans les produits ASUS
Le 14 juin 2024, ASUS a publié un bulletin de sécurité présentant la vulnérabilité CVE-2024-3080. Elle permet à un attaquant de contourner l'authentification et de prendre le contrôle de l'appareil.
Les modèles concernés sont les suivants :
- XT8
- RT-AX88U
- RT-AX58U
- RT-AX57
- RT-AC86U
- RT-AC68U
Liens :
- https://www.asus.com/content/asus-product-security-advisory/
- https://www.cve.org/CVERecord?id=CVE-2024-3080
CVE-2024-28995: Vulnérabilité dans SolarWinds Serv-U
Le 5 juin 2024, Solarwinds a publié un correctif pour la vulnérabilité CVE-2024-28995 affectant Serv-U. Elle permet une traversée de chemin, un attaquant non authentifié peut ainsi lire des fichiers arbitraires sur la machine. Cette vulnérabilité est activement exploitée.
Liens :
- https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0467/
- https://www.solarwinds.com/trust-center/security-advisories/cve-2024-28995
- https://www.cve.org/CVERecord?id=CVE-2024-28995
CVE-2024-29824: Vulnérabilité dans Ivanti Endpoint Manager (EPM)
La vulnérabilité permet à un attaquant non authentifié d'effectuer une injection SQL. Le CERT-FR a connaissance de tentatives d'exploitation.
