Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 32
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | Score CVSSv3 | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Linux / Google | Noyau / Android | CVE-2024-36971 | 7.8 | Exécution de code arbitraire à distance | 05/08/2024 | Exploitée | CERTFR-2024-AVI-0655 | https://source.android.com/docs/security/bulletin/2024-08-01?hl=fr |
| Elastic | Kibana | CVE-2024-37287 | 9.9 | Exécution de code arbitraire à distance | 06/08/2024 | Pas d'information | CERTFR-2024-AVI-0654 | https://discuss.elastic.co/t/kibana-8-14-2-7-17-23-security-update-esa-2024-22/364424 |
| HPE Aruba Networking | Points d'accès Aruba sur InstantOS et ArubaOS 10 | CVE-2024-42393 | 9.8 | Exécution de code arbitraire à distance | 07/08/2024 | Pas d'information | CERTFR-2024-AVI-0657 | https://csaf.arubanetworks.com/2024/hpe_aruba_networking_-_hpesbnw04678.txt |
| HPE Aruba Networking | Points d'accès Aruba sur InstantOS et ArubaOS 10 | CVE-2024-42394 | 9.8 | Exécution de code arbitraire à distance | 07/08/2024 | Pas d'information | CERTFR-2024-AVI-0657 | https://csaf.arubanetworks.com/2024/hpe_aruba_networking_-_hpesbnw04678.txt |
| Cisco | Cisco Small Business SPA300 Series and SPA500 Series IP Phones | CVE-2024-20450 | 9.8 | Exécution de code arbitraire à distance | 08/08/2024 | Pas d'information | CERTFR-2024-AVI-0661 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-spa-http-vulns-RJZmX2Xz |
| Cisco | Cisco Small Business SPA300 Series and SPA500 Series IP Phones | CVE-2024-20452 | 9.8 | Exécution de code arbitraire à distance | 08/08/2024 | Pas d'information | CERTFR-2024-AVI-0661 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-spa-http-vulns-RJZmX2Xz |
| Cisco | Cisco Small Business SPA300 Series and SPA500 Series IP Phones | CVE-2024-20454 | 9.8 | Exécution de code arbitraire à distance | 08/08/2024 | Pas d'information | CERTFR-2024-AVI-0661 | https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-spa-http-vulns-RJZmX2Xz |
Rappel des alertes CERT-FR
CVE-2024-42008, CVE-2024-42009 : Multiples vulnérabilités dans Roundcube
Le 4 août 2024, Roundcube a publié des correctifs concernant les vulnérabilités critiques CVE-2024-42008 et CVE-2024-42009 affectant son serveur de courriel.Ces vulnérabilités permettent des injections de code indirectes à distance (XSS) qui peuvent, par exemple, conduire à la récupération du contenu des courriels de l'utilisateur. De plus, l’attaquant peut également être en mesure d’envoyer des courriels en se faisant passer pour la victime.
Le CERT-FR anticipe la publication à court terme de codes d’exploitation publics. Des vulnérabilités de ce type ont été activement exploitées sur des serveurs Roundcube Webmail par le passé.
Les versions correctives 1.6.8 et 1.5.8 LTS ont été publiées.
Liens :
- https://www.cert.ssi.gouv.fr/alerte/CERTFR-2024-ALE-010/
- https://roundcube.net/news/2024/08/04/security-updates-1.6.8-and-1.5.8
Autres vulnérabilités
CVE-2024-38077: Vulnérabilité dans Windows Remote Desktop Licensing Service
Le 9 juillet 2024, Microsoft a publié un bulletin de sécurité concernant la vulnérabilité CVE-2024-38077 qui permet l'exécution de code arbitraire à distance dans Windows Remote Desktop Licensing Service sans authentification.
Le CERT-FR a connaissance de code d'exploitation public pour cette vulnérabilité.
Liens :
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077
- https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0557/
La mise à jour d'un produit ou d'un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d'effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l'application des mises à jour comme des correctifs ou des changements de version.
