Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 47
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | Score CVSSv3 | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
|---|---|---|---|---|---|---|---|---|
| Zabbix | Zabbix | CVE-2024-42327 | 9,9 | Élévation de privilèges | 27/11/2024 | Pas d'information | CERTFR-2024-AVI-1028 | https://support.zabbix.com/browse/ZBX-25623 |
| Zabbix | Zabbix | CVE-2024-42330 | 9,1 | Exécution de code arbitraire à distance | 27/11/2024 | Pas d'information | CERTFR-2024-AVI-1028 | https://support.zabbix.com/browse/ZBX-25626 |
| IBM | QRadar User Behavior Analytics | CVE-2024-47875 | 10 | Injection de code indirecte à distance (XSS) | 20/11/2024 | Pas d'information | CERTFR-2024-AVI-1030 | https://www.ibm.com/support/pages/node/7176642 |
| Synology | BeeFiles pour BeeStation OS | Exécution de code arbitraire à distance | 26/11/2024 | Pas d'information | CERTFR-2024-AVI-1026 | https://www.synology.com/fr-fr/security/advisory/Synology_SA_24_15 | ||
| Synology | DSM | Exécution de code arbitraire à distance | 26/11/2024 | Pas d'information | CERTFR-2024-AVI-1026 | https://www.synology.com/fr-fr/security/advisory/Synology_SA_24_20 | ||
| Palo Alto Networks | GlobalProtect App | CVE-2024-5921 | 5,6 | Contournement de la politique de sécurité | 26/11/2024 | Preuve de concept publique | CERTFR-2024-AVI-1020 | https://security.paloaltonetworks.com/CVE-2024-5921 |
Autres vulnérabilités
CVE-2024-11477 : Vulnérabilité dans 7Zip
La vulnérabilité CVE-2024-11477 permet à un attaquant d'exécuter du code arbitraire à distance.
Lien :
CVE-2024-11667 : Vulnérabilité dans les pare-feux Zyxel
La vulnérabilité CVE-2024-11667 permet à un attaquant non authentifié de téléverser et télécharger des fichiers arbitraires par le biais de l'interface de gestion des pare-feux Zyxel ZLD versions 5.0 à 5.38. L'éditeur a publié la version 5.39 le 3 septembre 2024 pour corriger cette vulnérabilité. De plus, Zyxel indique que cette vulnérabilité est activement exploitée.
Le CERT-FR rappelle que l'exposition d'interfaces de gestion sur Internet est contraire aux bonnes pratiques.
