Bulletin d'actualité CERTFR-2025-ACT-005

Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 5

Tableau récapitulatif :

Vulnérabilités critiques du 27/01/25 au 02/02/25

Editeur	Produit	Identifiant CVE	CVSS	Type de vulnérabilité	Date de publication	Exploitabilité (Preuve de concept publique)	Avis Cert-FR	Avis éditeur
NetApp	ONTAP tools pour VMware vSphere 10	CVE-2017-12588	9.8	Non spécifié	27/01/2025	Pas d'information	CERTFR-2025-AVI-0076	https://security.netapp.com/advisory/ntap-20241227-0009/
Juniper Networks	Secure Analytics	CVE-2021-47548	9.8	Atteinte à l'intégrité des données	24/01/2025	Pas d'information	CERTFR-2025-AVI-0072	https://supportportal.juniper.net/s/article/On-Demand-JSA-Series-Multiple-vulnerabilities-resolved-in-Juniper-Secure-Analytics-in-7-5-0-UP10-IF02
IBM	QRadar Network Packet Capture	CVE-2024-39331	9.8	Exécution de code arbitraire	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
IBM	QRadar Network Packet Capture	CVE-2024-5535	9.1	Atteinte à la confidentialité des données	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
IBM	QRadar Network Packet Capture	CVE-2024-45490	9.8	Non spécifié	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
IBM	Network Packet Capture	CVE-2024-45491	9.8	Non spécifié	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
IBM	QRadar Network Packet Capture	CVE-2024-45492	9.8	Déni de service à distance, Exécution de code arbitraire à distance	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
Apple	iOS	CVE-2025-24085	7.8	Élévation de privilèges	27/01/2025	Exploitée	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	MacOS	CVE-2025-24135	9.8	Élévation de privilèges	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122068
Apple	iOS, iPadOS, MacOS, watchOS, tvOS, visionOS	CVE-2025-24126	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	MacOS	CVE-2025-24151	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	iOS, MacOS, visionOS, Safari, tvOS, iPadOS	CVE-2025-24162	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122074 https://support.apple.com/en-us/122066
Apple	MacOS	CVE-2025-24093	9.8	Contournement de la politique de sécurité	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069
Apple	MacOS	CVE-2025-24139	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	iPadOS, MacOS	CVE-2025-24102	9.8	Contournement de la politique de sécurité	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	iOS, iPadOS, MacOS, tvOS, visionOS	CVE-2025-24123	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	MacOS	CVE-2025-24106	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	MacOS	CVE-2025-24174	9.8	Contournement de la politique de sécurité	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	MacOS	CVE-2025-24109	9.8	Atteinte à la confidentialité des données	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	MacOS	CVE-2025-24146	9.8	Atteinte à la confidentialité des données	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	iOS, MacOS, iPadOS, tvOS, watchOS, visionOS	CVE-2025-24124	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	tvOS, MacOS, iPadOS, iOS, visionOS	CVE-2025-24163	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	MacOS, visionOS, iOS, iPadOS	CVE-2025-24154	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122066
Apple	iPadOS, MacOS	CVE-2025-24118	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	MacOS	CVE-2025-24130	9.8	Atteinte à l'intégrité des données	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068

Rappel des alertes CERT-FR

Vulnérabilité dans les produits Fortinet

[Mise à jour du 28 janvier 2025] Une preuve de concept permettant l'exploitation de la vulnérabilité CVE-2024-55591 est disponible publiquement.

Liens :

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2025-ALE-002/

Autres vulnérabilités

CVE-2025-21396, CVE-2025-21415 : Vulnérabilités critiques dans les produits Microsoft

Le 29 janvier 2025, Microsoft indiquait avoir corrigé deux vulnérabilités critiques, nommées CVE-2025-21396 et CVE-2025-21415, concernant respectivement les produits Microsoft Account et Azure AI Face Service permettant à un attaquant une élévation de privilèges. Ces vulnérabilités ont été corrigées sans action utilisateur.

Liens :

CVE-2024-41710 : Vulnérabilité dans les téléphones SIP Mitel

Le 17 juillet 2024, l'éditeur du logiciel Mitel diffusait un correctif de sécurité pour ses téléphones SIP, corrigeant la vulnérabilité CVE-2024-41710 permettant à un attaquant une execution de code arbitraire à distance. Le CERT-FR a connaissance d'exploitations actives de cette vulnérabilité.

Liens :

CVE-2024-40891 : Vulnérabilité dans les pare-feux Zyxel

Le CERT-FR a connaissance d'exploitations de la vulnérabilité CVE-2024-4081 pour laquelle il n'existe pas de correctifs, affectant les pare-feux Zyxel de la gamme CPE. Cette vulnérabilité, via des requêtes de type telnet sur l'interface d'administration, permet à un attaquant l'execution de code arbitraire à distance.
Le CERT-FR rappelle que l'exposition d'interfaces de gestion sur Internet est contraire aux bonnes pratiques.

Rappel des publications émises

Dans la période du 27 janvier 2025 au 02 février 2025, le CERT-FR a émis les publications suivantes :

CERTFR-2025-AVI-0072 : Multiples vulnérabilités dans Juniper Secure Analytics
CERTFR-2025-AVI-0073 : Multiples vulnérabilités dans Microsoft Edge
CERTFR-2025-AVI-0074 : Vulnérabilité dans Synacor Zimbra Collaboration
CERTFR-2025-AVI-0075 : Multiples vulnérabilités dans les produits Apple
CERTFR-2025-AVI-0076 : Vulnérabilité dans NetApp ONTAP
CERTFR-2025-AVI-0077 : Multiples vulnérabilités dans HPE Aruba Networking Fabric Composer
CERTFR-2025-AVI-0078 : Vulnérabilité dans VMware Avi Load Balancer
CERTFR-2025-AVI-0079 : Multiples vulnérabilités dans Google Chrome
CERTFR-2025-AVI-0080 : Vulnérabilité dans les produits Moxa
CERTFR-2025-AVI-0081 : Multiples vulnérabilités dans ISC BIND
CERTFR-2025-AVI-0082 : Vulnérabilité dans Sonicwall NetExtender
CERTFR-2025-AVI-0083 : Vulnérabilité dans Apple GarageBand
CERTFR-2025-AVI-0084 : Vulnérabilité dans Microsoft Edge
CERTFR-2025-AVI-0085 : Multiples vulnérabilités dans les produits VMware
CERTFR-2025-AVI-0086 : Multiples vulnérabilités dans les produits IBM
CERTFR-2025-AVI-0087 : Multiples vulnérabilités dans le noyau Linux d'Ubuntu
CERTFR-2025-AVI-0088 : Multiples vulnérabilités dans le noyau Linux de SUSE

Dans la période du 27 janvier 2025 au 02 février 2025, le CERT-FR a mis à jour les publications suivantes :

CERTFR-2024-AVI-0151 : Multiples vulnérabilités dans Joomla!
CERTFR-2024-AVI-0601 : Multiples vulnérabilités dans les produits Mitel
CERTFR-2024-ALE-015 : [MàJ] Multiples vulnérabilités sur l'interface d'administration des équipements Palo Alto Networks
CERTFR-2025-ALE-002 : [MàJ] Vulnérabilité dans les produits Fortinet

Référence	CERTFR-2025-ACT-005
Titre	Bulletin d'actualité CERTFR-2025-ACT-005
Date de la première version	03 février 2025
Date de la dernière version	03 février 2025
Source(s)
Pièce(s) jointe(s)	Aucune(s)

Bulletin d'actualité du CERT-FR

Objet: Bulletin d'actualité CERTFR-2025-ACT-005

Gestion du document

Vulnérabilités significatives de la semaine 5

Tableau récapitulatif :

Rappel des alertes CERT-FR

Vulnérabilité dans les produits Fortinet

Liens :

Autres vulnérabilités

CVE-2025-21396, CVE-2025-21415 : Vulnérabilités critiques dans les produits Microsoft

Liens :

CVE-2024-41710 : Vulnérabilité dans les téléphones SIP Mitel

Liens :

CVE-2024-40891 : Vulnérabilité dans les pare-feux Zyxel

Rappel des publications émises

Gestion détaillée du document