S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 14 avril 2025
N° CERTFR-2025-ACT-015
Affaire suivie par: CERT-FR

Bulletin d'actualité du CERT-FR

Objet: Bulletin d'actualité CERTFR-2025-ACT-015

Gestion du document

Référence CERTFR-2025-ACT-015
Titre Bulletin d'actualité CERTFR-2025-ACT-015
Date de la première version14 avril 2025
Date de la dernière version14 avril 2025
Source(s)

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 15

Tableau récapitulatif :

Vulnérabilités critiques du 07/04/25 au 13/04/25
Editeur Produit Identifiant CVE CVSS Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis Cert-FR Avis éditeur
VMware Tanzu Greenplum CVE-2018-1282 9.1 Contournement de la politique de sécurité 07/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25581
IBM QRadar Deployment Intelligence App CVE-2020-36242 9.1 Non spécifié 10/04/2025 Pas d'information CERTFR-2025-AVI-0309
https://www.ibm.com/support/pages/node/7230557
VMware Tanzu Greenplum CVE-2022-42967 9.6 Exécution de code arbitraire à distance, Injection de code indirecte à distance (XSS) 07/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25581
VMware Tanzu Greenplum CVE-2023-37920 9.8 Non spécifié 07/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25581
VMware Tanzu Greenplum CVE-2023-39320 9.8 Exécution de code arbitraire à distance 07/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25580
IBM Storage Protect CVE-2023-3961 9.8 Déni de service à distance 10/04/2025 Pas d'information CERTFR-2025-AVI-0309
https://www.ibm.com/support/pages/node/7230557
Juniper Networks Junos Space CVE-2024-35845 9.1 Non spécifié 09/04/2025 Pas d'information CERTFR-2025-AVI-0304
https://supportportal.juniper.net/s/article/2025-04-Security-Bulletin-Junos-Space-Multiple-vulnerabilities-resolved-in-24-1R3-release
Ubuntu Ubuntu CVE-2024-35960 9.1 Déni de service à distance 09/04/2025 Pas d'information CERTFR-2025-AVI-0308
https://ubuntu.com/security/notices/USN-7428-2
https://ubuntu.com/security/notices/USN-7428-1
IBM Storage Protect CVE-2024-24790 9.8 Contournement de la politique de sécurité 10/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://www.ibm.com/support/pages/node/7230557
VMware Tanzu Greenplum, Tanzu CVE-2024-24790 9.8 Contournement de la politique de sécurité 10/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25580
https://www.ibm.com/support/pages/node/7230557
IBM Storage Protect CVE-2024-5535 9.1 Atteinte à la confidentialité des données 10/04/2025 Pas d'information CERTFR-2025-AVI-0309
https://www.ibm.com/support/pages/node/7230557
VMware Tanzu Greenplum CVE-2024-3596 9 Contournement de la politique de sécurité 07/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25581
VMware Tanzu Greenplum CVE-2024-47561 9.2 Exécution de code arbitraire à distance 07/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25581
VMware Tanzu Greenplum CVE-2024-45337 9.1 Contournement de la politique de sécurité 07/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25581
VMware Tanzu Greenplum, Tanzu CVE-2024-50379 9.8 Exécution de code arbitraire à distance 07/04/2025 Pas d'information CERTFR-2025-AVI-0283
https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25581
SAP Commerce Cloud CVE-2024-56337 9.8 Exécution de code arbitraire à distance 08/04/2025 Pas d'information CERTFR-2025-AVI-0285
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2025.html
Ubuntu Ubuntu CVE-2024-53197 7.8 Élévation de privilèges 07/04/2025 Exploitée CERTFR-2025-AVI-0281
https://ubuntu.com/security/notices/USN-7421-1
https://source.android.com/docs/security/bulletin/2025-04-01?hl=fr
Google Android CVE-2024-53197 7.8 Élévation de privilèges 07/04/2025 Exploitée CERTFR-2025-AVI-0281
https://ubuntu.com/security/notices/USN-7421-1
https://source.android.com/docs/security/bulletin/2025-04-01?hl=fr
Bitdefender GravityZone Update Server CVE-2025-2244 9.5 Exécution de code arbitraire à distance 04/04/2025 Pas d'information CERTFR-2025-AVI-0299
https://www.bitdefender.com/support/security-advisories/insecure-php-deserialization-issue-in-gravityzone-console-va-12634/
SAP SAP Financial Consolidation CVE-2025-30016 9.8 Contournement de la politique de sécurité, Élévation de privilèges 08/04/2025 Pas d'information CERTFR-2025-AVI-0285
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2025.html
SAP Landscape Transformation CVE-2025-31330 9.9 Exécution de code arbitraire à distance 08/04/2025 Pas d'information CERTFR-2025-AVI-0285
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2025.html
SAP S/4HANA (Private Cloud) CVE-2025-27429 9.9 Exécution de code arbitraire à distance 08/04/2025 Pas d'information CERTFR-2025-AVI-0285
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2025.html
Siemens Industrial Edge Device CVE-2024-54092 9.3 Contournement de la politique de sécurité 08/04/2025 Pas d'information CERTFR-2025-AVI-0284
https://cert-portal.siemens.com/productcert/html/ssa-634640.html
Fortinet FortiSwitch CVE-2024-48887 9.8 Contournement de la politique de sécurité 08/04/2025 Pas d'information CERTFR-2025-AVI-0293
https://www.fortiguard.com/psirt/FG-IR-24-435
Joomla! Joomla! CVE-2025-25226 9.8 Injection SQL (SQLi) 02/04/2025 Pas d'information CERTFR-2025-AVI-0296
https://developer.joomla.org/security-centre/963-20250401-framework-sql-injection-vulnerability-in-quotenamestr-method-of-database-package.html
Microsoft Windows CVE-2025-29824 7.8 Élévation de privilèges 08/04/2025 Exploitée CERTFR-2025-AVI-0288
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-29824
Adobe ColdFusion CVE-2025-24446 9.1 Exécution de code arbitraire à distance 08/04/2025 Pas d'information CERTFR-2025-AVI-0292
https://helpx.adobe.com/security/products/coldfusion/apsb25-15.html
Adobe ColdFusion CVE-2025-24447 9.1 Exécution de code arbitraire à distance 08/04/2025 Pas d'information CERTFR-2025-AVI-0292
https://helpx.adobe.com/security/products/coldfusion/apsb25-15.html
Adobe ColdFusion CVE-2025-30281 9.1 Atteinte à la confidentialité des données 08/04/2025 Pas d'information CERTFR-2025-AVI-0292
https://helpx.adobe.com/security/products/coldfusion/apsb25-15.html
Adobe ColdFusion CVE-2025-30282 9.1 Exécution de code arbitraire à distance 08/04/2025 Pas d'information CERTFR-2025-AVI-0292
https://helpx.adobe.com/security/products/coldfusion/apsb25-15.html
Palo Alto Networks Prisma Access Browser CVE-2025-0129 9.4 Non spécifié 09/04/2025 Pas d'information CERTFR-2025-AVI-0301
https://security.paloaltonetworks.com/PAN-SA-2025-0008

Rappel des alertes CERT-FR

[MàJ] Vulnérabilité dans les produits Ivanti

[Mise à jour du 11 avril 2025] Le CERT-FR a connaissance d'une preuve de concept publique permettant de provoquer une exécution de code arbitraire à distance.

Liens :

Activités de post-exploitation dans Fortinet FortiGate

Fortinet a publié le 10 avril 2025 un billet de blogue [1] indiquant l'utilisation d'une technique de post-exploitation qui permet une atteinte à la confidentialité des données de l'ensemble du système des équipements Fortigate affectés. Cette technique repose sur l'utilisation d'un lien symbolique déposé sur le système à la suite d'une compromission de l'équipement par exploitation, entre autres, des vulnérabilités CVE-2022-42475, CVE-2023-27997 ou CVE-2024-21762.

Le CERT-FR a connaissance d'une campagne massive, avec de nombreux équipements compromis en France. Lors d'opérations de réponse à incident, le CERT-FR a pris connaissance de compromissions ayant eu lieu dès le début de l'année 2023.

Liens :

Autres vulnérabilités

Tableau récapitulatif :

Editeur Produit Identifiant CVE CVSS Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis éditeur
Crushftp Crushftp CVE-2025-31161 9.8 Contournement de la politique de sécurité 21/03/2025 Exploitée https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update
Gladinet Centrestack CVE-2025-30406 9.8 Exécution de code arbitraire à distance 03/04/2025 Exploitée https://www.centrestack.com/p/gce_latest_release.html
https://gladinetsupport.s3.us-east-1.amazonaws.com/gladinet/securityadvisory-cve-2005.pdf

Vulnérabilité dans Apache Parquet

Le premier avril 2025, une vulnérabilité affectant le composant parquet-avro de Apache Parquet a été rendue publique. Cette vulnérabilité peut permettre l'exécution de code arbitraire à distance.

La vulnérabilité est corrigée dans la version 1.15.1 de Apache Parquet Java qui a été publiée le 14 mars 2025.

Liens :

Rappel des publications émises

Dans la période du 07 avril 2025 au 13 avril 2025, le CERT-FR a émis les publications suivantes :


Durant la même période, les publications suivantes ont été mises à jour :

Gestion détaillée du document

    le 14 avril 2025
    Version initiale