Objet: Vulnérabilité dans Microsoft SharePoint Server

Résumé

Depuis début mai 2019, des campagnes d'attaques ciblées exploitant la vulnérabilité CVE-2019-0604 sont rapportées publiquement.

Cette vulnérabilité permet à un attaquant d'exécuter du code arbitraire à distance en exploitant une faille de dé-sérialisation dans les serveurs SharePoint par l'envoi d'une requête malveillante spécialement conçue. Cloudflare indique dans son analyse que la vulnérabilité est exploitable sans authentification [5], ce qui n'a pas été confirmé pas Microsoft.

Microsoft a publié un premier correctif à l'occasion de sa mise à jour mensuelle de février 2019 [1][2]. De nouveaux correctifs ont été publiés en mars et avril 2019 pour couvrir d'autres versions vulnérables de SharePoint et certains cas d'exploitations qui n'avaient pas été pris en charge.

Cette vulnérabilité a été découverte par le chercheur Markus Wulftange qui a publié ses travaux en mars 2019 [3].

Du code d'attaque exploitant cette vulnérabilité est disponible sur internet. Il n'est toutefois pas utilisable sans modification, ce qui explique que cette vulnérabilité n'est pas encore massivement exploitée.

Cependant, devant l'augmentation des cas d'exploitation, plusieurs entreprises de sécurité informatique, ainsi que certains CERT nationaux, ont communiqué sur le sujet (cf. section Documentation). Des règles de détection réseau et système [4] et des indicateurs de compromissions [5][6][7] ont été publiés. Ces derniers doivent être recherchés sur les serveurs SharePoint si les journaux de connexion indiquent des tentatives d'accès aux URLs vulnérables.

Si ce n'est pas encore fait, le CERT-FR recommande l'application des correctifs dans les plus brefs délais.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).