Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Élévation de privilèges

Systèmes affectés

  • CRYHOD versions antérieures à 2023.5 pour Windows
  • ZED! Enterprise versions antérieures à 2023.5 pour Windows, macOS et Linux
  • ZED! features dans ZEDMAIL versions antérieures à 2023.5 pour Windows
  • ZED! features dans ZONECENTRAL versions antérieures à 2023.5 pour Windows (à l'exception de la vulnérabilité CVE-2023-50442 qui affecte toutes les versions)
  • ZEDFREE versions antérieures à 2023.5 pour Windows, macOS et Linux
  • ZEDPRO versions antérieures à 2023.5 pour Windows, macOS et Linux

Résumé

De multiples vulnérabilités ont été découvertes dans les produits PRIM'X. Certaines d'entre elles permettent à un attaquant de provoquer un contournement de la politique de sécurité, une atteinte à l'intégrité des données et une atteinte à la confidentialité des données.

La très forte réactivité de l'éditeur a permis de corriger ces vulnérabilités et publier des correctifs dans un délai de 3 mois.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

IMPORTANT : Déployer les nouvelles versions des logiciels n'est pas suffisant, il est également nécessaire de prendre les mesures suivantes :

  • créer de nouveaux conteneurs Zed! et ne pas réutiliser les anciens ;
  • appliquer une politique de mot de passe forte pour les mots de passe utilisateurs (si la liste d'accès est protégée par mot de passe) ;
  • contrôler les droits d'accès aux fichiers de zone utilisés par ZoneCentral enfin d'en limiter les droits d'écriture aux seuls administrateurs ZoneCentral.

Documentation