Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 50

 CVE-2020-26829 CVE-2020-26831CVE-2020-26838 : produits SAP

La vulnérabilité CVE-2020-26829 affecte SAP Netweaver AS JAVA. Elle permet à un attaquant non authentifié d’envoyer des commandes arbitraires à distance via le service de communication entre les noeuds d’un cluster Netweaver. La vulnérabilité CVE-2020-26831 affecte le produit BusinessObjects Business Intelligence Platform (Crystal Report) et permet à un attaquant authentifié d’atteindre à la confidentialité des données. Enfin, la vulnérabilité CVE-2020-26838 permet à un attaquant authentifié d’injecter du code arbitraire dans SAP Business Warehouse et BW4HANA.

Liens :

CVE-2020-25228, CVE-2019-8287, CVE-2019-15678 et CVE-2019-15679 : produits Siemens

La vulnérabilité CVE-2020-25228 permet à un attaquant non authentifié de prendre contrôle d’un équipement LOGO! 8 BM. Plusieurs produits Siemens sont concernés par les vulnérabilités CVE-2019-8287, CVE-2020-15678, CVE-2019-15679 affectant le logiciel TightVNC et permettant potentiellement une exécution de code arbitraire à distance.

Liens :

CVE-2020-17142, CVE-2020-17132 : Microsoft Exchange

Microsoft a corrigé plusieurs vulnérabilités dans Exchange, notamment deux vulnérabilités permettant à un attaquant d’exécuter du code arbitraire à distance avec les droits SYSTEM. Le risque d’une récupération de mot de passe d’un compte utilisateur est suffisamment élevé pour souligner la criticité de ces vulnérabilités. Il est donc fortement recommandé d’appliquer les mises à jour.

Liens :

CVE-2020-17118, CVE-2020-17121 : Microsoft Sharepoint

Microsoft a corrigé plusieurs vulnérabilités dans Sharepoint, notamment deux vulnérabilités permettant à un attaquant d’exécuter du code arbitraire à distance. Le risque d’une récupération de mot de passe d’un compte utilisateur est suffisamment élevé pour souligner la criticité de ces vulnérabilités. Il est donc fortement recommandé d’appliquer les mises à jour.

 Liens

CVE-2020-17095 : Microsoft Hyper-V

Microsoft a corrigé une vulnérabilité dans Hyper-V permettant à une application spécialement conçue d’exécuter, à partir d’une machine virtuelle, du code arbitraire sur le système hôte par l’intermédiaire de paquets vSMB spécialement construits.

Liens

CVE-2020-26085 : Cisco Jabber

Cisco a corrigé une vulnérabilité affectant son logiciel Jabber dans ses versions mobiles et poste de travail. Cette vulnérabilité permet à un attaquant authentifié d’exécuter du code arbitraire à distance en transmettant des messages XMPP spécialement construits.

Liens

CVE-2020-17530 : Vulnérabilité dans Apache Struts 2

L’éditeur de Struts 2 a corrigé une vulnérabilité permettant une exécution de code arbitraire lorsque une évaluation forcée d’une expression OGNL est réalisée sur des données utilisateurs spécialement construites. Des codes d’exploitation ont été publiés en source ouverte.

Liens

Suivi des alertes

CVE-2020-4006 : Vulnérabilité dans VMware Workspace Access One et Identity Manager

Le 07 décembre 2020, l’éditeur a révisé le score CVSS de la vulnérabilité après publication d’un correctif [1]. Il est vivement recommandé d’appliquer le correctif.

Liens :

 

 

 


La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.

Rappel des avis émis

Dans la période du 07 au 13 décembre 2020, le CERT-FR a émis les publications suivantes :


Durant la même période, les publications suivantes ont été mises à jour :