S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 07 février 2022
N° CERTFR-2022-ACT-005
Affaire suivie par: CERT-FR
le 07 février 2022

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité CERTFR-2022-ACT-005

Gestion du document

Référence CERTFR-2022-ACT-005
Titre Bulletin d’actualité CERTFR-2022-ACT-005
Date de la première version 07 février 2022
Date de la dernière version 07 février 2022
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 5

CVE-2021-44142 : Vulnérabilité dans Samba

Le 31 janvier 2022, l’éditeur a publié une correction dans le module vfs_fruit qui fournit une compatibilité améliorée avec les clients SMB d’Apple.

La vulnérabilité CVE-2021-44142 a un score CVSSv3 de 9.9 et concerne toutes les versions de Samba antérieures à 4.13.17.

Un manque de validation dans la taille d’une donnée traitée par une fonction du module vfs_fruit génère un débordement du tas. Un attaquant distant est alors en mesure de tenter une exécution de code arbitraire avec les privilèges du processus Samba (root).

Liens :

CVE-2021-43858 : Vulnérabilité dans IBM Spectrum Protect Plus

Le 31 janvier 2022, IBM a publié un avis concernant des vulnérabilités associées au produit IBM Spectrum Protect Plus. En l’occurrence, la vulnérabilité CVE-2021-43858 a été introduite par minIO qui est une application de la suite Kubernetes. Ce binaire est utilisé pour le stockage de données non structurées. Par exemple : Des vidéos, des courriels, des fichiers, des répertoires, des flux de surveillance vidéo, etc. MinIO est présent dans la suite IBM Spectrum Protect Plus.

La vulnérabilité a un score CVSSv3 de 9.8. Une mauvaise gestion des privilèges permet à un attaquant distant de construire une requête HTTP spécifique à destination de l’interface de programmation (API) de minIO afin de mettre à jour la politique d’autorisations d’un utilisateur et d’obtenir des privilèges plus élevés dans le contexte de l’application. L’attaquant doit au préalable avoir des informations d’authentification valides afin de pouvoir interroger l’interface de programmation (API).

L’éditeur de minIO a découvert cette vulnérabilité lors d’un audit interne et indique ne pas avoir connaissance de rapport ni de preuve de concept circulant sur Internet.

Liens :

CVE-2022-20699, CVE-2022-20700, CVE-2022-20701, CVE-2022-20703 et CVE-2022-20708 : Multiples vulnérabilités dans les routeurs Cisco Small Business des gammes RV

Le 02 février 2022, Cisco a publié un avis concernant cinq vulnérabilités critiques affectant des produits de la gamme Small Business RV.
Il s’agit de routeurs multi-fonctionnalités (gestion du Wifi, VPN sur SSL/TLS, pare-feu, QoS, etc.) à destination des TPE/PME et installés avec un système d’exploitation Linux léger.

La vulnérabilité CVE-2022-20699 a un score CVSSv3.1 de 10. Elle est présente dans le module VPN sur TLS des gammes RV340 et RV345 et est introduite par un contrôle insuffisant sur les limites d’une requête HTTP. Lorsque le système reçoit une requête HTTP spécifique transmise par un attaquant distant, même non authentifié, ce dernier peut alors tenter une exécution de code arbitraire à distance avec les privilèges les plus élevés sur le système d’exploitation (root).

Les vulnérabilités CVE-2022-20700 et CVE-2022-20701 ont respectivement un score CVSSv3.1 de 10 et de 9.0. Elles sont amenées par l’interface web de gestion présente sur tous les produits de la gamme RV. Cette interface n’implémente pas correctement les mécanismes d’authentification et d’autorisation vis-à-vis des utilisateurs. Ces vulnérabilités permettent à un attaquant distant d’envoyer des commandes arbitraires au système d’exploitation avec les privilèges les plus élevés (root).

La vulnérabilité CVE-2022-20703 a un score CVSSv3.1 de 9.3. Elle est introduite par un manque de contrôle dans le mécanisme de vérification des images des micrologiciels (firmwares) déployés sur tous les produits de la gamme RV. Cette vulnérabilité permet à un attaquant local, non authentifié, d’installer et de démarrer une image malveillante du micrologiciel puis d’exécuter des binaires non signés.

La vulnérabilité CVE-2022-20708 a un score CVSSv3.1 de 10. Elle est présente dans l’interface web de gestion des gammes RV340 et 345. Cette interface n’effectue pas une validation suffisante des entrées fournies par l’utilisateur. La vulnérabilité permet alors à un attaquant distant, non authentifié, d’envoyer une entrée spécifique au périphérique. Il peut alors tenter une exécution de commande arbitraire avec les privilèges les plus élevés (root) du système d’exploitation Linux sous-jacent.

L’éditeur indique que des preuves de concept existent pour certaines des vulnérabilités décrites précédemment.

Il est donc fortement recommandé de procéder à l’installation des correctifs. Se référer à l’avis éditeur pour identifier le micrologiciel à installer.

Liens :

CVE-2020-27339 à CVE-2022-24069 : Multiples vulnérabilités dans le micrologiciel système InsydeH2O

Le 01 février 2022, l’entreprise Binarly a publié un avis à propos de vulnérabilités affectant le produit InsydeH2O.
InsydeH2O est un micrologiciel système (UEFI) servant d’interface entre le système d’exploitation et le micrologiciel chargé de la gestion matérielle d’un équipement. Il est installé sur des systèmes issus de fabricants tels qu’Intel, Fujitsu, Bull-Atos et Aruba.

Les processeurs x86 ont un mode d’opération appelé mode de gestion du système (System Management Mode ou SMM) qui implémente des fonctions avancées pour, entre autres, la gestion de l’alimentation et la sécurité du système d’exploitation sous-jacent.
Le processeur exécute le code SMM dans une zone mémoire spécifique, la SMRAM, qui doit être isolée des autres modes d’opération par le micrologiciel système afin qu’il en empêche l’accès lorsque le système n’est pas en SMM. Le micrologiciel système copie le code SMM dans la SMRAM et la verrouille lors de la phase d’initialisation de l’équipement.

Le processeur entre dans le mode SMM uniquement lorsqu’il reçoit une interruption de gestion du système (System Management Interrupt ou SMI). Il sauvegarde son contexte d’exécution dans la SMRAM puis exécute le gestionnaire SMI qui peut ensuite sortir du mode SMM. Le processeur peut alors reprendre l’exécution à partir du contexte sauvegardé précédemment.

Le mode d’opération SMM a des privilèges plus élevés que ceux du noyau du système d’exploitation.
Lorsque le gestionnaire SMI est exécuté, le code SMM peut modifier le contexte d’exécution sauvegardé. Il a donc un contrôle étendu sur le comportement du noyau.

Les vulnérabilités CVE-2020-27339, CVE-2020-5953, CVE-2021-33625, CVE-2021-33626, CVE-2021-33627, CVE-2021-41837, CVE-2021-41838, CVE-2021-41839, CVE-2021-41840, CVE-2021-41841, CVE-2021-42059, CVE-2021-42060, CVE-2021-42113, CVE-2021-42554, CVE-2021-43323, CVE-2021-43522, CVE-2021-43615, CVE-2022-24030, CVE-2022-24031 et CVE-2022-24069 ont un score CVSS situé entre 7.5 et 8.2.

Ces vulnérabilités peuvent être divisées en deux catégories :

  • Une faiblesse dans la gestion des appels SMM qui peut permettre à un attaquant local ayant les privilèges les plus élevés du système d’exploitation de tenter une élévation des privilèges vers SMM.
  • Une mauvaise gestion de la taille des données copiées dans une zone mémoire tampon allouée dans le code SMM ou dans le pilote DXE peut permettre à un attaquant local ayant les privilèges les plus élevés du système d’exploitation d’exécuter du code arbitraire avec les privilèges SMM.

A partir d’une exécution de code arbitraire avec les privilèges SMM, un attaquant est en mesure de désactiver certaines protections matérielles telles que SecureBoot, Intel BootGuard ou bien les mécanismes de sécurité qui protègent l’image du micrologiciel système.

Il a aussi la possibilité de créer des portes dérobées ou des canaux de communication cachés de manière à exfiltrer des données sensibles car le mode SMM donne un accès complet à tous les ports d’entrées-sorties de l’équipement.

Il est recommandé de suivre les instruction de mise à jour du micrologiciel fourni par l’éditeur.

Liens :

CVE-2022-21882 : Vulnérabilité dans Microsoft Windows

Le 11 janvier 2022, lors de sa mise à jour mensuelle, l’éditeur a publié un avis concernant une vulnérabilité affectant les systèmes d’exploitation Windows 10, Windows 11, Windows Server 2019, Windows Server 20H2 et Windows Server 2022.

La vulnérabilité CVE-2022-21882 a un score CVSSv3 de 7.8. Une mauvaise gestion des privilèges dans le pilote win32k.sys permet à un attaquant local, authentifié, de tenter une élévation de privilèges afin d’obtenir les permissions les plus élevées du système d’exploitation (System).

L’éditeur annonçait dans l’avis une exploitation probable de cette vulnérabilité, il existe maintenant des preuves de concept disponibles sur Internet pour les systèmes d’exploitation Windows 10 et Windows Server 2019. Le CISA indique par ailleurs que la vulnérabilité est activement exploitée.

Il est fortement recommandé d’appliquer les mise à jour publiées par Microsoft lors de la mise à jour mensuelle de janvier 2022. Se référer à l’avis éditeur pour l’application de ces correctifs sur les différents systèmes d’exploitation concernés.

Liens :

 

La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.

Rappel des avis émis

Dans la période du 31 janvier au 06 février 2022, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 07 février 2022
    Version initiale