S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 17 mai 2022
N° CERTFR-2022-ACT-020
Affaire suivie par: CERT-FR
le 17 mai 2022

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité CERTFR-2022-ACT-020

Gestion du document

Référence CERTFR-2022-ACT-020
Titre Bulletin d’actualité CERTFR-2022-ACT-020
Date de la première version 17 mai 2022
Date de la dernière version 20 mai 2022
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 19

Tableau récapitulatif :

Vulnérabilités critiques du 09/05/2022 au 13/05/2022

Editeur Produit Identifiant CVE Score CVSS Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis Cert-FR Avis éditeur
Siemens SICAM P850 CVE-2022-29873 9.8 Exécution de code arbitraire à distance 10/05/2022 Pas d’information CERTFR-2022-AVI-435 https://cert-portal.siemens.com/productcert/html/ssa-165073.html
Siemens Desigo DXR2, Desigo PXC3, Desigo PXC4, Desigo PXC5 CVE-2022-24039 9.0 Exécution de code arbitraire à distance 10/05/2022 Pas d’information CERTFR-2022-AVI-435 https://cert-portal.siemens.com/productcert/html/ssa-626968.html
Tenable Nessus Network Monitor CVE-2021-3711 9.8 Exécution de code arbitraire à distance 10/05/2022 Pas d’information CERTFR-2022-AVI-429 https://www.tenable.com/security/tns-2022-10
Schneider Electric Wiser Smart, EER21000, Wiser Smart, EER21001 CVE-2022-30234 9.4 Exécution de code arbitraire à distance 10/05/2022 Pas d’information CERTFR-2022-AVI-436 https://download.schneider-electric.com/files?p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2022-130-03_WiserSmart_Security_Notification.pdf&p_Doc_Ref=SEVD-2022-130-03
Microsoft Windows LDAP CVE-2022-22012 9.8 Exécution de code arbitraire à distance 11/05/2022 Pas d’information CERTFR-2022-AVI-448 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22012
Microsoft Windows LDAP CVE-2022-29130 9.8 Exécution de code arbitraire à distance 11/05/2022 Pas d’information CERTFR-2022-AVI-448 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-29130
Microsoft Windows NFS CVE-2022-26937 9.8 Exécution de code arbitraire à distance 11/05/2022 Pas d’information CERTFR-2022-AVI-448 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26937
Microsoft Windows Active Directory CVE-2022-26923 8.8 Élévation de privilèges 11/05/2022 Oui CERTFR-2022-AVI-448 https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-26923
Microsoft Windows LSA CVE-2022-26925 8.1 Contournement de la politique de sécurité 11/05/2022 Exploitée CERTFR-2022-AVI-448 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26925
Microsoft Windows RPC CVE-2022-22019 8.8 Exécution de code arbitraire à distance 11/05/2022 Oui CERTFR-2022-AVI-448 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22019
SAP Business Cloud, Commerce, Customer Profitability Analytics CVE-2022-22965 9.8 Exécution de code arbitraire à distance 13/05/2022 Pas d’information CERTFR-2022-AVI-456 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=10
OpenLDAP OpenLDAP CVE-2022-29155 9.8 Exécution de code arbitraire à distance 13/05/2022 Pas d’information CERTFR-2022-AVI-463 https://bugs.openldap.org/show_bug.cgi?id=9815
Zyxel Zyxel USG Flex, Zyxel ATP, Zyxel VPN CVE-2022-30525 9.8 Exécution de code arbitraire à distance 13/05/2022 Exploitée https://www.zyxel.com/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml

CVE-2022-29873 et CVE-2022-24039 : Multiples vulnérabilités dans les produits Siemens

Le 10 mai 2022, l’éditeur a déclaré un ensemble de vulnérabilités parmi lesquelles deux vulnérabilités critiques.
La vulnérabilité dont le numéro de CVE est CVE-2022-29873 a un score CVSSv3 de 9.8. Elle concerne les appareils de mesure de puissance numérique SICAM P850. Le service http intégré à ces périphériques ne valide pas correctement les paramètres de certaines requêtes GET et POST. La vulnérabilité permet alors à un attaquant non authentifié de placer l’appareil dans un état de déni de service ou de tenter une exécution de code arbitraire à distance.

La vulnérabilité identifiée CVE-2022-24039 a un score CVSSv3 de 9.0. Elle affecte les régulateurs modulaires multimétiers Desigo DXR2, Desigo PXC3, Desigo PXC4 et Desigo PXC5. La fonction JavaScript addCell ne nettoie pas correctement les entrées d’un utilisateur avant de les inclure dans le corps XML du rapport XLS généré. L’utilisateur est alors en mesure d’injecter du contenu arbitraire dans le fichier généré.
La vulnérabilité permet à un attaquant de corrompre le contenu d’un rapport XLS afin de proposer en téléchargement des fichiers malveillants à des utilisateurs disposant de privilèges plus élevés et obtenir une exécution de code arbitraire à distance sur le poste de travail d’un administrateur.

Liens :

CVE-2022-30234 : Vulnérabilité dans les produits Schneider Electric

Le 10 mai 2022, l’éditeur a annoncé un ensemble de vulnérabilités parmi lesquelles une vulnérabilité critique dont le numéro d’identifiant est CVE-2022-30234. Cette vulnérabilité a un score CVSSv3 de 9.4 et concerne les contrôleurs internet actionneurs de chauffage Wiser Smart EER21000 et Wiser Smart EER21001.

L’utilisation d’informations d’identification en texte clair pourrait permettre l’exécution de code arbitraire après l’obtention d’un accès avec les privilèges les plus élevés (root).

L’éditeur précise que les contrôleurs Wiser Smart EER21000 et EER21001 sont en fin de vie (EOL) et ne bénéficient plus de mises à jour de sécurité, il est donc conseillé aux utilisateurs d’appliquer les mesures répertoriées dans la section Atténuations de l’avis éditeur.

Liens :

CVE-2022-26923 : Vulnérabilité dans Microsoft ADCS

Le chercheur en sécurité Oliver Lyak a remonté une vulnérabilité à Microsoft au sein des services de certification Active Directory (ADCS). Pour rappel, les services AD CS permettent la mise en œuvre par Microsoft de l’infrastructure à clés publiques (PKI) permettant la remise et la gestion de certificats ou de signatures numériques. Ces services ne sont pas installés par défaut mais sont largement déployés dans les environnements Active Directory importants.

Cette vulnérabilité, immatriculée CVE-2022-26923 et aussi nommée Certifried, permettait à un attaquant déjà authentifié avec des droits utilisateurs de tenter une élévation de privilèges. Cette vulnérabilité est basée sur la manipulation de l’attribut DnsHostName lors de la génération d’un certificat machine. Cet attribut spécifie le nom de l’ordinateur tel qu’il est enregistré par le DNS. Avec certaines contraintes détaillées par le chercheur, il est possible de modifier cet attribut et ainsi de pouvoir, in fine, aboutir à une élévation de privilèges.

Il est à noter qu’en plus du correctif, le drapeau CT_FLAG_NO_SECURITY_EXTENSION ne doit pas être présent dans les modèles (templates) des certificats.

Un problème a été découvert dans la gestion par le contrôleur de domaine du mappage (mapping) des certificats aux comptes machine. Après l’installation des correctifs de sécurité publiés le 10 mai par l’éditeur, des erreurs d’authentification peuvent apparaître dans les journaux des clients ou des serveurs pour les services suivants :

  • Network Policy Server (NPS)
  • Routing and Remote access Service (RRAS)
  • Radius
  • Extensible Authentication Protocol (EAP)
  • Protected Extensible Authentication Protocol (PEAP)

Un correctif a été publié le 19 mai 2022 afin de résoudre ce problème. Veuillez vous référer au lien suivant pour obtenir cette mise à jour : https://docs.microsoft.com/en-us/windows/release-health/windows-message-center#2828

Liens :

CVE-2022-26925 : Vulnérabilité dans Windows LSA

Le chercheur en sécurité Raphael John a remonté une vulnérabilité au sein de Windows LSA qui se trouve être actuellement activement exploitée. En exploitant cette vulnérabilité, un attaquant non authentifié pourrait appeler une méthode sur l’interface LSARPC et forcer le contrôleur de domaine à s’authentifier auprès de l’attaquant avec NTLM. L’attaquant pourrait ainsi contourner l’authentification en manipulant un système vulnérable. Pour exploiter cette vulnérabilité, l’attaquant doit avoir les moyens lui permettant de conduire une attaque de type « homme du milieu » (MITM). Microsoft a publié des informations supplémentaires ainsi que des mesures d’atténuation : https://msrc.microsoft.com/update-guide/vulnerability/ADV210003.

Le score CVSSv3 combiné serait de 9.8 si cette vulnérabilité est associée à des attaques par relais NTLM sur les services de certificats Active Directory (AD CS) telles que PetitPotam. Pour éviter cela, les serveurs utilisant les services de certification Active Directory doivent impérativement activer la protection Extended Proctection For Authentication (EPA). Pour plus d’informations veuillez vous référer à l’avis de l’éditeur concernant les mesures de protections contre les attaques relais NTLM.

Microsoft recommande de donner la priorité aux contrôleurs de domaine Active Directory lors de l’application de ces mises à jour.

Mesures de protections contre les attaques relai NTLM :
https://support.microsoft.com/fr-fr/topic/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429

Liens :

CVE-2022-22012 et CVE-2022-29130 : Vulnérabilités dans Windows LDAP

Le 10 mai 2022, lors de l’édition du Patch Tuesday, l’éditeur a publié deux avis concernant les vulnérabilités ayant les numéros de CVE CVE-2022-22012 et CVE-2022-29130. Les deux vulnérabilités ont un score CVSSv3 de 9.8 et concernent l’implémentation de Windows LDAP.

L’augmentation de la valeur MaxReceiveBuffer au delà de la valeur par défaut dans la politique LDAP pourrait permettre à un attaquant distant, authentifié ou non, d’exploiter ces deux vulnérabilités afin d’exécuter du code avec les privilèges les plus élevés (SYSTEM). L’éditeur précise que la politique par défaut n’est pas vulnérable.

Des informations supplémentaires sur les politiques LDAP sont fournies par l’éditeur :
https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-adts/3f0137a1-63df-400c-bf97-e1040f055a99

Liens :

CVE-2022-30525 : Vulnérabilité dans les produits Zyxel

Le 12 mai 2022, l’éditeur a annoncé la correction d’une vulnérabilité affectant les produits des gammes USG Flex, ATP et VPN.

La vulnérabilité est identifiée par le numéro de CVE CVE-2022-30525, elle a un score CVSSv3 de 9.8. Elle permet à un attaquant non authentifié de pouvoir exécuter des commandes arbitraires sur un équipement ayant la fonctionnalité zero touch provisioning (ZTP) activée. En envoyant des requêtes HTTP sur une url particulière, il est possible d’exécuter de manière légitime des fonctions prédéfinies sur l’équipement. Cependant, la commande getWanPortSt est vulnérable à une injection de commande qui permet, in fine, de pouvoir exécuter du code arbitraire en déposant une invite de commande inversée (reverse-shell).

La vulnérabilité fait l’objet d’une exploitation active, le CERT-FR conseille fortement de mettre à jour le micrologiciel de ces équipements à une version supérieure ou égale à 5.30.

Liens :

 

La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.

Rappel des avis émis

Dans la période du 09 au 15 mai 2022, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 20 mai 2022
    Version initiale