Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 51
Tableau récapitulatif :
Vulnérabilités critiques du 18/12/23 au 26/12/23
Editeur | Produit | Identifiant CVE | Score CVSSv3 | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis Cert-FR | Avis éditeur |
---|---|---|---|---|---|---|---|---|
OpenSSH | OpenSSH | CVE-2023-51385 | 9.8 | Exécution de code arbitraire | 22/12/2023 | Preuve de concept publique | CERTFR-2023-AVI-1044 | https://www.openssh.com/txt/release-9.6 |
OpenSSH | OpenSSH | CVE-2023-48795 | Pas d’information | Contournement de la politique de sécurité | 21/12/2023 | Pas d’information | CERTFR-2023-AVI-1044 | https://www.openssh.com/txt/release-9.6 |
Chrome | CVE-2023-7024 | Pas d’information | Non spécifié par l’éditeur | 20/12/2023 | Exploitée | CERTFR-2023-AVI-1051 | https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html |
CVE-2023-48795 : Vulnérabilité dans OpenSSH
La vulnérabilité surnommée Terrapin ou Terrapin-Attack (CVE-2023-48795) est présente dans le protocole SSH. La vulnérabilité permet à un attaquant d’affaiblir le choix d’algorithme négocié lors de l’authentification de la partie client (attaque de type downgrade). Pour exploiter cette vulnérabilité, l’attaquant doit être en position d’intercepteur actif (MITM).
Liens :
Autres vulnérabilités
CVE-2023-47565 : Vulnérabilité dans QNAP VioStor NVR
Le 11 décembre 2023, Qnap a déclaré une vulnérabilité affectant le microgiciel VioStor NVR. Cette vulnérabilité permet à un attaquant authentifié et à distance d’exécuter du code arbitraire.
Le 21 décembre 2023, la CISA déclare avoir connaissance de l’exploitation active de cette vulnérabilité par des attaquants [1]. Le CERT-FR recommande donc d’appliquer le correctif de sécurité dans les plus brefs délais.
Liens :
- https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-1011/
- https://www.qnap.com/en/security-advisory/qsa-23-48
- [1] https://www.cisa.gov/news-events/alerts/2023/12/21/cisa-adds-two-known-exploited-vulnerabilities-catalog
CVE-2023-35384 et CVE-2023-36710 : Multiples vulnérabilités dans Microsoft Outlook
Le chercheur à l’origine de la découverte des vulnérabilités CVE-2023-35384 et CVE-2023-36710 affectant respectivement Windows HTML et Windows Media Foundation Core a publié les détails techniques de ses travaux. Des correctifs sont disponibles depuis le 8 août 2023 pour la vulnérabilité CVE-2023-35384 et le 10 octobre 2023 pour la vulnérabilité CVE-2023-36710.
Liens :
- https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0642/
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35384
- https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0827/
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36710
La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.
Rappel des avis émis
Dans la période du 18 au 24 décembre 2023, le CERT-FR a émis les publications suivantes :
- CERTFR-2023-AVI-1039 : Multiples vulnérabilités dans Stormshield Network Security
- CERTFR-2023-AVI-1040 : Multiples vulnérabilités dans les produits Asterisk
- CERTFR-2023-AVI-1041 : Multiples vulnérabilités dans Nextcloud Server
- CERTFR-2023-AVI-1042 : Vulnérabilités dans MISP
- CERTFR-2023-AVI-1043 : Multiples vulnérabilités dans Zimbra Collaboration
- CERTFR-2023-AVI-1044 : Multiples vulnérabilités dans OpenSSH
- CERTFR-2023-AVI-1045 : Vulnérabilité dans SPIP
- CERTFR-2023-AVI-1046 : Vulnérabilité dans Stormshield Network VPN Client
- CERTFR-2023-AVI-1047 : Vulnérabilité dans macOS Sonoma
- CERTFR-2023-AVI-1048 : Multiples vulnérabilités dans les produits Mozilla
- CERTFR-2023-AVI-1049 : Multiples vulnérabilités dans Ivanti Avalanche
- CERTFR-2023-AVI-1050 : Multiples vulnérabilités dans Moodle
- CERTFR-2023-AVI-1051 : Vulnérabilité dans Google Chrome
- CERTFR-2023-AVI-1052 : Vulnérabilité dans SolarWinds Access Rights Manager
- CERTFR-2023-AVI-1053 : Vulnérabilité dans les produits ESET
- CERTFR-2023-AVI-1054 : Multiples vulnérabilités dans le noyau Linux de SUSE
- CERTFR-2023-AVI-1055 : Multiples vulnérabilités dans les produits IBM
- CERTFR-2023-AVI-1056 : Vulnérabilité dans Microsoft Edge
- CERTFR-2023-AVI-1057 : Vulnérabilité dans Postfix
Durant la même période, les publications suivantes ont été mises à jour :
- CERTFR-2017-AVI-393 : Vulnérabilité dans Cisco IOS XE
- CERTFR-2018-AVI-489 : Multiples vulnérabilités dans les produits Intel
- CERTFR-2020-AVI-717 : Multiples vulnérabilités dans les produits Apple
- CERTFR-2021-AVI-343 : Multiples vulnérabilités dans les produits Fortinet
- CERTFR-2023-AVI-0695 : Multiples vulnérabilités dans les produits Mozilla
- CERTFR-2023-AVI-0770 : Multiples vulnérabilités dans les produits Tenable