S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 08 avril 2024
N° CERTFR-2024-ACT-016
Affaire suivie par: CERT-FR
le 08 avril 2024

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité CERTFR-2024-ACT-016

Gestion du document

Référence CERTFR-2024-ACT-016
Titre Bulletin d’actualité CERTFR-2024-ACT-016
Date de la première version 08 avril 2024
Date de la dernière version 08 avril 2024
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 13

Tableau récapitulatif :

Vulnérabilités critiques du 01/04/24 au 07/04/24

 

Editeur Produit Identifiant CVE Score CVSSv3 Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis Cert-FR Avis éditeur
Synology Surveillance Station CVE-2024-29241 9.9 Contournement de la politique de sécurité 02/04/2024 Pas d’information CERTFR-2024-AVI-0266 https://www.synology.com/fr-fr/security/advisory/Synology_SA_24_04
Apache2 HTTP Server CVE-2024-27316 Déni de service à distance 04/04/2024 Pas d’information CERTFR-2024-AVI-0274 https://httpd.apache.org/security/vulnerabilities_24.html
Google Pixel CVE-2024-29748 Élévation de privilèges 04/04/2024 Exploitée CERTFR-2024-AVI-0272 https://source.android.com/docs/security/bulletin/pixel/2024-04-01?hl=fr
Google Pixel CVE-2024-29745 Atteinte à la confidentialité des données 04/04/2024 Exploitée CERTFR-2024-AVI-0272 https://source.android.com/docs/security/bulletin/pixel/2024-04-01?hl=fr

Vulnérabilités dans l’implémentation du protocole HTTP2

Le 04 avr. 2024, Apache a publié un bulletin de sécurité concernant la vulnérabilité CVE-2024-27316 affectant HTTP Server. Cette vulnérabilité liée à la gestion du protocole HTTP2 permet un déni de service à distance. Les bibliothèques Golang net/http et net/http2 sont également affectées par la vulnérabilité CVE-2023-45288.

Liens :

Autres vulnérabilités

CVE-2024-3273 : Vulnérabilité dans les périphériques D-Link DNS-320L, DNS-325, DNS-327L et DNS-340L

Le 04 avr. 2024, la vulnérabilité CVE-2024-3273 a été rendue publique. Cette vulnérabilité concerne la présence d’un compte par défaut sur certains périphériques et permettant la prise de contrôle de celui-ci. Cette vulnérabilité concerne les périphériques suivants :

  • DNS-320L
  • DNS-325
  • DNS-327L
  • DNS-340L

Liens :

CVE-2024-2389 : Vulnérabilité dans Flowmon

Le 05 avr. 2024, Progess a publié un bulletin de sécurité concernant la vulnérabilité CVE-2024-2389 affectant Flowmon. Cette vulnérabilité permet à un attaquant non authentifié d’exécuter des commandes arbitraires à distance.

Liens :

La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.

Rappel des avis émis

Dans la période du 01 au 07 avril 2024, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 08 avril 2024
    Version initiale