Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 25

Tableau récapitulatif :

Vulnérabilités critiques du 17/06/24 au 23/06/24
Editeur Produit Identifiant CVE Score CVSSv3 Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis Cert-FR Avis éditeur
Broadcom VMWare vCenter Server CVE-2024-37080 9.8 Exécution de code arbitraire à distance 18/06/2024 Pas d'information CERTFR-2024-AVI-0502 https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453
Broadcom VMWare vCenter Server CVE-2024-37079 9.8 Exécution de code arbitraire à distance 18/06/2024 Pas d'information CERTFR-2024-AVI-0502 https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24453
Elastic Kibana (Google Chrome) CVE-2024-2887 9.9 Exécution de code arbitraire à distance 17/06/2024 Pas d'information CERTFR-2024-AVI-0500 https://discuss.elastic.co/t/kibana-7-17-22-8-14-0-security-update-esa-2024-17/361508

Autres vulnérabilités

CVE-2024-3080 : Vulnérabilité dans les produits ASUS

Le 14 juin 2024, ASUS a publié un bulletin de sécurité présentant la vulnérabilité CVE-2024-3080. Elle permet à un attaquant de contourner l'authentification et de prendre le contrôle de l'appareil.

Les modèles concernés sont les suivants :

  • XT8
  • RT-AX88U
  • RT-AX58U
  • RT-AX57
  • RT-AC86U
  • RT-AC68U

Liens :

CVE-2024-28995: Vulnérabilité dans SolarWinds Serv-U

Le 5 juin 2024, Solarwinds a publié un correctif pour la vulnérabilité CVE-2024-28995 affectant Serv-U. Elle permet une traversée de chemin, un attaquant non authentifié peut ainsi lire des fichiers arbitraires sur la machine. Cette vulnérabilité est activement exploitée.

Liens :

CVE-2024-29824: Vulnérabilité dans Ivanti Endpoint Manager (EPM)

La vulnérabilité permet à un attaquant non authentifié d'effectuer une injection SQL. Le CERT-FR a connaissance de tentatives d'exploitation.

Liens :

Rappel des publications émises

Dans la période du 17 juin 2024 au 23 juin 2024, le CERT-FR a émis les publications suivantes :


Dans la période du 17 juin 2024 au 23 juin 2024, le CERT-FR a mis à jour les publications suivantes :