Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Vulnérabilités significatives de la semaine 18
Tableau récapitulatif :
Rappel des alertes CERT-FR
Vulnérabilité dans SAP NetWeaver
Le 24 avril 2025, SAP a publié un bulletin de sécurité relatif à la vulnérabilité CVE-2025-31324 qui permet l'exécution de code arbitraire à distance pour un utilisateur non authentifié. Cette vulnérabilité est provoquée par un contournement de la politique de sécurité qui permet de télécharger des fichiers arbitraires et potentiellement exécutables sur le serveur. Elle impacte le composant Visual Composer development server, non installé par défaut mais fréquemment utilisé.Le CERT-FR a connaissance de plusieurs compromissions liées à cette vulnérabilité.
L'accès aux détails complets concernant cette vulnérabilité nécessite un compte utilisateur pour le support SAP. Le bulletin de sécurité du 8 avril 2025 a été mis à jour pour indiquer cette nouvelle vulnérabilité sans faire mention de son exploitation active.
Liens :
- https://www.cert.ssi.gouv.fr/alerte/CERTFR-2025-ALE-005/
- https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/
- https://me.sap.com/notes/3593336
- https://me.sap.com/notes/3596125
Autres vulnérabilités
Vulnérabilités dans le protocole et le logiciel AirPlay
Le 31 mars 2025, Apple a publié la version 13.7.5 de macOS Ventura, corrigeant 97 vulnérabilités dans le protocole et le logiciel AirPlay. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données, un déni de service à distance et un contournement de la politique de sécurité. La chaîne de vulnérabilités CVE-2025-24252 et CVE-2025-24132 est surnommée Airborne. Cette chaîne permet à un attaquant de prendre le contrôle de certains appareils compatibles AirPlay et déployer des logiciels malveillants qui se propagent sur un réseau local auquel l'appareil infecté se connecte.Liens :
Tableau récapitulatif :
| Editeur | Produit | Identifiant CVE | CVSS | Type de vulnérabilité | Date de publication | Exploitabilité (Preuve de concept publique) | Avis éditeur |
|---|---|---|---|---|---|---|---|
| Broadcom | Fabric Operating System | CVE-2025-1976 | 8.6 | Exécution de code arbitraire | 17/04/2025 | Exploitée | https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25602 |
| Commvault | Commvault | CVE-2025-3928 | 8.7 | Exécution de code arbitraire | 24/02/2025 | Exploitée | https://documentation.commvault.com/securityadvisories/CV_2025_03_1.html |
| Sonicwall | Sma 500V Firmware, Sma 400 Firmware, Sma 210 Firmware, Sma 410 Firmware, Sma 200 Firmware | CVE-2023-44221 | 7.2 | Exécution de code arbitraire à distance, Contournement de la politique de sécurité | 04/12/2023 | Exploitée | https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2024-0018 |
| Sonicwall | SMA 100 Series (SMA 200, 210, 400, 410, 500v) | CVE-2024-38475 | 9.1 | Exécution de code arbitraire à distance, Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 03/12/2023 | Exploitée | https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2023-0018 |
| Netapp | Ontap 9 | CVE-2024-38475 | 9.1 | Exécution de code arbitraire à distance, Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 12/07/2024 | Exploitée | https://security.netapp.com/advisory/ntap-20240712-0001/ |
| Apache | Http Server | CVE-2024-38475 | 9.1 | Exécution de code arbitraire à distance, Atteinte à la confidentialité des données, Contournement de la politique de sécurité | 01/07/2024 | Exploitée | https://httpd.apache.org/security/vulnerabilities_24.html |
