Défaillance dans Microsoft Office : la dépendance à des entrées non fiables dans une décision de sécurité permet à un attaquant non autorisé de contourner une fonctionnalité de sécurité localement.

Détails :

• Contexte : Microsoft Office est un ensemble de logiciels largement utilisé pour la création de documents, tableurs, présentations, etc.
• Problème : L'application se fie à des données d'entrée qui peuvent être falsifiées ou non sécurisées, ce qui peut compromettre sa sécurité.
• Conséquence : Un attaquant peut exploiter cette faiblesse pour contourner une mesure de sécurité, ce qui pourrait permettre, par exemple, l'exécution de code non autorisé ou l'accès à des informations sensibles.

Terminologie :

• RCE (Remote Code Execution) : Exécution de code à distance, permettant à un attaquant d'exécuter des commandes sur un système ciblé.
• SSRF (Server-Side Request Forgery) : Falsification de requête côté serveur, où l'attaquant pousse le serveur à faire des requêtes non sécurisées au nom de l'application.
• XSS (Cross-Site Scripting) : Injection de scripts malveillants dans des sites web pour intercepter des données ou prendre le contrôle de sessions utilisateur.

Conclusion :

Il est crucial de sécuriser les entrées dans Microsoft Office pour prévenir des attaques potentielles.

Vulnérabilité de Traversée de Chemin dans WinRAR

Une vulnérabilité de traversée de chemin (path traversal) affecte la version Windows de WinRAR. Cette faille permet aux attaquants d'exécuter un code arbitraire en créant des fichiers d'archive malveillants.

Détails : - Auteurs de la découverte : Anton Cherepanov, Peter Košinár et Peter Strýček de ESET. - Exploitation : Cette vulnérabilité a été exploitée dans la nature, ce qui signifie qu'elle a été utilisée par des attaquants réels.

Qu'est-ce que la traversée de chemin ?

La traversée de chemin est une méthode d'attaque où un attaquant peut accéder à des fichiers ou des répertoires en dehors de la zone de stockage où l'application est censée fonctionner. Cela peut mener à des actions non autorisées.

Implications

Les utilisateurs de WinRAR doivent être attentifs à cette vulnérabilité pour éviter des exécutions de code non souhaitées qui pourraient compromettre leur système. Il est recommandé de mettre à jour le logiciel pour se protéger contre cette attaque.

Vulnérabilité de Contournement d'Authentification dans Fortinet

Une vulnérabilité de contournement d'authentification utilisant un chemin ou un canal alternatif [CWE-288] a été identifiée dans plusieurs produits Fortinet :

• FortiAnalyzer : versions 7.6.0 à 7.6.5, 7.4.0 à 7.4.9, 7.2.0 à 7.2.11, 7.0.0 à 7.0.15
• FortiManager : versions 7.6.0 à 7.6.5, 7.4.0 à 7.4.9, 7.2.0 à 7.2.11, 7.0.0 à 7.0.15
• FortiOS : versions 7.6.0 à 7.6.5, 7.4.0 à 7.4.10, 7.2.0 à 7.2.12, 7.0.0 à 7.0.18
• FortiProxy : versions 7.6.0 à 7.6.4, 7.4.0 à 7.4.12, 7.2.0 à 7.2.15, 7.0.0 à 7.0.22
• FortiWeb : versions 8.0.0 à 8.0.3, 7.6.0 à 7.6.6, 7.4.0 à 7.4.11

Détails de la Vulnérabilité

Cette vulnérabilité permet à un attaquant possédant un compte FortiCloud et un dispositif enregistré de se connecter à d'autres appareils enregistrés sous différents comptes si l'authentification SSO (Single Sign-On) est activée sur ces dispositifs.

Implications

• Accès non autorisé : Un attaquant pourrait accéder à des appareils sans droits d'accès légitimes.
• Exposition des données : Cela peut entraîner la compromission de données sensibles ou la manipulation de configurations.

Recommandations

• Mise à jour des produits : Il est crucial de mettre à jour vers les versions corrigées fournies par Fortinet.
• Désactivation SSO : Envisager de désactiver l'authentification SSO jusqu'à ce qu'une mise à jour soit appliquée.

Analyse de la vulnérabilité

• Une injection de code a été découverte dans Ivanti Endpoint Manager Mobile.
• Cette vulnérabilité permet aux attaquants d'obtenir une exécution distante de code non authentifiée (Remote Code Execution, RCE).
• Cela signifie qu'un attaquant peut exécuter des commandes sur le système cible sans avoir besoin de s'authentifier, ce qui augmente considérablement le risque de compromission.

Détails supplémentaires :

• La vulnérabilité pourrait être exploitée à distance, permettant une prise de contrôle totale de la machine affectée.
• Ivanti Endpoint Manager Mobile est un produit utilisé pour gérer les appareils mobiles dans un environnement d'entreprise. Une faille de sécurité ici peut compromettre la sécurité des données de l'entreprise.

Termes clés :

• Injection de code : Technique où un attaquant insère et exécute du code malveillant dans un programme vulnérable.
• Exécution distante de code (RCE) : Capacité d'un attaquant à exécuter des instructions sur un système à distance, souvent avec des privilèges étendus.

Conclusion

Cette vulnérabilité dans Ivanti Endpoint Manager Mobile souligne l'importance des mises à jour de sécurité et des pratiques de codage sécurisées.

Traduction et explication

Une injection de code dans Ivanti Endpoint Manager Mobile permet aux attaquants d'obtenir une exécution de code à distance non authentifiée (RCE - Remote Code Execution).

Explications des termes :

• Injection de code : Cela signifie que des intrus peuvent insérer du code malveillant dans une application, l'exécutant ainsi sur le serveur ou l'appareil ciblé.
• Ivanti Endpoint Manager Mobile : Un produit utilisé pour gérer les appareils mobiles en entreprise.
• Exécution de code à distance non authentifiée (RCE) : Cela signifie que les attaquants peuvent exécuter du code ou des commandes à distance sur le système cible sans avoir besoin de s'authentifier ou de fournir des identifiants.

Risques associés :

• Contrôle total : Les attaquants pourraient prendre le contrôle du dispositif ou accéder à des données confidentielles.
• Propagation : Cette vulnérabilité pourrait être utilisée pour affecter d'autres systèmes connectés ou responsables dans l'environnement d'entreprise.

Pour se protéger, il est crucial de mettre à jour régulièrement le logiciel et d'appliquer des pratiques de sécurité robustes.

Analyse de la vulnérabilité

• Produit affecté : telnetd dans GNU Inetutils version 2.7 et antérieures.
• Type de vulnérabilité : Bypass d'authentification à distance.

Détails de la vulnérabilité

GNU Inetutils est un ensemble d'outils réseau, dont telnetd, un serveur Telnet. Dans la version 2.7, une faille permet à un attaquant de contourner l'authentification à distance en définissant la variable d'environnement USER à une valeur spéciale.

• Vulnérabilité : Un attaquant peut utiliser la valeur -f root pour la variable USER.
• Impact : Cela lui permettrait d'accéder au serveur telnet sans fournir les informations d'authentification requises, comme un nom d'utilisateur et un mot de passe.

Implications

• Risque : Un accès non autorisé peut mener à des actions malveillantes sur le système, tel que le vol de données ou l'installation de logiciels malveillants.
• Conseil : Il est recommandé de mettre à jour vers une version sécurisée de GNU Inetutils pour éviter cette vulnérabilité.

Résumé des acronymes

• RCE : Remote Code Execution - Exécution de code à distance, permettant à un attaquant de faire exécuter des commandes.
• SSRF : Server-Side Request Forgery - Faillite qui permet à un attaquant d'inciter un serveur à faire des requêtes malveillantes.
• XSS : Cross-Site Scripting - Vulnérabilité permettant d'injecter des scripts dans des pages web consultées par d'autres utilisateurs.

Conclusion

Soyez vigilant et assurez-vous que vos systèmes sont à jour pour éviter ce type de vulnérabilités.

Résumé de la vulnérabilité

• Problème : L'analyse d'un message CMS (Cryptographic Message Syntax) contenant des paramètres AEAD (Authenticated Encryption with Associated Data) malveillants peut provoquer un débordement de mémoire tampon sur la pile.

Impact

• Un débordement de mémoire tampon sur la pile peut entraîner :
• Crash : provoquant un déni de service (DoS).
• Exécution de code à distance (RCE) : une exploitation peut permettre à un attaquant d'exécuter du code malveillant sur le système.

Détails techniques

• En analysant des structures CMS AuthEnvelopedData utilisant des chiffres AEAD comme AES-GCM :
• Le vecteur d'initialisation (IV) intégré dans les paramètres ASN.1 est copié dans une mémoire tampon de taille fixe sans vérifier si sa longueur est appropriée.
• Un attaquant peut soumettre un message CMS conçu avec un IV trop grand, entraînant une écriture hors limites sur la pile.
• La vulnérabilité se produit avant toute vérification d'authentification, donc aucun matériel clé valide n'est nécessaire pour l'exploiter.

Produits concernés

• Vulnérables :

• OpenSSL 3.6, 3.5, 3.4, 3.3 et 3.0.

• Non vulnérables :

• OpenSSL 1.1.1 et 1.0.2.

• Les modules FIPS (Federal Information Processing Standards) dans les versions 3.6, 3.5, 3.4, 3.3 et 3.0 ne sont pas concernés, car l'implémentation CMS est en dehors de la portée du module FIPS d'OpenSSL.

Résumé de la vulnérabilité :

• Produit concerné : vCenter Server
• Type de vulnérabilité : Débordement de heap (heap overflow)
• Protocole impacté : DCERPC (Distributed Computing Environment Remote Procedure Calls)

Détails : - Cette vulnérabilité permet à un acteur malveillant ayant accès au réseau de vCenter Server d'exploiter une faiblesse dans l'implémentation de DCERPC. - En envoyant un paquet réseau spécialement conçu, l’attaquant peut déclencher cette vulnérabilité.

Conséquences potentielles : - Exécution de code à distance (RCE) : Cela signifie que l'attaquant pourrait exécuter des commandes sur le système distant, ce qui peut entraîner des accès non autorisés ou des dommages importants aux systèmes.

Acronymes : - RCE (Remote Code Execution) : Exécution de code à distance, permettant à un attaquant de prendre le contrôle d'un système. - DCERPC : Un protocole utilisé pour permettre la communication entre processus distants, souvent dans un environnement distribué.

Il est crucial pour les utilisateurs de vCenter Server de mettre à jour leur logiciel pour se protéger contre cette vulnérabilité.

vm2 est un environnement virtuel/sandbox open source pour Node.js. Dans les versions antérieures à la 3.10.2, la sanitisation des paramètres de rappel de Promise.prototype.then et Promise.prototype.catch pouvait être contournée. Cela permettait aux attaquants de sortir du sandbox et d'exécuter du code arbitraire.

Voici les points clés :

• Produit : vm2
• Version vulnérable : avant 3.10.2
• Problème : La fonction de rappel de localPromise.prototype.then est sécurisée, mais celle de globalPromise.prototype.then ne l'est pas.
• Conséquence : L'attaquant peut exploiter cette faille pour exécuter du code à l'extérieur du sandbox (ce qu'on appelle une exécution de code à distance ou RCE - Remote Code Execution).

La version 3.10.2 apporte un correctif pour résoudre cette vulnérabilité.

En résumé, il est important de mettre à jour vers la dernière version pour éviter les risques d'exploitation liés à cette faille.

Vulnérabilités de déni de service dans React Server Components

Plusieurs vulnérabilités de déni de service (DoS) existent dans les React Server Components, affectant les packages suivants :

• react-server-dom-parcel
• react-server-dom-turbopack
• react-server-dom-webpack

Détails sur les vulnérabilités

• Déclenchement : Ces vulnérabilités sont activées par l'envoi de requêtes HTTP spécialement conçues vers des points de terminaison de fonction serveur.
• Conséquences potentielles :
• Crashes du serveur
• Exceptions "out-of-memory" (manque de mémoire)
• Utilisation excessive du CPU
  Cela dépendra des chemins de code vulnérables, de la configuration de l'application et du code de l'application.

Recommandations

• Mise à jour : Il est fortement conseillé de mettre à jour vers les dernières versions des packages afin de réduire les risques et de prévenir les problèmes de disponibilité dans les applications utilisant les React Server Components.

Vulnérabilité dans SmarterTools SmarterMail

Les versions de SmarterMail antérieures à la build 9511 contiennent une vulnérabilité de contournement d'authentification dans l'API de réinitialisation de mot de passe. Voici les détails :

• L'endpoint force-reset-password permet des requêtes anonymes.
• Il ne vérifie pas le mot de passe existant ni le jeton de réinitialisation lors de la modification des comptes d'administrateur système.
• Un attaquant non authentifié peut fournir un nom d'utilisateur d'administrateur ciblé et un nouveau mot de passe pour réinitialiser le compte.

Cette vulnérabilité peut conduire à un compromis complet des droits administratifs sur l'instance de SmarterMail.

Important : - Les privilèges d'administrateur système dans SmarterMail permettent d'exécuter des commandes du système d'exploitation via des fonctions de gestion intégrées, offrant ainsi un accès administratif (système ou root) sur l'hôte sous-jacent.

Acronymes : - RCE : Remote Code Execution (exécution de code à distance). - SSRF : Server-Side Request Forgery (contournement de requête côté serveur). - XSS : Cross-Site Scripting (script intersite).

Prudence est de mise avec cette vulnérabilité !

Un vulnérabilité de code à distance (RCE) pré-authentification existe dans les versions 19.0.0, 19.1.0, 19.1.1 et 19.2.0 des React Server Components, y compris les paquets suivants :

• react-server-dom-parcel
• react-server-dom-turbopack
• react-server-dom-webpack

Explication de la vulnérabilité :

• Deserialization insécure : Le code vulnérable désérialise de manière non sécurisée les charges utiles (payloads) provenant des requêtes HTTP vers les points de terminaison des Fonctions Serveur. Cela signifie que des données malveillantes pourraient être envoyées et exécutées sur le serveur, permettant à un attaquant d'exécuter du code arbitraire avant que l'utilisateur ne soit authentifié.

Acronymes :

• RCE (Remote Code Execution) : Exécution de code à distance, permettant à un attaquant d'exécuter des commandes sur un système ciblé.
• HTTP (HyperText Transfer Protocol) : Protocole de communication pour le transfert de données sur le Web.

Recommandation :

Il est conseillé de mettre à jour vers des versions sécurisées de React Server Components pour éviter toute exploitation de cette vulnérabilité.