🪲 Semaine 16 — CVE les plus discutées

Vulnérabilité dans Acrobat Reader

Les versions d'Acrobat Reader 24.001.30356, 26.001.21367 et antérieures sont affectées par une vulnérabilité connue sous le nom de Prototype Pollution (pollution du prototype mal contrôlée). Cette vulnérabilité peut mener à une Exécution de Code Arbitraire (RCE - Remote Code Execution) dans le contexte de l'utilisateur actuel.

Détails de la vulnérabilité :

• Prototype Pollution : Une technique d'attaque qui permet à un attaquant d'altérer le comportement d'objets dans un langage de programmation, ce qui peut entraîner des failles de sécurité.
• RCE (Remote Code Execution) : Cela signifie qu'un attaquant peut exécuter du code à distance sur l'ordinateur de la victime.

Conditions d'exploitation :

• Interaction de l'utilisateur : L'exploitation de cette vulnérabilité nécessite que la victime ouvre un fichier malveillant.

Importance de la mise à jour

Il est crucial de mettre à jour vers les versions corrigées d'Acrobat Reader pour se protéger contre cette vulnérabilité.

Vulnérabilité dans Microsoft Office SharePoint

• Problème : Il y a une validation inadéquate des entrées (improper input validation) dans Microsoft Office SharePoint.

• Conséquence : Cette vulnérabilité permet à un attaquant non autorisé d'effectuer du spoofing sur un réseau. Le spoofing consiste à se faire passer pour une autre personne ou entité pour tromper le système ou l'utilisateur.

Explications des termes

• Microsoft Office SharePoint : Une plateforme de collaboration utilisée pour la gestion de documents et le partage d'informations dans les entreprises.

• Validation des entrées : Processus qui vérifie si les données reçues par une application sont correctes et conformes aux attentes.

Risques

• Si l'attaquant réussit à exploiter cette vulnérabilité, cela peut compromettre la sécurité des données sur le réseau, en permettant une usurpation d'identité et potentiellement des accès non autorisés à des informations sensibles.

Recommandations

• Mettre à jour Microsoft Office SharePoint pour corriger cette vulnérabilité.
• Renforcer les contrôles de validation des entrées pour éviter tout type de contournement ou d'usurpation à l'avenir.

Vulnérabilité dans Nginx UI

Nginx UI est une interface web pour le serveur web Nginx. Dans les versions 2.3.5 et antérieures, l’intégration du MCP (Model Context Protocol) expose deux points de terminaison HTTP : /mcp et /mcp_message.

Détails des vulnérabilités :

• /mcp :

• Nécessite une liste blanche d'IP et une authentification grâce à un middleware (AuthRequired()).

• /mcp_message :

• Nécessite seulement une liste blanche d'IP.
• La liste blanche par défaut est vide, ce qui signifie que toutes les IP sont autorisées.

Risque :

Cela permet à un attaquant sur le réseau d'invoquer tous les outils du MCP sans authentification. Cela inclut : - Redémarrer Nginx - Créer, modifier ou supprimer des fichiers de configuration Nginx - Déclencher des recharges automatiques de configuration

Cela donne un contrôle total sur le service Nginx.

Remarque :

À la date de publication, il n'existe pas de correctifs publiés pour cette vulnérabilité.

Acronymes :

• RCE : Remote Code Execution (Exécution de code à distance)
• SSRF : Server-Side Request Forgery (Usurpation de requête côté serveur)
• XSS : Cross-Site Scripting (Script inter-sites)

Vulnérabilité dans Apache ActiveMQ

Une vulnérabilité due à une validation incorrecte des entrées et à un contrôle inapproprié de la génération de code (appelée injection de code) a été identifiée dans le Broker Apache ActiveMQ.

Détails de la vulnérabilité :

• Produit concerné : Apache ActiveMQ, versions avant 5.19.4 et de 6.0.0 avant 6.2.3.
• Point d'entrée : Le pont JMX-HTTP Jolokia est exposé à l'URL /api/jolokia/ dans la console web.
• Politique d'accès par défaut : Autorise les opérations exec sur tous les MBeans d'ActiveMQ (org.apache.activemq:*).
• Risques :
• Un attaquant authentifié peut invoquer certaines opérations, comme BrokerService.addNetworkConnector(String).
• En utilisant une URI de découverte malveillante, l'attaquant peut forcer la configuration du transport VM à charger un contexte XML distant à travers ResourceXmlApplicationContext.
• Cela permet l'exécution de code arbitraire sur la JVM du broker via des méthodes comme Runtime.exec().

Recommandations :

• Mise à jour : Il est fortement conseillé aux utilisateurs de mettre à jour vers les versions 5.19.4 ou 6.2.3, qui corrigent ce problème.

Acronymes :

• RCE : Remote Code Execution - exécution de code à distance.
• SSRF : Server-Side Request Forgery - falsification de requêtes côté serveur.
• XSS : Cross-Site Scripting - script intersite, une vulnérabilité de sécurité web.

Vulnérabilité : CVE-2023-XXXX

• Produit concerné : Microsoft Defender
• Type de vulnérabilité : Élévation de privilèges locale

Description : Une insuffisance dans la granularité des contrôles d’accès dans Microsoft Defender permet à un attaquant autorisé d'élever ses privilèges localement.

Explications des termes : - Accès contrôlé : Un système qui régule qui peut accéder à certaines ressources et à quel niveau. - Élévation de privilèges : Action d'obtenir des droits d'accès plus élevés que ce qui est normalement accordé, ce qui peut permettre à un utilisateur d'effectuer des actions non autorisées.

Cette vulnérabilité met en risque la sécurité des systèmes où Microsoft Defender est déployé, car un utilisateur avec des permissions limitées pourrait exploiter cette faille pour obtenir un contrôle accru sur le système.

Marimo est un carnet de notes Python réactif. Avant la version 0.23.0, Marimo présentait une vulnérabilité de RCE (Remote Code Execution ou Exécution de Code à Distance) pré-authentification. Voici les détails :

• Le point de terminaison WebSocket /terminal/ws ne valide pas l'authentification.
• Cela permet à un attaquant non authentifié d'accéder à un shell PTY complet et d'exécuter des commandes système arbitraires.
• Contrairement à d'autres points de terminaison WebSocket (comme /ws) qui effectuent correctement une vérification d'authentification via validate_auth(), le point /terminal/ws se contente de vérifier le mode d'exécution et le support de la plateforme avant d'accepter les connexions, négligeant entièrement la vérification d'authentification.
• Cette vulnérabilité a été corrigée dans la version 0.23.0.

RCE : Exécution de code à distance, permettant à un attaquant de lancer des commandes sur un système distant.
PTY : Pseudo-terminal, utilisé pour contrôler des sessions de terminal.

Il est crucial de mettre à jour vers la version 0.23.0 pour corriger cette faille de sécurité.

Résumé de la vulnérabilité

Une double libération dans l'extension IKE (Internet Key Exchange) de Windows permet à un attaquant non autorisé d'exécuter du code à distance sur un réseau.

Détails

• Double libération (Double free) : Cela fait référence à une vulnérabilité où un programme libère (désalloue) une mémoire déjà libérée. Cela peut entraîner des comportements imprévisibles et potentiellement permettre à un attaquant d'exécuter son propre code.

• IKE (Internet Key Exchange) : Protocole utilisé pour établir des clés de sécurité dans les communications réseau. Il est couramment associé à des VPN et à des systèmes de sécurité réseau.

• Exécution de code à distance (RCE - Remote Code Execution) : Cela signifie qu'un attaquant peut exécuter des commandes ou des programmes sur un système distant, souvent sans autorisation.

Impact

• Cette vulnérabilité pourrait permettre à un attaquant de prendre le contrôle d'un appareil ou d'un réseau, compromettant ainsi la sécurité des données.

Recommandation

• Il est essentiel de mettre à jour le logiciel concerné dès que des correctifs sont disponibles pour éviter tout risque d'exploitation de cette vulnérabilité.

Pour plus d'informations, consultez les mises à jour de sécurité de Microsoft concernant l'extension IKE.

Une vulnérabilité a été détectée dans TBK DVR-4104 et DVR-4216 jusqu'au 12 avril 2024, classée comme critique. Voici les détails :

• Impact : Cette vulnérabilité concerne un traitement inconnu du fichier /device.rsp?opt=sys&cmd=SO_S_T_R_E_A_MAX.
• Type d'attaque : La manipulation des arguments mdb/mdc conduit à une injection de commande système (OS Command Injection), ce qui permet à un attaquant d'exécuter des commandes non autorisées sur le système.
• Origine de l'attaque : L'attaque peut être initiée à distance, ce qui augmente son risque.
• Divulgation : L'exploit a été rendu public, ce qui signifie qu'il pourrait être utilisé par des attaquants.
• Identifiant de la vulnérabilité : Cette vulnérabilité a reçu l'identifiant VDB-260573.

Acronymes :

• RCE : Remote Code Execution (Exécution de code à distance)
• SSRF : Server-Side Request Forgery (Usurpation de requête côté serveur)
• XSS : Cross-Site Scripting (Script intersites)

Il est fortement recommandé de mettre à jour ces dispositifs pourmitiger ce risque.

Une vulnérabilité de téléchargement de fichiers non restreint dans ShowDoc, causée par une validation incorrecte des extensions de fichiers, permet l'exécution de PHP arbitraire, menant ainsi à une exécution de code à distance (Remote Code Execution - RCE). Ce problème affecte ShowDoc dans les versions antérieures à 2.8.7.

Explications des termes :

• RCE (Remote Code Execution) : Une vulnérabilité qui permet à un attaquant d'exécuter du code malveillant sur un système distant.
• ShowDoc : Un outil de documentation et de gestion de projets.

Détails de la vulnérabilité :

• Type de vulnérabilité : Téléchargement de fichiers non sécurisé.
• Cause : Validation inadéquate des extensions de fichiers lors du téléchargement.
• Impact : Possibilité pour un attaquant d'uploader et d'exécuter des scripts PHP, compromettant ainsi la sécurité du serveur.

Il est crucial de mettre à jour ShowDoc vers une version supérieure à 2.8.7 pour se prémunir contre cette vulnérabilité.

Une vulnérabilité liée à une injection de commande du système d'exploitation (en anglais, os command injection) a été identifiée dans Fortinet FortiSandbox, versions 4.4.0 à 4.4.8. Cette faiblesse permet à un attaquant d'exécuter des commandes ou du code non autorisé.

Détails de la vulnérabilité

• Produit affecté : Fortinet FortiSandbox
• Versions vulnérables : 4.4.0 à 4.4.8
• Type de vulnérabilité : Injection de commande du système d'exploitation

Implications

• Exécution de code non autorisé : L'attaquant peut potentiellement exécuter des commandes système non autorisées, ce qui pourrait compromettre la sécurité du système.

Mécanisme d'attaque

• Un vecteur d'attaque pourrait être utilisé, bien qu'il ne soit pas précisé ici.

Acronymes

• RCE : Remote Code Execution (Exécution de code à distance) - Une technique permettant à un attaquant d'exécuter des commandes sur un système à distance.
• SSRF : Server-Side Request Forgery (Usurpation de requête côté serveur) - Une faiblesse où un attaquant fait en sorte qu'un serveur exécute des requêtes sur un autre service.
• XSS : Cross-Site Scripting (Script intersite) - Une vulnérabilité permettant l'injection de scripts malveillants dans des pages web vues par d'autres utilisateurs.

Conclusion

Il est crucial pour les utilisateurs de Fortinet FortiSandbox de mettre à jour vers une version sécurisée pour éviter cette vulnérabilité.

Axios est un client HTTP basé sur les promesses, utilisé dans les navigateurs et Node.js. Avant les versions 1.15.0 et 0.3.1, la bibliothèque Axios était vulnérable à un type d'attaque spécifique appelé "Gadget" qui permettait la Pollution de Prototype.

Concepts clés :

• Prototype Pollution : Une vulnérabilité qui permet à un attaquant de modifier le prototype des objets JavaScript, ce qui peut entraîner un comportement inattendu des applications.
• RCE (Remote Code Execution) : Exécution de code à distance. Cela signifie que l'attaquant peut exécuter du code malveillant sur le serveur cible.
• Full Cloud Compromise : Prise de contrôle total d'un environnement cloud, tel qu'AWS, grâce à une exploitation de vulnérabilités.

Cette vulnérabilité pouvait permettre d'escalader les attaques de Pollution de Prototype vers un RCE ou un compromis complet du cloud via un contournement d'AWS IMDSv2 (Instance Metadata Service version 2).

Ces failles ont été corrigées dans les versions 1.15.0 et 0.3.1 d'Axios. Il est vivement recommandé de mettre à jour vers ces versions pour garantir la sécurité de vos applications.

Une vulnérabilité se présentant sous la forme d'une injection SQL a été découverte dans Fortinet FortiClientEMS 7.4.4. Cette vulnérabilité est due à une mauvaise neutralisation de certains éléments spéciaux utilisés dans une commande SQL.

Détails de la vulnérabilité :

• Type de vulnérabilité : Injection SQL
• Produit concerné : Fortinet FortiClientEMS version 7.4.4
• Impact : Un attaquant non authentifié peut exécuter un code ou des commandes non autorisées.
• Mécanisme : Cela se produit via des requêtes HTTP spécifiquement conçues.

Explications des acronymes :

• SQL (Structured Query Language) : Langage utilisé pour gérer et manipuler des bases de données.
• Une injection SQL se produit lorsque des entrées non sécurisées sont intégrées dans une commande SQL, permettant à un attaquant d'interférer avec les requêtes effectuées sur la base de données.

Risque :

Cette vulnérabilité peut compromettre la sécurité des systèmes utilisant cette version de FortiClientEMS, rendant possible des accès non autorisés aux données ou fonctionnalités. Il est donc crucial de mettre à jour vers une version corrigée pour atténuer ce risque.