Une vérification incorrecte de la signature cryptographique dans ASP.NET Core permet à un attaquant non autorisé d'élever ses privilèges sur un réseau.

Détails techniques :

• ASP.NET Core : Framework de développement pour applications web.
• Élévation de privilèges : Action d'obtenir des droits d'accès ou de contrôle supérieurs à ceux autorisés.

Implications :

• Un attaquant peut potentiellement accéder à des ressources sensibles ou exécuter des actions non autorisées.

Vulnérabilités associées :

Bien que ce texte ne mentionne pas explicitement de CVE, il est important de rester informé des vulnérabilités connues en lien avec ASP.NET Core.

Concepts clés :

• Signature cryptographique : Méthode de validation de l'intégrité et de l'authenticité des données.
• RCE (Remote Code Execution) : Exécution de code malveillant à distance.
• SSRF (Server-Side Request Forgery) : Technique permettant à un attaquant de forcer un serveur à faire des requêtes non autorisées.
• XSS (Cross-Site Scripting) : Injection de scripts malveillants dans des pages web affichées par d'autres utilisateurs.

Conclusion :

Il est crucial de corriger cette vulnérabilité pour protéger les systèmes et les données contre les attaques potentielles.

Analyse de la vulnérabilité de PackageKit

PackageKit est une couche d'abstraction D-Bus qui permet aux utilisateurs de gérer les paquets de manière sécurisée en utilisant une API compatible avec plusieurs distributions et architectures.

Vulnérabilité

Entre les versions 1.0.2 et 1.3.4, PackageKit présente une vulnérabilité de type TOCTOU (Time-of-Check to Time-of-Use) qui permet à des utilisateurs non privilégiés d'installer des paquets en tant que root, entraînant ainsi une élévation de privilèges locale. Cette vulnérabilité a été corrigée dans la version 1.3.5.

Détails

Un utilisateur local non privilégié peut installer des paquets RPM arbitraires sans authentification, y compris l'exécution de scripts RPM. Les principaux éléments de la vulnérabilité sont :

• Surcharges inconditionnelles de drapeaux (ligne 4036) :

• La fonction InstallFiles() écrit des drapeaux fournis par l'appelant dans transaction->cached_transaction_flags sans vérifier si la transaction a déjà été autorisée ou débutée.

• Rejet silencieux de transitions d'état (lignes 873–882) :

• pk_transaction_set_state() rejette silencieusement les transitions d'état inverses. Cela signifie que la transaction continue à fonctionner avec des drapeaux corrompus.

• Lecture tardive des drapeaux au moment de l'exécution (lignes 2273–2277) :

• Le retour d'appel du planificateur lit les cached_transaction_flags au moment de l'exécution, pas au moment de l'autorisation, ce qui peut falsifier les drapeaux si une surcharge a eu lieu.

Conclusion

Cette vulnérabilité met en évidence des failles dans la gestion des transactions de PackageKit, permettant à des utilisateurs malveillants de compromettre le système. La mise à jour vers la version 1.3.5 est fortement recommandée pour corriger cette faille.

Traduction et Explication de la Vulnérabilité

Vulnérabilité : Mauvaise validation des entrées et un contrôle inapproprié de la génération de code (appelé "Injection de Code") dans Apache ActiveMQ Broker et Apache ActiveMQ.

Détails de la Vulnérabilité

• Composant Affecté : Apache ActiveMQ Classic expose un pont Jolokia JMX-HTTP à l'URL /api/jolokia/ sur la console web.
• Politique d'Accès par Défaut : La politique d'accès par défaut de Jolokia permet des opérations d'exécution sur tous les MBeans d'ActiveMQ (org.apache.activemq:*), ce qui inclut :
• BrokerService.addNetworkConnector(String)
• BrokerService.addConnector(String)

Scénario d'Attaque

• Un attaquant authentifié peut manipuler ces opérations en utilisant un URI de découverte malveillant. Cela déclenche le paramètre brokerConfig du transport VM pour charger un contexte d'application Spring XML à distance via ResourceXmlApplicationContext.
• Conséquences : Comme ResourceXmlApplicationContext instancie tous les beans singleton avant la validation de la configuration par BrokerService, une exécution de code arbitraire peut se produire sur la JVM du broker par des méthodes d'usine de beans telles que Runtime.exec().

Versions Affectées

• Apache ActiveMQ Broker : avant 5.19.4, et de 6.0.0 avant 6.2.3.
• Apache ActiveMQ All : même versions que ci-dessus.
• Apache ActiveMQ : même versions que ci-dessus.

Recommandation

• Mise à jour : Les utilisateurs sont conseillés de mettre à jour vers la version 5.19.4 ou 6.2.3 pour corriger cette vulnérabilité.

Traduction et Explication

• Vulnérabilité : Une validation incorrecte des entrées dans Microsoft Office SharePoint permet à un attaquant non autorisé d'effectuer une usurpation d'identité sur un réseau.

Détails

• Validation des Entrées : Cela fait référence à une vérification insuffisante des données saisies par un utilisateur, ce qui peut entraîner des failles de sécurité.

• Usurpation d'Identité (Spoofing) : C'est une technique utilisée par les attaquants pour se faire passer pour une autre personne ou un autre dispositif sur un réseau, ce qui leur permet d'accéder à des informations sensibles ou de mener des attaques.

Implications

• Les attaquants peuvent exploiter cette vulnérabilité pour se faire passer pour un utilisateur légitime ou manipuler des données.

Références

• CVE (Common Vulnerabilities and Exposures) : Système de référence des vulnérabilités de sécurité.
• Microsoft Office SharePoint : Plateforme collaborative utilisée pour la gestion de documents et d'informations d'entreprise.

Conclusion

Il est crucial de corriger cette validation des entrées pour protéger les réseaux contre de potentielles usurpations d'identité.

LMDeploy est un ensemble d'outils destiné à la compression, au déploiement et à la fourniture de grands modèles de langage. Les versions antérieures à 0.12.3 présentent une vulnérabilité de type Server-Side Request Forgery (SSRF) dans le module vision-language de LMDeploy.

Détails de la vulnérabilité :

• La fonction load_image() dans lmdeploy/vl/utils.py permet de récupérer des URL arbitraires.
• Cette fonction ne valide pas les adresses IP internes ou privées, ce qui permet aux attaquants :
• D'accéder aux services de métadonnées du cloud.
• D’explorer des réseaux internes.
• D'accéder à des ressources sensibles.

Implications :

• Les failles SSRF permettent souvent aux attaquants de manipuler le serveur pour récupérer des données ou exécuter des actions non autorisées, ce qui peut compromettre la sécurité des systèmes concernés.

Solution :

• La version 0.12.3 corrige ce problème en renforçant la validation des adresses IP, limitant ainsi les accès non autorisés.

Il est donc essentiel de mettre à jour vers la version 0.12.3 ou ultérieure pour protéger votre environnement.

Un problème de journalisation a été résolu grâce à une amélioration de l'anonymisation des données. Ce problème a été corrigé dans les versions suivantes :

• iOS : 18.7.8 et 26.4.2
• iPadOS : 18.7.8 et 26.4.2

Voici un résumé des termes :

• Journalisation : Processus d'enregistrement des événements ou des actions dans un système pour analyse ou débogage.
• Anonymisation des données : Technique visant à masquer ou supprimer des informations sensibles afin de protéger la vie privée des utilisateurs.

En effet, certaines notifications marquées pour suppression pouvaient être conservées de manière inattendue sur l'appareil. Cela pourrait entraîner des problèmes de confidentialité, car ces notifications supprimées ne devraient pas rester accessibles.

Cette mise à jour améliore donc la sécurité et la confidentialité des utilisateurs en garantissant que les données sensibles ne soient pas accidentellement conservées.

Le point de terminaison de reranking de SGLang (/v1/rerank) permet une Exécution de Code à Distance (RCE). Cela signifie qu'un attaquant peut exécuter du code malveillant sur le serveur distant.

Voici comment cela fonctionne :

• Fichier de modèle : Lorsqu'un fichier de modèle contenant un tokenizer malveillant (tokenizer.chat_template) est chargé, la vulnérabilité se manifeste.
• Jinja2 : Les modèles de chat de Jinja2 sont traités via un environnement Jinja2 qui n'est pas isolé (unsandboxed). Cela signifie qu'il n'y a pas de protections pour empêcher l'exécution de code potentiellement dangereux.

Terminologie :

• RCE (Remote Code Execution) : Une vulnérabilité permettant à un attaquant d'exécuter du code à distance sur un système.
• Jinja2 : Un moteur de templates en Python utilisé pour générer des fichiers texte, souvent pour des réponses HTTP ou des documents.
• Tokenizers : Utilisés pour diviser des chaînes de texte en unités plus petites, souvent dans le traitement du langage naturel.

Cette vulnérabilité représente un risque important, car elle pourrait entraîner une compromission du serveur.

Vulnérabilité d'injection de commande dans D-Link DIR-823X

Une vulnérabilité d'injection de commande a été identifiée dans les modèles D-Link DIR-823X aux numéros de version 240126 et 240802. Cette faille permet à un attaquant autorisé d'exécuter des commandes arbitraires sur des dispositifs distants.

Détails technique

• Type de vulnérabilité : Injection de commande
• Cible : D-Link DIR-823X
• Versions affectées : 240126, 240802
• Méthode d'exploitation : En envoyant une requête POST à l'URL /goform/set_prohibiting

Mécanisme d'attaque

• Exécution de commandes à distance (RCE) : L'attaquant peut exécuter des commandes à distance sur le dispositif, ce qui pose de sérieux risques de sécurité.

Termes clés

• RCE (Remote Command Execution) : Exécution de commandes sur un système distant, souvent suite à une mauvaise validation des entrées.
• POST request : Méthode HTTP utilisée pour envoyer des données au serveur.

Importance

Cette vulnérabilité peut compromettre la sécurité des dispositifs D-Link, permettant ainsi un accès non autorisé et potentiellement dangereux. Il est crucial de mettre à jour les appareils touchés pour remédier à cette faille.

Analyse de la vulnérabilité CVE dans Microsoft Defender

La vulnérabilité mentionnée concerne Microsoft Defender et se traduit par un contrôle d'accès insuffisant. Cela signifie qu'il n'y a pas suffisamment de restrictions pour gérer qui peut accéder à quoi dans le système.

Détails de la vulnérabilité :

• CVE : Identifiant de la vulnérabilité, qui permet de la référencer facilement.
• Accès non granulaire : Le contrôle d'accès ne sépare pas suffisamment les permissions des utilisateurs. Cela permet à un attaquant disposant de droits d'accès (autorisé) de s'élever en privilèges.
• Élévation de privilèges (Local Privilege Escalation - LPE) : Cela signifie qu'un utilisateur malveillant peut acquérir des droits ou des capacités plus élevés que ceux qui lui sont attribués initialement, ce qui peut compromettre la sécurité du système.

Implications :

1. Un attaquant ayant un accès limité peut, grâce à cette faille, agir comme un utilisateur ayant des droits d'administrateur.
2. Cette situation peut mener à un accès non autorisé à des données sensibles ou à des fonctionnalités critiques du système.

Conclusion : Il est essentiel que les entreprises assurent une gestion rigoureuse des droits d'accès pour prévenir ce type de vulnérabilité.

Une vulnérabilité a été découverte dans les modèles TBK DVR-4104 et DVR-4216 jusqu'à la date 20240412 et a été classée comme critique. Voici les détails :

• Type de vulnérabilité : Injection de commande système (RCE - Remote Command Execution).
• Fichier concerné : /device.rsp?opt=sys&cmd=___S_O_S_T_R_E_A_MAX___.
• Argument vulnérable : mdb/mdc.
• Impact : Cette vulnérabilité permet l'exécution de commandes sur le système d'exploitation, ce qui peut être initié à distance par un attaquant.
• Diffusion : L'exploit a été rendu public et pourrait être utilisé par des attaquants.
• Identifiant : VDB-260573 a été attribué à cette vulnérabilité.

Il est recommandé de mettre à jour les appareils concernés pour éviter les risques d'exploitation.

Le plugin Breeze Cache pour WordPress présente une vulnérabilité liée à des téléchargements de fichiers arbitraires en raison de l'absence de validation des types de fichiers dans la fonction fetch_gravatar_from_remote dans toutes les versions jusqu'à, et y compris, la version 2.4.4. Voici les points clés :

• Vulnérabilité : Téléchargement de fichiers arbitraires.
• Fonction concernée : fetch_gravatar_from_remote.
• Versions impactées : Toutes les versions jusqu'à 2.4.4.

• Conséquence possible : Cela pourrait permettre à des attaquants non authentifiés de télécharger des fichiers malveillants sur le serveur du site affecté, ce qui peut faciliter l'exécution de code à distance (RCE, Remote Code Execution).

• Condition d'exploitation : Cette vulnérabilité ne peut être exploitée que si l'option "Host Files Locally - Gravatars" est activée, ce qui est désactivé par défaut.

Terminologie : - RCE (Remote Code Execution) : Exécution de code à distance, où un attaquant peut exécuter des commandes sur un serveur ou un système cible. - File Upload : Processus permettant de transférer un fichier depuis un ordinateur local vers un serveur.

Une vulnérabilité de remote code execution (RCE), ou exécution de code à distance, sans authentification existe dans les versions 19.0.0, 19.1.0, 19.1.1 et 19.2.0 des React Server Components, y compris les paquets suivants : react-server-dom-parcel, react-server-dom-turbopack, et react-server-dom-webpack.

Cette vulnérabilité est due à une désérialisation non sécurisée des charges utiles (payloads) provenant des requêtes HTTP vers les points de terminaison des Server Function. La désérialisation est le processus de conversion de données sérialisées (souvent sous forme texte) en objets ou structures de données exploitables. Si ce processus est mal géré, un attaquant peut injecter des données malveillantes pour exécuter du code non autorisé sur le serveur.

En résumé, les versions spécifiques mentionnées présentent un risque important pour les applications utilisant ces composants, permettant potentiellement à un attaquant distant d'exécuter du code à l'insu du serveur, avant même toute authentification.