🪲 Semaine 20 — CVE les plus discutées

Dans le noyau Linux, la vulnérabilité suivante a été corrigée :

• Crypto : algif_aead - Retour au fonctionnement hors place.
• Cela annule principalement le commit 72548b093ee3, à l'exception de la copie des données associées.
• Il n'y a aucun avantage à fonctionner en place dans algif_aead, car la source et la destination proviennent de mappages différents.
• L'objectif est de réduire toute la complexité ajoutée pour le fonctionnement en place et de se concentrer simplement sur la copie directe des AD (données associées).

Explications :

• AD (Associated Data) : Données supplémentaires qui sont liées à un message, souvent utilisées pour garantir l'intégrité.
• Engendrée par les modifications : L'annulation permet une approche plus simple et sécurisée, en éliminant des risques potentiels associés à la complexité de l'opération en place.

Cette correction vise à améliorer la sécurité et la performance du noyau Linux en simplifiant le code concerné.

NGINX Plus et NGINX Open Source présentent une vulnérabilité dans le module ngx_http_rewrite_module. Voici les détails :

• Type de vulnérabilité : Cette faille se produit lorsque la directive rewrite est suivie d’une directive rewrite, if ou set, et d'une expression régulière compatible Perl (PCRE) sans nom (par exemple, $1, $2) avec une chaîne de remplacement contenant un symbole de question (?).

• Exploitation : Un attaquant non authentifié peut exploiter cette vulnérabilité en envoyant des requêtes HTTP malveillantes, ce qui peut conduire à un dépassement de tampon dans le processus de travail d'NGINX, entraînant un redémarrage du service.

• Risque : Pour les systèmes où la Randomisation de l'Adresse Espace de mémoire (ASLR) est désactivée, il est possible d'exécuter du code malveillant (RCE, Remote Code Execution).

• Remarque : Les versions du logiciel ayant atteint la Fin de Support Technique (EoTS) ne sont pas évaluées.

Cette vulnérabilité peut avoir des impacts significatifs sur la sécurité des serveurs utilisant ces versions d'NGINX. Il est donc essentiel de rester à jour pour éviter des risques potentiels.

Traduction et explication

Produit concerné: cPanel et WHM
Versions affectées: toutes les versions après 11.40

Résumé de la vulnérabilité

• Type de vulnérabilité: Bypass d'authentification.
• Impact: Permet à des attaquants distants non authentifiés d'accéder de manière non autorisée au panneau de contrôle.

Détails

• Authentication Bypass: Cela signifie qu'un attaquant peut contourner le processus d'authentification normal et accéder à des fonctionnalités ou des informations sensibles sans fournir de credentials (identifiants).
• Conséquences potentielles: Accéder à des informations confidentielles, modifier des paramètres ou compromette d'autres services hébergés sur le serveur.

Recommandations

• Mettre à jour: Il est crucial de mettre à jour vers une version sécurisée de cPanel et WHM pour se protéger contre cette vulnérabilité.
• Surveiller les accès: Vérifiez les journaux d'accès pour déceler des activités suspectes.

Acronymes

• WHM: Web Host Manager
• RCE: Remote Code Execution (exécution de code à distance)
• SSRF: Server-Side Request Forgery (forçage de requêtes côté serveur)
• XSS: Cross-Site Scripting (script intersites)

Conclusion: Cette vulnérabilité constitue un risque significatif pour la sécurité des sites web qui utilisent cPanel ou WHM. La mise à jour est essentielle.

Avis de sécurité - Mai 2026

Cet avis de sécurité fournit des détails et des informations sur une vulnérabilité récemment découverte, corrigée après sa divulgation en février 2026. Voici un résumé des points importants :

• Vulnérabilité : Nouvelle vulnérabilité dans le processus de connexion (handshaking) des connexions de contrôle.
• Produits concernés : Cisco Catalyst SD-WAN Controller (anciennement SD-WAN vSmart) et Cisco Catalyst SD-WAN Manager (anciennement SD-WAN vManage).

Détails de la vulnérabilité

• Problème : Un défaut dans le mécanisme d'authentification entre pairs (peering authentication) permet à un attaquant distant et non authentifié de contourner l'authentification.
• Conséquence : L'attaquant peut obtenir des privilèges administratifs sur le système affecté.
• Exploitation : En envoyant des requêtes malveillantes, l'attaquant pourrait se connecter au Cisco Catalyst SD-WAN Controller avec un compte utilisateur interne à privilèges élevés, mais non-root (non administrateur).

Impact

• Accès non autorisé : Avec ce compte, l'attaquant peut accéder à NETCONF, un protocole utilisé pour manipuler la configuration réseau, ce qui pourrait compromettre la sécurité de l'infrastructure SD-WAN.

Remarque

Pour aider à la vérification des systèmes, cet avis comprend des conseils sur les connexions de contrôle.

Vulnérabilité de type Cross-Site Scripting (XSS) dans Microsoft Exchange Server

• Description : Une mauvaise neutralisation des entrées lors de la génération de pages web dans Microsoft Exchange Server permet à un attaquant non autorisé d'effectuer des actes de spoofing sur un réseau.

• Cross-Site Scripting (XSS) : C'est une vulnérabilité où un attaquant peut injecter des scripts malveillants dans des pages web visualisées par d'autres utilisateurs. Cela peut permettre à l'attaquant de voler des informations sensibles ou de piéger les utilisateurs.

• Impact : Grâce à cette vulnérabilité, un attaquant pourrait usurper l'identité d'un utilisateur, envoyant des données ou des requêtes à l'insu de celui-ci.

• Mesures de sécurité recommandées :

• Mettez à jour Microsoft Exchange Server avec les derniers correctifs de sécurité pour remédier à cette vulnérabilité.
• Utilisez des pratiques de programmation sécurisée pour éviter l'injection de scripts dans les entrées des utilisateurs.

En résumé, il est crucial de surveiller et de corriger cette vulnérabilité pour protéger les données des utilisateurs contre des attaques potentielles.

Résumé de la vulnérabilité corrigée du noyau Linux

Une vulnérabilité a été résolue dans le noyau Linux concernant le traitement des fragments de packet. Voici les détails :

• Composant concerné : xfrm (mécanisme de transformation de paquets de données).
• Problème : Lors de la décryption d'un paquet ESP (Encapsulating Security Payload) dans UDP, des données peuvent être modifiées sans en être le propriétaire, entraînant des failles de sécurité.
• RCE (Remote Code Execution) : Exécution de code malicieux à distance.
• SSRF (Server-Side Request Forgery) : Les attaques qui incitent un serveur à effectuer des requêtes non autorisées.

• XSS (Cross-Site Scripting) : Injection de scripts malveillants dans des pages web consultées.

• Détails techniques :

• Les paquets UDP n'avaient pas le marqueur SKBFL_SHARED_FRAG, ce qui les réglait comme des paquets non clonés.

• Cela a permis à l'input ESP de décrypter les données en place sans un contrôle adéquat.

• Solution apportée :

• Les chemins d'append des datagrammes IPv4/IPv6 poseront le flag SKBFL_SHARED_FRAG, comme c'est le cas pour TCP.
• Si ce flag est présent lors de l'input ESP, le système tombera sur une voie sécurisée et ne décryptera pas les fragments externes.

Cette correction vise à renforcer la sécurité des processus de décryptage tout en préservant les chemins rapides existants pour les fragments non partagés.

Plusieurs plugins et/ou thèmes pour WordPress sont vulnérables à une injection de script inter-site réfléchie (Reflected Cross-Site Scripting) via le paramètre URL dans différentes versions. Cette vulnérabilité est due à un manque de filtrage des entrées et d'échappement des sorties insuffisants. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages, qui s'exécutent si l'utilisateur est piégé en effectuant une action, comme cliquer sur un lien.

Points clés :

• Reflected XSS : Type de vulnérabilité où un script malveillant est réfléchi par le serveur et exécuté dans le navigateur de l'utilisateur.
• Vulnérabilité : Manque de protections qui permet à un attaquant d'exploiter un système.
• Attaquants non authentifiés : Utilisateurs qui ne se sont pas connectés ou qui n'ont pas de droits d'accès.

Ces failles peuvent compromettre la sécurité des utilisateurs et exposer des informations sensibles, rendant la mise à jour des plugins et thèmes cruciale pour réduire les risques.

Dans le noyau Linux, une vulnérabilité a été corrigée :

Détails de la vulnérabilité :

• Composant concerné: rxrpc (un protocole de communication)
• Problème: Les gestionnaires de paquets DATA dans la fonction rxrpc_input_call_event() et les gestionnaires de paquets RESPONSE dans rxrpc_verify_response() ne copiaient les paquets que lorsque ces derniers étaient clonés (indiqué par skb_cloned()).
• Impact: Si un paquet n'est pas cloné mais contient des fragments de pages externes, il pouvait contourner le chemin de déchiffrement sécurisé, ce qui pourrait conduire à un accès non autorisé.

Correction apportée :

• Amélioration: L'extension du mécanisme pour également "décloner" (ou "unshare") lorsque skb_has_frag_list() ou skb_has_shared_frag() est vrai. Ce changement permet de gérer correctement les vecteurs d'attaque, tels que les boucles de splice, tout en préservant les performances pour les fragments de paquets qui sont privés au noyau (par exemple, ceux provenant de la réception NIC).

Concepts clés :

• skb: Structure de données utilisée pour manipuler les paquets dans le noyau Linux.
• EEAD/skcipher: Types de méthodes de chiffrement.
• OOM: "Out Of Memory", gestion de la mémoire.
• Trace: Suivi des opérations dans le système.

Cela permet de renforcer la sécurité tout en conservant une performance optimale.

Vulnérabilité Exim (CVE)

Produit : Exim
Version concernée : Avant 4.99.3
Type de vulnérabilité : Utilisation après libération (use-after-free)

Détails :

• Exim, lorsqu'il est configuré avec certaines options de GnuTLS, présente une vulnérabilité exploitable à distance.
• La faille se manifeste lors du traitement d’un corps de message BDAT si un client envoie une notification de fermeture TLS (close_notify) en plein milieu d’un transfert de type CHUNKING, suivie par un octet en clair final sur la même connexion TCP.
• Cela peut entraîner une corruption de mémoire (heap corruption).

Risque :

• Un attaquant non authentifié sur le réseau pourrait tirer parti de cette vulnérabilité pour exécuter du code arbitraire (RCE - Remote Code Execution).

Acronymes :

• RCE : Exécution de code à distance
• SSRF : Server-Side Request Forgery (Request forgée côté serveur)
• XSS : Cross-Site Scripting (Script inter-sites)

Cette vulnérabilité représente un risque significatif pour les systèmes utilisant Exim dans des configurations vulnérables. Attention à bien mettre à jour vers la version sécurisée.

Une vulnérabilité de dépassement de tampon dans la mémoire (heap-based buffer overflow) a été identifiée dans Microsoft Windows DNS. Voici les éléments clés à retenir :

• Dépassement de tampon : Il s'agit d'une vulnérabilité où des données excèdent la capacité d'un tampon dans la mémoire, ce qui peut permettre à un attaquant d'écraser des données et d'exécuter du code malveillant.
• Windows DNS : C'est le système de gestion de noms de domaine développé par Microsoft, qui traduit les noms de domaine en adresses IP.

Cette faille permet à un attaquant non autorisé d'exécuter du code à distance sur un réseau, ce qui peut compromettre la sécurité des systèmes affectés. Des mesures doivent être prises pour patcher cette vulnérabilité et sécuriser les systèmes d'exploitation concernés.

Axes de prévention :

• Mise à jour : Appliquer les mises à jour de sécurité fournies par Microsoft.
• Surveillance : Mettre en place des systèmes de détection pour identifier d'éventuelles tentatives d'exploitation.
• Sensibilisation : Former les utilisateurs et les administrateurs sur les bonnes pratiques de sécurité.

Une vulnérabilité de débordement de tampon (buffer overflow) dans le service User-ID™ Authentication Portal (ou portail captif) du logiciel PAN-OS de Palo Alto Networks permet à un attaquant non authentifié d'exécuter du code arbitraire avec des privilèges root sur les pare-feu PA-Series et VM-Series en envoyant des paquets spécialement conçus.

Voici les points clés à retenir :

• Vulnérabilité identifiée : Débordement de tampon dans le User-ID™ Authentication Portal.
• Impact : Un attaquant peut exécuter du code avec des privilèges élevés ; cela représente un risque sérieux pour la sécurité.
• Conditions d'attaque : L'attaquant n'a pas besoin d'être authentifié, ce qui augmente le danger.
• Mesures de sécurité : Il est fortement conseillé de restreindre l'accès au portail selon les meilleures pratiques (voir lien vers les directives), en limitant l'accès uniquement aux adresses IP internes de confiance.
• Produits non affectés : Prisma Access, Cloud NGFW et les appliances Panorama ne sont pas touchés par cette vulnérabilité.

En résumé, sécuriser le portail User-ID™ est essentiel pour éviter des accès non autorisés.