Résumé de la vulnérabilité Apache Log4j2

• Contexte : Apache Log4j2 versions 2.0-beta9 à 2.15.0 (sauf les versions de sécurité 2.12.2, 2.12.3 et 2.3.1) contiennent une vulnérabilité liée aux fonctionnalités JNDI (Java Naming and Directory Interface).

• Problème :

• Les fonctionnalités JNDI utilisées dans les configurations, les messages logs et les paramètres ne protègent pas contre des points de terminaison LDAP (Lightweight Directory Access Protocol) contrôlés par des attaquants.

• Un attaquant capable de manipuler des messages logs ou leurs paramètres peut exécuter du code arbitraire provenant de serveurs LDAP si la substitution de message est activée.

• Conséquences :

• Cette vulnérabilité est appelée RCE (Remote Code Execution, exécution de code à distance), ce qui permet aux attaquants d’exécuter du code sur le serveur vulnérable.

• Fixes :

• À partir de la version 2.15.0, ce comportement a été désactivé par défaut.

• À partir de la version 2.16.0, ainsi que des versions 2.12.2, 2.12.3 et 2.3.1, cette fonctionnalité a été complètement supprimée.

• Note : Cette vulnérabilité est spécifique à log4j-core et n'affecte pas d'autres projets tels que log4net ou log4cxx.

Résumé de la vulnérabilité

• Type de vulnérabilité : Confusion de type (Type confusion) dans V8, le moteur JavaScript utilisé par Google Chrome.
• Version concernée : Google Chrome avant la version 152.0.7977.82.
• Impact : Permet à un attaquant distant d’exécuter du code arbitraire à l'intérieur du sandbox (bac à sable) via une page HTML soigneusement conçue.

Détails techniques

• Type confusion : Cela se produit lorsque le programme ne peut pas déterminer le type d'une variable, ce qui peut entraîner des comportements imprévus, permettant à un attaquant de contourner les protections et d'exécuter du code malveillant.

• Code arbitraire : Se réfère à la capacité d'exécuter n'importe quel code que l'attaquant souhaite, ce qui peut compromettre la sécurité du système ou voler des données.

• Sandbox : Environnement isolé où les applications peuvent s'exécuter sans interférer avec le système d'exploitation principal, offrant une couche de sécurité supplémentaire.

Sévérité

• Severité de la sécurité : Évaluée comme Haute par Chromium, ce qui indique un risque important pour les utilisateurs si la vulnérabilité est exploitée.

Recommandation

• Il est conseillé de mettre à jour Google Chrome vers la version la plus récente pour se protéger contre cette vulnérabilité.

JFrog Artifactory présente une faiblesse d'authentification qui, dans sa configuration par défaut, pourrait permettre à un attaquant non authentifié ayant accès au réseau d'obtenir des privilèges administratifs.

Détails :

• Authentification faible : Cela signifie que le système ne vérifie pas correctement l'identité des utilisateurs.
• Configuration par défaut : Les paramètres initiaux sont vulnérables et doivent être modifiés pour améliorer la sécurité.
• Attaquant non authentifié : Un individu n'ayant pas de compte valide ou d'accès officiel.
• Privilèges administratifs : L'accès à toutes les fonctionnalités du système, y compris les données sensibles et la gestion des utilisateurs.

Implications :

• Si cette faiblesse est exploitée, elle pourrait mener à des abus de pouvoir, compromettant la sécurité des données et des systèmes de l’organisation.

Remédier à la situation :

• Il est fortement recommandé de revoir et de modifier la configuration par défaut pour sécuriser Artifactory.
• Mettre en place des mécanismes d'authentification robustes pour protéger l'accès aux fonctionnalités critiques.

Références :

• CVE (Common Vulnerabilities and Exposures) est un système de référence pour les vulnérabilités de sécurité, mais aucun CVE spécifique n'est mentionné ici.

Une vulnérabilité d'exécution de code à distance (RCE) pré-authentification existe dans les versions 19.0.0, 19.1.0, 19.1.1 et 19.2.0 des React Server Components, incluant les packages suivants :

• react-server-dom-parcel
• react-server-dom-turbopack
• react-server-dom-webpack

Détails de la vulnérabilité :

• Le code vulnérable déserialise de manière non sécurisée des données (payloads) provenant des requêtes HTTP à des points de terminaison de Server Function.

Terminologie :

• RCE (Remote Code Execution) : Permet à un attaquant d'exécuter des commandes sur un système distant.
• Deserialization : Processus de transformation de données (comme JSON) en objets programmatiques. Si cela n'est pas géré correctement, cela peut mener à des failles de sécurité.
• HTTP requests : Requêtes envoyées pour interagir avec un serveur web.

Il est crucial de mettre à jour vers des versions sécurisées pour éviter cette vulnérabilité.

Vulnérabilité d'injection OGNL dans Confluence

Dans certaines versions affectées de Confluence Server et Data Center, une vulnérabilité d'injection OGNL (Object-Graph Navigation Language) permettrait à un attaquant non authentifié d'exécuter du code arbitraire sur une instance de Confluence.

Versions affectées :

• De 1.3.0 avant 7.4.17
• De 7.13.0 avant 7.13.7
• De 7.14.0 avant 7.14.3
• De 7.15.0 avant 7.15.2
• De 7.16.0 avant 7.16.4
• De 7.17.0 avant 7.17.4
• De 7.18.0 avant 7.18.1

Explications des acronymes :

• RCE (Remote Code Execution) : Exécution de code à distance, souvent causée par une vulnérabilité permettant à un attaquant d'exécuter des commandes sur le serveur cible.
• SSRF (Server Side Request Forgery) : Manipulation d'un serveur pour qu'il effectue des requêtes vers d'autres services en utilisant ses propres autorisations.
• XSS (Cross-Site Scripting) : Injection de scripts malveillants dans des pages web pour affecter d'autres utilisateurs.

Cette vulnérabilité est grave car elle permettrait un contrôle total sur le serveur affecté sans nécessiter d'authentification préalable.

Vulnérabilité SSRF dans l'interface de travail du SMA1000

Une vulnérabilité de type SSRF (Server-Side Request Forgery) pré-authentification existe dans l'interface de travail de l'appareil SMA1000. Cette vulnérabilité est causée par un chemin d'accès alternatif non intentionnel.

Détails :

• Produit concerné : SMA1000
• Type de vulnérabilité : SSRF - Permet à un attaquant distant de voir ou d'interroger des ressources internes ou externes en utilisant le serveur vulnérable.
• Impact : Un attaquant non authentifié (c'est-à-dire sans compte) pourrait exploiter cette faille pour :
• Accéder à des fonctionnalités sensibles.
• Effectuer des opérations non autorisées.

Remarque : Il est crucial de surveiller et de patcher les appareils concernés pour prévenir toute exploitation de cette vulnérabilité.

Next.js est un framework basé sur React pour créer des applications web complètes.

Voici un résumé des points clés concernant une vulnérabilité récente :

• Versions concernées : Les versions 1.11.4 à avant 12.3.5, 13.5.9, 14.2.25, et 15.2.3 sont vulnérables.
• Problème : Il est possible de contourner les vérifications d'autorisation dans une application Next.js, surtout si ces vérifications se font via un middleware.
• Recommandation :
• Si vous ne pouvez pas mettre à jour vers une version sécurisée, il est conseillé d'empêcher les requêtes externes des utilisateurs qui contiennent l'en-tête x-middleware-subrequest d'atteindre votre application Next.js.
• Correction : Cette vulnérabilité a été corrigée dans les versions 12.3.5, 13.5.9, 14.2.25, et 15.2.3.

Acronymes importants :

• RCE (Remote Code Execution) : Exécution de code à distance, permettant à un attaquant de prendre le contrôle du système.
• SSRF (Server-Side Request Forgery) : Permet à un attaquant de faire des requêtes de serveur à serveur, potentiellement vers des services internes.
• XSS (Cross-Site Scripting) : Injection de scripts malveillants dans des pages pour voler des informations ou usurper des sessions.

Vérifiez vos versions et appliquez les mises à jour nécessaires pour garantir la sécurité de vos applications.

Une vulnérabilité liée à un contrôle d'accès incorrect existe dans l'interface de gestion web de PaperCut MF et PaperCut NG. Voici les détails :

• CVE : Il s'agit d'un identifiant unique pour les vulnérabilités, mais il n'est pas spécifié ici.
• Problème : Dans des conditions spécifiques, des requêtes distantes non authentifiées peuvent cibler des fonctions administratives.
• Conséquence : Cela peut déclencher des actions en arrière-plan avant la validation des accès, permettant à un attaquant non authentifié d'altérer certaines configurations du système.

Acronymes : - RCE (Remote Code Execution) : Exécution de code à distance. - SSRF (Server-Side Request Forgery) : Manipulation du serveur pour réaliser des requêtes vers une cible définie par un attaquant. - XSS (Cross-Site Scripting) : Injection de scripts dans des pages web pour interagir avec les utilisateurs.

En résumé, cette vulnérabilité permet à un attaquant non authentifié d'agir sur la configuration de PaperCut, compromettant ainsi la sécurité du système.

Une vulnérabilité d'accès dynamique non sécurisé existe dans les utilitaires de connexion à la base de données de PaperCut MF et PaperCut NG. Voici les détails :

• L'application instancie des classes de pilotes de base de données en se basant sur des noms de pilotes configurables.
• Cependant, il ne valide pas ces noms par rapport à une liste autorisée de pilotes approuvés.
• Si un attaquant parvient à manipuler les paramètres de configuration du système, cela permet l'exécution de bytecode Java arbitraire qui se trouve sur le chemin de classe de l'application.
• Cela se produit sous le contexte de sécurité du processus serveur de PaperCut.

Termes techniques

• RCE (Remote Code Execution) : Exécution de code à distance, permettant à un attaquant d'exécuter des commandes sur un système distant.
• SSRF (Server-Side Request Forgery) : Technique où un attaquant trompe le serveur pour qu'il fasse des requêtes vers d’autres ressources internes ou externes.
• XSS (Cross-Site Scripting) : Permet à un attaquant d'injecter du script dans une page web visitée par d'autres utilisateurs.

Cette vulnérabilité pourrait potentiellement compromettre la sécurité des systèmes utilisant ces produits.

Vulnérabilité de Code Exécutable à Distance

Une vulnérabilité d'exécution de code à distance (RCE) existe dans le service Print Spooler de Windows lorsqu'il effectue de manière incorrecte des opérations de fichiers privilégiées. Un attaquant qui exploite cette vulnérabilité pourrait exécuter du code arbitraire avec des privilèges SYSTEM. Cela permettrait à l'attaquant de :

• Installer des programmes
• Voir, modifier ou supprimer des données
• Créer de nouveaux comptes avec des droits d'utilisateur complets

Mises à jour de sécurité

• Mise à jour du 7 juillet 2021 : Des mises à jour de sécurité pour Windows Server 2012, Windows Server 2016, et Windows 10, Version 1607 ont été publiées.
• Recommandation : Installez ces mises à jour immédiatement. Si vous ne pouvez pas le faire, consultez les sections FAQ et Contournement de ce CVE pour protéger votre système.

Paramètres de registre

Pour sécuriser votre système, vérifiez que les paramètres de registre suivants sont définis sur 0 ou non définis :

• HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
• NoWarningNoElevationOnInstall = 0 (DWORD) ou non défini
• UpdatePromptSettings = 0 (DWORD) ou non défini

Un réglage de NoWarningNoElevationOnInstall = 1 rend votre système vulnérable par défaut.

Informations supplémentaires

Pour plus de détails, consultez l'article KB5005010 concernant les restrictions sur l'installation de nouveaux pilotes d'imprimante après les mises à jour du 6 juillet 2021. Cette vulnérabilité est aussi liée à CVE-2021-1675 et connue en tant que PrintNightmare (CVE-2021-34527).

Vulnérabilité de Jenkins

Produits concernés : - Jenkins 2.441 et versions antérieures - Jenkins LTS 2.426.2 et versions antérieures

Description de la vulnérabilité : Jenkins contient une faille de sécurité dans son analyseur de commandes CLI (Interface de Ligne de Commande). Cette faille ne désactive pas une fonctionnalité qui remplace un caractère '@' suivi d'un chemin de fichier dans un argument par le contenu de ce fichier. Cela permet à des attaquants non authentifiés de lire des fichiers arbitraires sur le système de fichiers du contrôleur Jenkins.

Risques associés : - Accès non autorisé: Un attaquant peut accéder à des fichiers sensibles, compromettant ainsi la sécurité du système.

Acronymes : - CLI (Command Line Interface): Interface permettant d’interagir avec un logiciel via des commandes textuelles.

Mesures recommandées : - Mettre à jour Jenkins à la version la plus récente pour corriger cette faille. - Vérifier les permissions des fichiers critiques sur le serveur Jenkins pour limiter les accès non autorisés.

Une vulnérabilité d'injection SQL non authentifiée existe dans Sangoma Switchvox SMB Edition 8.3 (104997). Voici les détails :

• Point d'accès concerné : L'endpoint /pa.
• Type de contenu traité : Ce point d'accès gère des données XML commençant par <PolycomIPPhone>.
• Problème : La valeur PhoneIP, contrôlée par l'utilisateur, est directement intégrée dans les requêtes PostgreSQL sans être filtrée ni paramétrée.

Risques :

• Injection SQL (SQLi) : Un attaquant distant non authentifié peut, en envoyant une seule requête malveillante, exécuter des instructions SQL arbitraires sur la base de données PostgreSQL en arrière-plan.
• Exécutions de code à distance (RCE) : L'attaque peut inclure des opérations sur la base de données qui pourraient permettre d'exécuter des commandes système à distance.

Exemples d'acronymes :

• SQL : Structured Query Language, utilisé pour interagir avec les bases de données.
• RCE : Remote Code Execution, exécution de code à distance par un attaquant.

L'absence de mesures de sécurité appropriées, comme la sanitisation (filtrage des entrées) ou la paramétrisation (utilisation de paramètres dans les requêtes), rend ce système vulnérable.