Les vulnérabilités plus anciennes qui n’ont pas été corrigées facilitent le travail des pirates : ils peuvent continuer à utiliser des exploits éprouvés et se contenter de chercher de nouvelles victimes.
Malheureusement, le thème de cette semaine est celui des vulnérabilités récurrentes, ou qui n’ont pas encore été complètement éliminées. Certains exploits et certaines faiblesses disposent de correctifs depuis des mois, voire plus longtemps, mais continuent de faire l’actualité, ce qui indique soit qu’ils n’ont pas été correctement corrigés, soit que les correctifs n’ont pas fonctionné.
Mais ce n’est pas tout : la semaine dernière a également apporté une nouvelle vulnérabilité Windows : Deep Instinct a signalé des techniques permettant d’exploiter la Windows Filtering Platform ; il faut donc l’ajouter à la liste des vulnérabilités Windows à atténuer.
Nous avons compilé certaines vulnérabilités récemment actives — anciennes comme nouvelles — que les équipes de sécurité doivent surveiller, atténuer, corriger, voire supprimer complètement de leur infrastructure.
Voir les principaux produits de gestion des correctifs et de gestion des vulnérabilités
17-20 août 2023
Deep Instinct découvre des vulnérabilités dans la Windows Filtering PlatformDans une étude présentée pour la première fois à la conférence Black Hat plus tôt ce mois-ci, les chercheurs de Deep Instinct ont signalé
des attaques réussies d’élévation de privilèges contre la Windows Filtering Platform, qui aide les équipes à filtrer le trafic réseau. Les acteurs malveillants peuvent utiliser WFP pour élever leurs privilèges sous Windows. Certaines de ces attaques sont difficiles à détecter, car elles peuvent passer pour le comportement d’administrateurs système légitimes.
- Deep Instinct a communiqué les résultats de ses recherches à Microsoft’s Security Response Center et il lui a été répondu qu’il s’agissait d’un fonctionnement prévu, ce qui laisse penser que Microsoft ne publiera pas de correctif. Les équipes de sécurité devront donc surveiller les comportements suspects, notamment les suivants :
- Création de nouvelles politiques IPSec
- Recherche par force brute du LUID d’un jeton via des appels à WfpAleQueryTokenById
- Appels de procédure distante (RPC) vers Spooler ou OneSyncSvc, des services de Windows 10
Requête d’E/S d’un périphérique vers le périphérique WfpAle par des processus autres que le service Base Filtering Engine (BFE) de MicrosoftLes chercheurs ont également créé un dépôt GitHub
- pour leurs travaux, mis à jour pour la dernière fois le 20 août.
- Installez le fichier RPM correct pour votre version afin de le télécharger et de l’installer.
- , dans l’espoir de fournir des indicateurs de compromission aux victimes potentielles. Des milliers de serveurs OpenFire n’ont toujours pas été corrigés. Les serveurs doivent être mis à jour vers les versions 4.6.8, 4.7.5 ou 4.8.0, qui intègrent des correctifs de sécurité pour cette vulnérabilité.
- Cette vulnérabilité permet aux attaquants d’exécuter des commandes système avec des privilèges administrateur sur les ESG de Barracuda. La solution recommandée par le FBI n’est pas un correctif, mais le retrait de toutes les appliances Barracuda ESG de l’infrastructure de sécurité de l’entreprise. Elles ne doivent être connectées à aucun réseau, compte tenu du risque qu’elles continuent de représenter malgré les tentatives de correction.
- L’avis de Cisco présente les exploits et les mesures de protection, notamment la mise en place de journaux pour détecter les incidents.
pour leurs travaux, mis à jour pour la dernière fois le 20 août.
21 août 2023
Ivanti découvre une nouvelle vulnérabilité
Pour la troisième fois en un mois, Ivanti a signalé une vulnérabilité dans une plateforme de gestion des appareils mobiles.La dernière en date — CVE-2023-38035 — affecte la passerelle mobile sécurisée Sentry, qui fait partie de la plateforme UEM d’Ivanti et est exploitée comme une faille zero-day. Les attaquants utilisent le portail System Manager de Sentry pour configurer Sentry et son système d’exploitation, ce qui peut leur permettre d’exécuter des commandes système
sur l’appliance en tant que root, selon Ivanti.En juillet, Endpoint Manager Mobile (EPMM) d’Ivanti a été touché par la vulnérabilité CVE-2023-35078, exploitée par des acteurs malveillants qui espionnaient le gouvernement norvégien. Plus tôt ce mois-ci, des chercheurs de Tenable ont découvert
la vulnérabilité CVE-2023-32560, qui affecte la solution de gestion des appareils de la chaîne logistique Avalanche d’Ivanti.
- Pour CVE-2023-38035, Ivanti recommande d’installer la version correspondante de Sentry à l’aide de scripts RPM :
- Connectez-vous à l’interface de ligne de commande d’un système dans une fenêtre de terminal en tant qu’utilisateur administrateur créé lors de l’installation du système, puis saisissez le mot de passe correspondant.
- Saisissez enable, puis le mot de passe système correspondant défini initialement lors de l’installation du système pour passer en mode EXEC PRIVILEGED. L’invite de ligne de commande passe de > à #.
Installez le fichier RPM correct pour votre version afin de le télécharger et de l’installer.
22 août 2023
Adobe ColdFusion toujours exploité malgré les correctifs
Certaines versions d’Adobe ColdFusion présentent une vulnérabilité de désérialisation (CVE-2023-26359) qui continue d’être exploitée, cinq mois après qu’Adobe a corrigé la vulnérabilité.
La vulnérabilité de désérialisation affiche un score CVSS de 9,8, correspondant à une gravité élevée. Elle peut entraîner l’exécution de code arbitraire (ACE).Pour remédier à cette vulnérabilité, Adobe recommande d’installer la mise à jour 16 pour ColdFusion 2018 et la mise à jour 6 pour ColdFusion 2021. Adobe fournit des instructions
supplémentaires pour mettre correctement à jour les serveurs d’applications.
La vulnérabilité d’OpenFire persiste
Le serveur de discussion open source OpenFire est affecté depuis mai par une vulnérabilité permettant de contourner l’authentification (CVE-2023-32315). Un attaquant crée un nouvel utilisateur administrateur et se connecte à un compte OpenFire. S’il installe ensuite un plug-in, il peut exécuter des commandes.La vulnérabilité est toujours activement exploitée. VulnCheck vient de publier ses recherches sur une nouvelle méthode d’exploitation
, dans l’espoir de fournir des indicateurs de compromission aux victimes potentielles. Des milliers de serveurs OpenFire n’ont toujours pas été corrigés. Les serveurs doivent être mis à jour vers les versions 4.6.8, 4.7.5 ou 4.8.0, qui intègrent des correctifs de sécurité pour cette vulnérabilité.
23 août 2023
Après l’échec des correctifs, le FBI recommande la suppression complète du produit Barracuda
Une vulnérabilité zero-day dans les produits Email Secure Gateway de Barracuda (CVE-2023-2868) est exploitée depuis octobre 2022. Depuis, Barracuda a déployé des correctifs de sécurité pour empêcher les acteurs malveillants de mener des attaques par injection de commandes sur les appliances Barracuda ESG (format appliance uniquement), versions 5.1.3.001-9.2.0.006.Mais ces correctifs n’ont pas été efficaces. Le 23 août, le FBI a publié une alerte à l’intention des clients d’ESG pour qu’ils remplacent leurs passerelles Barracuda, affirmant que les correctifs du fournisseur n’étaient pas efficaces et que tous les produits ESG exploités pouvaient toujours être compromis. Barracuda a également recommandé cette solution
.
Cette vulnérabilité permet aux attaquants d’exécuter des commandes système avec des privilèges administrateur sur les ESG de Barracuda. La solution recommandée par le FBI n’est pas un correctif, mais le retrait de toutes les appliances Barracuda ESG de l’infrastructure de sécurité de l’entreprise. Elles ne doivent être connectées à aucun réseau, compte tenu du risque qu’elles continuent de représenter malgré les tentatives de correction.
24 août 2023
Le rançongiciel Akira cible Cisco, mais l’authentification multifacteur aideLes groupes de rançongiciel Akira exploitent les outils de réseau privé virtuel (VPN
).Des chercheurs de Sophos avaient signalé le problème dès mai, puis un autre chercheur a indiqué que plusieurs autres instances VPN de Cisco avaient été compromises. Akira mène ses attaques via des comptes utilisateurs compromis, en particulier ceux qui n’ont pas l’authentification multifacteur (MFA)
activée.La semaine dernière, Cisco a confirmé
que l’entreprise avait « observé des cas dans lesquels des acteurs malveillants semblaient cibler des organisations qui ne configuraient pas l’authentification multifacteur pour leurs utilisateurs VPN. Cela souligne l’importance d’activer l’authentification multifacteur (MFA) dans les déploiements VPN. »
L’avis de Cisco présente les exploits et les mesures de protection, notamment la mise en place de journaux pour détecter les incidents.
25 août 2023
Un exploit rendu public pour une vulnérabilité de Juniper Networks OS
Un certain nombre de vulnérabilités de Junos OS de Juniper Networks affectent les séries de pare-feu SRX et EX. Elles se trouvent dans l’interface J-Web du système d’exploitation, une interface basée sur PHP. Des utilisateurs non authentifiés présents sur le réseau pouvaient enchaîner l’exploitation de ces vulnérabilités et exécuter du code à distance après avoir obtenu l’accès au système d’exploitation.Selon Juniper, toutes les versions de Junos OS sur les pare-feu des séries SRX et EX sont affectées par cette vulnérabilité. Le bulletin de sécurité
a été mis à jour pour la dernière fois le 25 août.