L’actualité récente des vulnérabilités a révélé d’importantes failles touchant les endpoints, notamment des attaques par canal auxiliaire, des injections de commandes, de l’exécution de code à distance (RCE), des injections SQL et des interférences avec les frappes au clavier. Parmi les événements marquants de la semaine dernière figurent l’attaque RAMBO, les problèmes d’injection de commandes dans LoadMaster de Progress Software et plusieurs vulnérabilités zero-day dans des produits Microsoft susceptibles d’entraîner une élévation de privilèges et une exécution de code à distance (RCE).
Ivanti et Zyxel ont également corrigé des vulnérabilités dans leurs logiciels, tandis que les utilisateurs de WhatsUp Gold ont été confrontés à des failles permettant des attaques par injection SQL. Le casque Vision Pro d’Apple a aussi été soumis à des tests visant les interférences avec les frappes au clavier fondées sur le regard. Pour protéger vos appareils, mettez régulièrement vos logiciels à jour et appliquez les correctifs, utilisez des mots de passe robustes, installez des systèmes de détection d’intrusion et soyez attentif à toute activité suspecte.
9 septembre 2024
L’attaque RAMBO exploite les signaux radio pour dérober des données sensibles
Type de vulnérabilité : Attaque par canal auxiliaire.
Le problème : RAMBO, une attaque par canal auxiliaire unique en son genre, exploite les émissions électromagnétiques de la mémoire vive d’un appareil pour exfiltrer des données sensibles dans des réseaux isolés. Les attaquants utilisent des logiciels malveillants pour modifier la mémoire vive et générer des signaux radio susceptibles d’être interceptés à distance. L’outil peut transmettre des fichiers, des frappes au clavier et des clés de chiffrement, ce qui représente un risque important de vol de données.
Le correctif : Pour se protéger contre les attaques RAMBO, utilisez des limites de zones « red-black » pour le transfert d’informations, des systèmes de détection d’intrusion afin de surveiller les accès à la mémoire, des brouilleurs radio et des cages de Faraday pour isoler les systèmes essentiels. Ces approches désactivent les signaux radio dissimulés dans la mémoire vive et évitent les fuites de données dans les environnements isolés.
Progress Software corrige des failles dans LoadMaster et l’hyperviseur mutualisé
Type de vulnérabilité : Injection de commandes.
Le problème : Progress Software a publié des correctifs pour résoudre CVE-2024-7591, une importante faille de validation incorrecte des entrées dans LoadMaster et Multi-Tenant Hypervisor, avec un score CVSS de 10,0. Cette vulnérabilité permet à des attaquants distants non authentifiés d’exécuter des instructions arbitraires du système d’exploitation en envoyant une requête HTTP spécialement conçue à l’interface d’administration. Rien n’indique qu’elle soit exploitée dans la nature.
Le correctif : Progress Software a corrigé la vulnérabilité en assainissant les entrées utilisateur afin d’empêcher l’injection de commandes du système d’exploitation. Les utilisateurs doivent immédiatement installer les versions les plus récentes en accédant à Configuration système > Administration système > Mettre à jour le logiciel. Il est vivement recommandé de suivre les exigences de l’entreprise en matière de renforcement de la sécurité afin de protéger davantage vos systèmes.
10 septembre 2024
Microsoft publie des correctifs pour des failles zero-day activement exploitées
Type de vulnérabilité : Plusieurs, notamment l’élévation de privilèges, le contournement de fonctionnalités de sécurité, l’exécution de code à distance et l’usurpation d’identité.
Le problème : Le Patch Tuesday de Microsoft de septembre 2024 a corrigé 79 vulnérabilités, dont quatre zero-day activement exploitées : CVE-2024-38014 (élévation de privilèges via Windows Installer), CVE-2024-38217 (contournement de la sécurité MotW), CVE-2024-38226 (contournement de la sécurité de Publisher), CVE-2024-43461, et d’autres. Les attaquants exploitent ces faiblesses pour exécuter des instructions arbitraires, contourner les mesures de sécurité et installer des logiciels malveillants comme le voleur Atlantida.
Le correctif : Pour résoudre ces problèmes, les utilisateurs doivent appliquer la mise à jour de la pile de maintenance (KB5043936) et la mise à jour cumulative pour Windows 10 Version 1507 (KB5043083). Microsoft a atténué CVE-2024-43461 en interrompant la chaîne d’attaque associée à CVE-2024-38112. Les mises à jour doivent être installées dès que possible pour éviter toute exploitation, et des techniques de renforcement de la sécurité doivent être appliquées.
Ivanti et Zyxel corrigent des vulnérabilités critiques
Type de vulnérabilité : Plusieurs, notamment l’exécution de code à distance, l’injection SQL et l’injection de commandes.
Le problème : Ivanti a publié des correctifs pour Endpoint Manager (EPM), qui corrigent dix vulnérabilités graves. CVE-2024-29847 permet l’exécution de code à distance et sans authentification par désérialisation de données non fiables. Neuf vulnérabilités d’injection SQL (CVE-2024-32840 à 32848, CVE-2024-34779, 34783, 34785) permettent à des attaquants distants disposant de privilèges d’administrateur d’exécuter du code. Elles touchent les versions 2024, 2022 SU5 et antérieures d’EPM.
De son côté, Zyxel a corrigé une vulnérabilité d’injection de commandes (CVE-2024-6342) dans les appareils NAS, qui pouvait permettre à des attaquants d’exécuter des commandes du système d’exploitation au moyen de requêtes HTTP spécialement conçues.
Le correctif : Pour atténuer les risques, les utilisateurs doivent effectuer la mise à niveau vers EPM 2024 SU1 ou 2022 SU6. Ivanti a amélioré ses méthodes d’identification et de divulgation des vulnérabilités. Par ailleurs, Zyxel a également corrigé CVE-2024-6342, une importante vulnérabilité d’injection de commandes dans les appareils NAS, grâce à de nouvelles mises à jour de correctifs urgents.
Comparez les différentes solutions de protection des endpoints pour trouver l’outil le mieux adapté à la sécurisation de vos systèmes et appareils contre diverses cybermenaces.
11 septembre 2024
Des pirates exploitent des failles de WhatsUp Gold pour déployer des outils d’accès à distance
Type de vulnérabilité : Plusieurs, notamment l’exécution de code à distance et l’injection SQL.
Le problème : Les attaquants exploitent deux graves failles d’injection SQL (CVE-2024-6670, CVE-2024-6671) dans WhatsUp Gold de Progress Software pour récupérer des identifiants chiffrés sans authentification. Malgré la publication de correctifs le 16 août, de nombreuses organisations n’ont toujours pas effectué la mise à jour. Des pirates déploient des outils d’accès à distance (RAT) à l’aide de scripts PowerShell, exposant les systèmes à de nouvelles exploitations et à une compromission persistante.
Le correctif : Progress Software a publié une mise à jour de sécurité le 16 août. Pour identifier d’éventuelles compromissions et éviter la poursuite de l’exploitation, les organisations doivent immédiatement mettre à jour WhatsUp Gold et suivre les mesures de détection décrites dans l’alerte de sécurité.
12 septembre 2024
GitLab corrige une vulnérabilité critique permettant l’exécution arbitraire de tâches de pipeline
Type de vulnérabilité : Élévation de privilèges.
Le problème : GitLab a révélé une vulnérabilité majeure (CVE-2024-6678, score CVSS : 9,9) touchant les versions 8.14 à 17.3. Ce problème permet aux attaquants de lancer des tâches de pipeline en tant qu’utilisateurs arbitraires, ce qui entraîne de graves conséquences pour la sécurité. La vulnérabilité, ainsi que trois problèmes de gravité élevée et 13 de gravité moyenne ou faible, nécessitait des mises à niveau immédiates pour empêcher toute exploitation.
Le correctif : GitLab a corrigé ces problèmes dans les versions 17.3.2, 17.2.5 et 17.1.7 des éditions Community et Enterprise. Les utilisateurs doivent immédiatement effectuer la mise à jour vers ces versions afin d’éviter toute exploitation potentielle.
13 septembre 2024
La campagne de logiciels malveillants Hadooken cible les serveurs Linux et Oracle WebLogic
Type de vulnérabilité : Déploiement de botnet.
Le problème : Une nouvelle campagne de logiciels malveillants utilisant le logiciel malveillant Hadooken pour cibler les environnements Linux, notamment les serveurs Oracle WebLogic, a émergé. Cette campagne diffuse le logiciel malveillant Tsunami à des fins d’opérations de botnet et de minage illégal de bitcoins. En exploitant des vulnérabilités connues et des identifiants faibles, les attaquants utilisent des charges utiles Python et des scripts shell pour diffuser Hadooken et établir une persistance.
Le correctif : Pour se protéger contre cette campagne malveillante, les administrateurs doivent rapidement sécuriser les systèmes en mettant à jour les logiciels et en appliquant les correctifs, en renforçant les identifiants et en surveillant toute activité suspecte. Examinez et sécurisez régulièrement les tâches cron et les autres opérations planifiées afin d’empêcher la persistance des logiciels malveillants et de garantir que les défenses du réseau sont suffisamment robustes contre les déplacements latéraux non autorisés.
Apple corrige la vulnérabilité GAZEploit du casque Vision Pro
Type de vulnérabilité : Interférence avec les frappes au clavier.
Le problème : Un problème récemment révélé dans le casque Vision Pro d’Apple, CVE-2024-40865, permet aux attaquants de déduire le texte saisi sur le clavier virtuel en étudiant les mouvements des yeux de l’avatar virtuel. Cette faille, baptisée GAZEploit, porte atteinte à la vie privée des utilisateurs en reconstituant les frappes à partir des données du regard.
Le correctif : Apple a résolu le problème GAZEploit dans visionOS 1.3 en suspendant le composant Persona lorsque le clavier virtuel était utilisé. Cette mise à niveau réduit le risque d’inférence des frappes au clavier à partir du regard et renforce la confidentialité en empêchant l’extraction indésirable de données au moyen d’avatars virtuels. Effectuez la mise à jour vers la version la plus récente de visionOS pour protéger vos appareils.
À lire ensuite :