Ivanti Connect Secure (ICS, anciennement Pulse Connect Secure) toutes versions

Ivanti Neurons pour passerelles ZTA, toutes versions, en cours d'installation et non connecté à un contrôleur ZTA

Ivanti Policy Secure gateways (IPS) toutes versions

Contournement provisoire

[Mise à jour du 01 février 2024] Fusion de la partie solution et contournement provisoire

Suite à la mise à jour de la documentation de l'éditeur ainsi que de la mise à disposition de nouveaux correctifs, la procédure à suivre a été déplacée dans la section Solution.

[Mise à jour du 31 janvier 2024] Ajout d'informations sur la nouvelle mesure de contournement

L'éditeur a publié une nouvelle mesure de contournement  mitigation.release.20240126.5.xml [15]. Celle-ci permet de se prémunir des vulnérabilités CVE-2024-21888 et CVE-2024-21893 ainsi que des vulnérabilités CVE-2023-46805 et CVE-2024-21887.

Des correctifs sont présentés dans la section Solution, la mesure de contournement ne doit être appliquée que si les correctifs ne sont pas disponibles pour les produits concernés.

[Version du 23 Janvier 2024]

L’éditeur indique avoir connaissance d'exploitations publiques sur internet et une exploitation en masse des deux vulnérabilités à la suite. Tout équipement dont le contournement provisoire initial (import du fichier xml) n'aurait pas déjà été appliqué doit être considéré comme compromis.
 Si les résultats de l’ICT indiquent une compromission (résultats non nuls aux étapes 8 et 9) ou si le contournement provisoire initial (import du fichier xml) n’a pas été réalisé, le CERT-FR recommande fortement de suivre la procédure documentée par l'éditeur [4] pour la remise en production d'un équipement compromis.

Recommandations supplémentaires du cert-fr

Du fait de la compromission des équipements et de la possibilité que l'attaquant ait injecté du code malveillant afin de récupérer des noms d'utilisateur et des mots de passe, le CERT-FR recommande de :

Réinitialiser tous les secrets (de façon générale) configurés sur les équipements affectés ;

Réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés ;

Rechercher toutes traces de latéralisation sur le reste du système d’information.

Solution

[Mise à jour du 4 mars 2024] Ivanti recommande aux clients utilisant Ivanti Connect Secure ou Policy Secure en machine virtuelle de ne plus effectuer de remise en état d'usine mais plutôt repartir d'une image (template).

Procédure de résolution pour les Ivanti Connect Secure ou Policy Secure en machine virtuelle :

Effectuer une sauvegarde de la configuration

Deployer une nouvelle machine à partir d'une image (template) du site de l'éditeur

Restaurer la configuration à partir de la sauvegarde

Effectuer une rotation des secrets

[Mise à jour du 15 février 2024] Publication de nouveaux correctifs sécurité. Ivanti a publié un correctif pour la vulnérabilité CVE-2024-22024 pour les produits suivants :

Ivanti Connect Secure versions 9.1R14.5, 9.1R15.3, 9.1R16.3, 9.1R17.3, 9.1R18.4, 22.1R6.1, 22.2R4.1, 22.3R1.1, 22.4R1.1, 22.4R2.3, 22.5R1.2, 22.5R2.3 et 22.6R2.2

Ivanti Policy Secure versions 9.1R16.3, 9.1R17.3, 9.1R18.4, 22.4R1.1, 22.5R1.2 et 22.6R1.1

ZTA gateways versions 22.5R1.6, 22.6R1.5 et 22.6R1.7

[Mise à jour du 09 février 2024] Ajout de la vulnérabilité CVE-2024-22024

Si un patch a été appliqué avec les versions du 31/01 au 01/02, le CERT-FR recommande d'effectuer les actions suivantes avant l'application du correctif :

Effectuer une sauvegarde

Effectuer un scan de l'ICS externe

En cas de scan positif à l'ICS externe avant la mise à jour, la remise en état d'usine est nécessaire.

Ensuite, une fois le correctif appliqué, si une remise à la configuration d'usine (Factory Reset) a déjà été effectuée lors de l'application du correctif du 31 janvier ou 01 février, l'éditeur indique qu'une nouvelle remise à la configuration d'usine n'est pas nécessaire.

Enfin, pour les équipements vulnérables ne bénéficiant pas encore de correctif, l'éditeur recommande d'appliquer la mesure de contournement publiée le 31 janvier (fichier mitigation.release.20240126.5.xml).

[Mise à jour du 04 février 2024] Ajout de recommandations pour une configuration en grappe

Recommandation additionnelle pour les configurations en grappe (clusters) :

Se référer à la documentation de l’éditeur à la section « Additionnal Detail for Recovering Clusters »

https://forums.ivanti.com/s/article/Recovery-Steps-Related-to-CVE-2023-46805-and-CVE-2024-21887?language=en_US

[Mise à jour du 02 février 2024] L'éditeur continue de publier des versions correctives. Des correctifs sont désormais disponibles pour les versions Ivanti Connect Secure 22.5R2.2 et Ivanti Policy Secure 22.5R1.1

[Mise à jour du 01 février 2024] Fusion de la partie solution et contournement provisoire

L'éditeur a publié des correctifs pour Ivanti Connect Secure dans les versions 9.1R14.4, 9.1R17.2, 9.1R18.3, 22.4R2.2 et 22.5R1.1 et pour ZTA dans la version 22.6R1.3 [0][15].

La procédure suivante, proposée par l'éditeur, peut être suivie quelle que soit la disponibilité du correctif pour l'équipement. En cas d'indisponibilité d'un correctif, le fichier de contournement doit être installé.

Sauvegarder la configuration de l’équipement ;

Effectuer une remise à la configuration de sortie d'usine (Factory Reset) ET procéder à une montée de version du micrologiciel (firmware) si le correctif est disponible :

la procédure est documentée dans le bulletin de l'éditeur [7],

Une montée de version va supprimer/écraser les fichiers ajoutés/modifiés par l’attaquant,

Les versions des firmwares peuvent être téléchargées sur la page de l'éditeur [8],

NOTE : Un retour arrière (rollback) sur la version compromise va rendre le boîtier vulnérable. Deux montées de version suppriment la version compromise puisqu’une seule version de rollback est conservée sur l’équipement ;

S'il n'est pas possible d'installer une version disposant du correctif, une fois la remise à la configuration de sortie d'usine terminée, effectuer une mise à jour vers la version installée précédemment ;

Restaurer la configuration de l’équipement à partir de la sauvegarde : [9] [10] ;

Si vous avez appliqué la mesure de contournement XML et que vous avez appliqué la version corrigée du micrologiciel, retirer le XML (How to Add and Remove XML files to your Ivanti Connect Secure and Ivanti Policy Secure Appliances : https://forums.ivanti.com/s/article/Download-Links-Related-to-CVE-2023-46805-and-CVE-2024-21887)

Révoquer et réémettre tous les certificats présents sur les équipements affectés :

Certificats utilisés pour les machines et/ou pour l’authentification utilisateur (coté client et serveur),

Certificats de signature de code et les certificats TLS pour l’interface exposée ;

Réinitialiser le mot de passe d'administration ;

Réinitialiser les clés d’API stockées sur l’équipement ;

Réinitialiser les mots de passe de tout compte local défini sur la passerelle, y compris les comptes de service utilisés dans la configuration liée aux serveurs d’authentification.

Réinitialiser les authentifications des serveurs de licence ;

Si votre micrologiciel n’est pas sur une version corrigée, Installer le fichier de contournement (fichier .xml) sur l’équipement sain. Sinon, l’installation du fichier xml n’est pas nécessaire.

Une fois le contournement installé, plus aucune configuration ne doit être poussée sur l'équipement jusqu'à l'application du correctif de sécurité. En effet, l'éditeur indique que cela entraîne le malfonctionnement de certains services internes ce qui conduit à rendre le contournement inefficace.

L'utilisation de mesures de contournement n'est pas nécessaire après la mise à jour de l'équipement vers une version non vulnérable. L'éditeur propose un outil de suppression de contournement si ce dernier a été appliqué avant la mise à jour.

[15] Portail de téléchargement de l'éditeur

[6] Page du CERT-FR relative aux scans

[13] Liste d'indicateurs de compromission publiée par HarfangLab du 22 janvier 2024

[4] Bulletin technique Ivanti du 16 janvier mis à jour le 19 janvier 2024

[14] Alerte de sécurité de JPCert du 11 janvier 2024

Détails de la vulnérabilité CVE-2024-22024

[9] Bulletin technique Ivanti relatif à la restauration des données

[16] Billet de blog Ivanti sur Enhanced External Integrity Checker Tool

[5] Bulletin technique Ivanti relatif à Integrity Check Tool

Avis CERT-FR CERTFR-2024-AVI-0085 du 31 janvier 2024

[11] Publication Twitter du 22 janvier 2024

[7] Bulletin technique Ivanti relatif à la réinitialisation de l'équipement

[3] Billet de blogue Mandiant du 12 janvier 2024

[2] Les bons réflexes en cas d'intrusion sur un système d'information

[1] Billet de blogue Volexity du 10 janvier 2024

Recommandation supplémentaires pour les configurations en grappe

Bulletin de sécurité Ivanti du 08 février 2024

[10] Bulletin technique Ivanti relatif à la restauration des données

[8] Bulletin technique Ivanti relatif au téléchargement des firmwares

Avis CERT-FR CERTFR-2024-AVI-0109 du 09 février 2024

[12] Billet de blogue Volexity du 18 janvier 2024

Version initiale

Ajout de recommandations

MaJ ordre de la mise en oeuvre des mesures de contournement

Mise à jour des recommandations CERT-FR

Information sur les correctifs et les nouvelles vulnérabilités

Nouveaux correctifs disponibles et clarification de la procédure

Nouveaux correctifs disponibles

Ajout d'une procédure de résolution pour les Ivanti Connect Secure ou Policy Secure en machine virtuelle

Exécution de code arbitraire à distance

Élévation de privilèges

Contournement de la politique de sécurité

Summary:
[Mise à jour du 4 mars 2024] Ivanti a publié le 29 février des recommandations de résolution pour les Ivanti Connect Secure ou Policy Secure en machine virtuelle [16].

[Mise à jour du 15 février 2024] l'éditeur a publié le 15 février des correctifs pour les versions suivantes, qui n'en disposaient pas encore jusque-là :

Ivanti Connect Secure versions 9.1R15.3, 9.1R16.3, 22.1R6.1, 22.2R4.1, 22.3R1.1 et 22.4R1.1

Ivanti Policy Secure versions 9.1R16.3, 22.4R1.1 et 22.6R1.1

[Mise à jour du 09 février 2024] Ajout de la vulnérabilité CVE-2024-22024

La publication des premières vulnérabilités a fait suite à la découverte par l'éditeur de leur exploitation ciblée, probablement depuis 2023. L'exploitation de ces vulnérabilités aurait permis aux attaquants de se latéraliser et de récupérer des identifiants sur les équipements Ivanti compromis. Ensuite, des codes d'exploitation, puis de nouvelles vulnérabilités, ont été publiés mi-janvier. L'ensemble de ces vulnérabilités est exploité massivement.

Le 08 février 2024, Ivanti a publié un bulletin de sécurité concernant la vulnérabilité CVE-2024-22024, affectant les produits Ivanti Connect Secure, Ivanti Policy Secure et ZTA gateways. Le détail des versions vulnérables est disponible dans la section solution. Elle permet à un attaquant non authentifié d'accéder à des ressources restreintes. Les chercheurs ayant découvert cette vulnérabilité ont publié une preuve de concept.

[Mise à jour du 04 février 2024] Ajout de recommandations pour une configuration en grappe

[Mise à jour du 02 février 2024] Correctifs disponibles pour les versions Ivanti Connect Secure 22.5R2.2 et Ivanti Policy Secure 22.5R1.1. Clarification de la procédure.

[Mise à jour du 01 février 2024] Fusion de la partie solution et contournement provisoire

[Version du 31 janvier 2024] Ajout d’informations sur les correctifs et des nouvelles vulnérabilités

L'éditeur a publié des informations concernant deux nouvelles vulnérabilités. La vulnérabilité CVE-2024-21888 permet une élévation de privilège sur le composant web. La vulnérabilité CVE-2024-21893 permet à un attaquant non authentifié de forger des requêtes côté serveur (SSRF) au travers du composant SAML. Cette dernière est activement exploitée.

Des correctifs sont disponibles, veuillez vous référer à la section Solution. Le CERT-FR a connaissance de tentatives de contournement de l'outil ICT même si la version externe est utilisée.

[Version du 23 janvier 2024]

Des acteurs malveillants exploitent massivement les vulnérabilités dans le but d’extorquer les comptes et les mots de passe ayant pu transiter sur les équipements vulnérables.

La vulnérabilité CVE-2023-46805 permet à un attaquant de contourner l'authentification, tandis que la vulnérabilité CVE-2024-21887 permet à un administrateur distant et authentifié d'exécuter des commandes arbitraires. Un attaquant qui exploite ces deux vulnérabilités peut par conséquent prendre le contrôle complet de l’équipement.

Ivanti indique que ces vulnérabilités sont activement exploitées dans le cadre d'attaques ciblées. Le CERT-FR a connaissance de nombreux équipements compromis. Différentes sources ont mentionné l'exploitation de ces vulnérabilités afin de mettre en place des méthodes de persistance sur l'équipement [1][3].

Des codes d'exploitations publics sont disponibles sur Internet afin d'exploiter les deux vulnérabilités à la suite.

Détection

[Version du 23 janvier 2024]

Pour savoir si vous êtes concernés par ces attaques, le CERT-FR vous propose les actions suivantes :

Exécuter le script Integrity Check Tool publié par IVANTI [5] sur tous les équipements composant la grappe (cluster). En cas de résultats non nuls aux étapes 8 et 9, l’équipement est compromis ;

L'attaquant peut tenter de contourner les contrôles effectués par l'ICT, il est donc également nécessaire de rechercher dans les journaux toute trace des marqueurs publiés par les sources publiques [1] [3] [11] [12] [13] [14]. Note : Ces indicateurs n'ont pas été qualifiés par le CERT-FR.

En cas de détection positive :

Réaliser un gel de données (instantanés pour les Appliances virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique). Une fois le gel des données effectué ou en cas d’impossibilité de maintenir un isolement des équipements physiques, procéder aux mesures de contournements et recommandations mentionnées dans la section suivante.

Signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRT métiers. Le CERT-FR vous recontactera si nécessaire pour le traitement de l’incident ou vous communiquera des éléments supplémentaires.

Par ailleurs, le CERT-FR réalise régulièrement des scans à partir des IP mentionnées dans la page associée [6] et contacte les entités identifiées comme vulnérables ou compromises.

[MàJ] Multiples vulnérabilités dans Ivanti Connect Secure et Policy Secure Gateways

[0] Bulletin de sécurité Ivanti 000090123


[Mise à jour du 29 janvier 2024]

Les versions des systèmes affectés ont été mises à jour à la suite du nouveau bulletin de sécurité du 25 janvier 2024. Les versions 16.5.6, 16.6.4 et 16.7.2 initialement recommandées ne doivent plus être utilisées.

Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.1.x antérieures à 16.1.6

Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.2.x antérieures à 16.2.9

Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.3.x antérieures à 16.3.7

Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.4.x antérieures à 16.4.5

Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.5.x antérieures à 16.5.8

Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.6.x antérieures à 16.6.6

Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.7.x antérieures à 16.7.4

Gitlab Community Edition (CE) et Enterprise Edition (EE) versions 16.8.x antérieures à 16.8.1

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2024-AVI-0030 du 12 janvier 2024

Avis CERT-FR CERTFR-2024-AVI-0069 du 26 janvier 2024

Version initiale

Ajout de la vulnérabilité CVE-2024-0402

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 29 janvier 2024\]

Le 25 janvier 2024, l'éditeur a publié un avis de sécurité concernant
plusieurs vulnérabilités affectant GitLab CE et EE.

La vulnérabilité CVE-2024-0402 est considérée critique avec un score
CVSSv3 de 9,9. Elle permet à un attaquant authentifié d'écrire des
fichiers à un emplacement arbitraire.

\[Publication initiale\]

Le 11 janvier 2024, l'éditeur a publié un avis de sécurité concernant
plusieurs vulnérabilités affectant GitLab CE et EE.

La plus critique est la vulnérabilité CVE-2023-7028. Elle permet à un
attaquant non authentifié d'envoyer un courriel de réinitialisation de
mot de passe de n'importe quel utilisateur à une adresse arbitraire.
L'attaquant peut ainsi, par le biais d'une simple requête HTTP POST,
prendre le contrôle d'un compte dont il connaitrait le courriel.

Le score CVSSv3 de la vulnérabilité CVE-2023-7028 est de 10 (sur 10).
Son exploitation est triviale et le CERT-FR anticipe la publication de
codes d'exploitations publics dans les heures à venir.

L'éditeur recommande de vérifier:

-   dans le journal d'activité "gitlab-rails/production_json.log", la
    présence de requêtes HTTP, sur le chemin "/users/password",
    contenant plusieurs adresses courriel;
-   dans le journal d'activité "gitlab-rails/audit_json.log", la
    présence d'identifiants correspondant à "PasswordsController#create"
    avec des "target_details" composé d'un tableau comprenant plusieurs
    adresses courriel.

Le CERT-FR recommande donc d'appliquer les correctifs dans les plus
brefs délais et d'activer l'authentification à multiples facteurs,
notamment sur les comptes à hauts privilèges.

[MàJ] Multiples Vulnérabilités dans GitLab

Bulletin de sécurité GitLab du 11 janvier 2024

Bulletin de sécurité GitLab du 25 janvier 2024


[Mise à jour du 27 février 2024]

L'ensemble des logiciels produits par la société AnyDesk (Windows, linux, MacOs, Android, iOS, AppleTV, On-Premises, etc.)

Pour Windows les versions installables et portables qui ont été signées antérieurement aux versions 8.0.8 et 7.0.15;

Pour MacOS les versions installables qui ont été signées antérieurement aux versions 8.0.0 ;

Pour les versions Windows clients dites « custom » ou encore employées dans le cadre de la solution « On-premise », qui n’ont pas été régénérées en 7.0.14 depuis l’espace client AnyDesk ;

Pour les versions macOS clients dites « custom » ou encore employées dans le cadre de la solution « On-premise » qui n’ont pas été régénérées en 7.3.0 depuis l’espace client AnyDesk ;

Pour les autres versions, l’ANSSI est dans l’attente de plus d’informations et vous invite à rester attentif aux futures communications.

Communiqué de l'éditeur AnyDesk du 2 février 2024

Les bons réflexes en cas d'intrusion

Version initiale

Prise en compte des derniers communiqués de l'éditeur

Prise de contrôle à distance par un acteur malveillant

Atteinte à la confidentialité des données

Summary:
\[Mise à jour du 27 février 2024\]

Le 29 janvier 2024 l'ANSSI a été alertée par le BSI que l'éditeur
AnyDesk Software GmbH a été victime d'une fuite de données. Le code
source des applications développées par l'éditeur ainsi que des
certificats et clés privées pourraient avoir été dérobés. De plus, l’éditeur indique que deux de ses
serveurs relais situés en Europe ont également été affectés par cet
incident.

L'éditeur est spécialisé dans le développement de solutions logicielles
de bureau à distance utilisables pour l'assistance à distance des
utilisateurs, l'administration de serveurs, le télétravail ou encore le
rebond vers des ressources internes d'entreprise non accessibles
publiquement. Les solutions AnyDesk couvrent un large spectre de
systèmes d'exploitation : Linux, Windows, MacOS, Android, iOS, AppleTV,
etc.

Selon l'entreprise, les données exfiltrées pourraient potentiellement
être réutilisées dans le cadre d'attaques ultérieures visant les
utilisateurs des solutions AnyDesk. Selon l'éditeur ces attaques sont
susceptibles de :

-   Viser à affaiblir la sécurité de l'infrastructure de communication
    entre utilisateurs AnyDesk, par exemple au travers d'attaques de
    type homme du milieu/attaque de l'intercepteur (Meddler in the
    Middle/Man in the Middle) ;
-   Viser à altérer les logiciels publiés par l'entreprise ou identifiés
    comme produits par l'entreprise.

Le CERT-FR ne peut pas confirmer, à ce stade, la vraisemblance ou la
complexité de mise en œuvre de telles attaques. Toutefois, au regard de
la nature de ce type de solutions logicielles et de leurs conditions
d'emploi, la compromission d'échanges entre utilisateurs ou le piégeage
applicatif pourraient servir de point d'entrée vers les systèmes
d'information.

## Mesures conservatoires

\[Mise à jour du 27 février 2024\]

En attendant de disposer d'informations complémentaires, le CERT-FR
recommande de mettre en œuvre les actions suivantes:

1.  Identifier et référencer sur vos systèmes d'information si l'une des
    solutions AnyDesk est installée (ne pas oublier aussi de vérifier la
    flotte mobile le cas échéant) :
    -   Pour aider à identifier ces machines, plusieurs méthodes sont
        proposées dans la section "Identifier et référencer sur vos
        systèmes d'informations l'emploi d'outils AnyDesk",
    -   Une fois cet inventaire réalisé, mettre sous séquestre les
        résultats pour faciliter de potentielles futures
        investigations ;
2.  Identifier si l'installation de cette application a été faite dans
    le cadre d'une activité légitime, connue et validée en interne de
    votre entité ;
3.  Identifier le niveau de sensibilité des machines, postes, serveurs
    recourant à ces outils et les contraintes métier associées à leur
    emploi ;
4.  Dans le cadre de l'appréciation des risques, identifier l'impact que
    pourrait avoir un scénario d'incident impliquant une potentielle
    compromission d'une ou plusieurs de ces machines ;
5.  En fonction de votre appréciation des risques, et afin d'anticiper
    de potentielles futures levées de doutes, procéder et mettre sous
    séquestre un relevé d'investigation numérique sur l'ensemble des
    machines concernées :
    -   Si cela ne peut être fait de façon globale, l'ANSSI recommande
        de commencer par les machines les plus critiques,
    -   Voir la section "Collectes préventives" ;
6.  En fonction de votre appréciation des risques et des contraintes
    métier:
    -   Pour les solutions AnyDesk n’ayant
        pas fait l’objet de mises à jour de sécurité, envisager la
        désinstallation de la solution AnyDesk et l'utilisation d'une
        solution alternative,

    -   Pour les environnements Windows et
        macOS, de procéder à la mise à jour de la solution AnyDesk (la
        mise à jour doit impérativement être téléchargée depuis le site
        officiel de l'éditeur https://anydesk.com),

    -   Pour les autres versions, l’ANSSI est dans l’attente de plus
        d’informations et vous invite à rester attentif aux futures
        mises à jour publiées par l'éditeur,

    -   Une fois le parc migré vers cette nouvelle version, et dans la
        mesure du possible, de détecter/bloquer toute application signée
        avec les certificats suivants:

        -   Pour Windows

        ```
            fingerprint : 9cd1ddb78ed05282353b20cdfe8fa0a4fb6c1ece
            serial : 0dbf152deaf0b981a8a938d53f769db8
            Valide à partir du: lundi 13 décembre 2021 01:00:00
            Valide jusqu'au: jeudi 9 janvier 2025 00:59:59
            CN = philandro Software GmbH
            O = philandro Software GmbH
            L = Stuttgart
            S = Baden-Württemberg
            C = DE
        ```

        -   Pour macOS

        ```
            fingerprint : 4a1dfb9aa37809b3a123e0ac750bf370469ebaeb
            serial : 2379881731619607111 (0x210709d364a0d247)
            Valide à partir du: mardi 8 juin 2021 11:04:30
            Valide jusqu'au: mardi 9 juin 2026 11:04:29
            CN = Developer ID Application: philandro Software GmbH (KU6W3B6JMZ)
            OU = KU6W3B6JMZ
            O = philandro Software GmbH
            C = DE
        ```
7.  Procéder au renouvellement de
    l’ensemble des mots de passe servant aux connexions aux instances
    applicatives AnyDesk
8.  Rechercher toute activité suspecte sur et à l'origine de ces
    machines à compter du 20/12/2023
    -   En cas de doute, faire appel à un prestataire qualifié de
        réponse aux incidents de sécurité (PRIS)

## Identifier et référencer l'emploi d'outils Anydesk au sein du système d'information

Pour identifier quelles machines sont susceptibles de recourir à la
solution AnyDesk, il est possible de combiner plusieurs méthodes:

### Au niveau réseau

Au niveau réseau, identifier toute machine établissant des connexions
vers:

    *.net.anydesk.com

### Au niveau système

Un seul de ces observables peut indiquer la présence d'Anydesk

#### Windows

Il est possible de s'appuyer sur l'outil FastFind de l'ANSSI qui est
joint à cette publication et de le passer sur les parcs Windows.
Celui-ci reprend notamment les éléments ci-dessous qui peuvent également
être recherchés via les éventuels outils existants au sein des SI (Par
ex. outils d'inventaires de parc, EDR, etc.).

[Télécharger
l'outil
FastFind](/uploads/20240205_AnyDesk-CERT-FR_TLP_CLEAR.zip)

La présence d'un des fichiers suivants:

-   ```C:\Program Files (x86)\AnyDesk\AnyDesk.exe```

-   ```%PROGRAMDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\AnyDesk.lnk```

-   ```C:\Windows\Prefetch\ANYDESK.EXE-[A-F0-9]{8}.pf```

(Pour rappel il existe également une version portable de l'application)

Il est possible également de vérifier la présence des clés de registre
suivantes:

-   ```HKLM\SYSTEM\ControlSet001\Services\AnyDesk```

-   ```HKLM\SOFTWARE\Clients\Media\AnyDesk```

-   ```HKLM\SOFTWARE\Classes\.anydesk\shell\open\command```

Dans les journaux Windows rechercher l'événement de création de service
7045 ci-dessous:
```
    ImagePath:"C:\\Program Files (x86)\\AnyDesk\\AnyDesk.exe" –service
    ServiceName:"AnyDesk Service"
    ServiceType:"service en mode utilisateur",
    StartType:"Démarrage automatique"
```
Tous les logiciels signés avec le certificat
```
    fingerprint : 9cd1ddb78ed05282353b20cdfe8fa0a4fb6c1ece
    serial : 0dbf152deaf0b981a8a938d53f769db8
    lundi 13 décembre 2021 01:00:00
    jeudi 9 janvier 2025 00:59:59
    CN = philandro Software GmbH
    O = philandro Software GmbH
    L = Stuttgart
    S = Baden-Württemberg
    C = DE
```
#####

#### Linux

La présence d'un des fichiers suivants :

-   ```/etc/systemd/system/anydesk.service```

-   ```/usr/bin/anydesk```

-   ```/usr/lib64/anydesk```

-   ```/usr/libexec/anydesk```

-  ```/usr/bin/anydesk```

-   ```/home/*/.anydesk/```

#####

#### MacOS

La présence d'un des fichiers suivants :

-   ```~/.anydesk/system.conf```

-   ```~/.anydesk/service.conf```

-   ```~/.anydesk/user.conf```

Et la présence de l'application

    /Applications/Anydesk.app/

#####

####

## Collectes préventives

Une fois l'inventaire réalisé et afin, dans la mesure du possible, de
faciliter de potentielles futures levées de doutes, l'ANSSI recommande
de mettre sous séquestre a minima les éléments ci-dessous, avant de
procéder à la montée de version de l'application. Puis en cas de
suspicion de procéder à leur analyse.

### Journaux à collecter

-   journaux système des machines concernées ;
-   journaux applicatifs des solutions AnyDesk ;
    -   journaux spécifiques à l'application pour un environnement
        Windows
        -   ```%APPDATA%\AnyDesk\ad.trace # log interface utilisateur```

        -   ```%PROGRAMDATA%\AnyDesk\ad_svc.trace # logs de service```

        -   ```%PROGRAMDATA%\AnyDesk\connection_trace.txt # logs des connexions entrantes```
    -   journaux spécifiques à l'application pour un environnement Linux
        -  ```/home/*/.anydesk/.anydesk.trace```

        -   ```/home/*/.anydesk/anydesk.trace```

        -  ``` /root/*/.anydesk/.anydesk.trace```

        -  ``` /root/*/.anydesk/anydesk.trace```

        -   ```/var/log/anydesk.trace```

        -   ```/etc/anydesk/connection_trace.txt```
    -   journaux spécifiques à l'application pour un environnement MacOS
        -   ```~/.anydesk/anydesk.trace```

        -   ```~/.anydesk/connection_trace.txt```
-   journaux réseau en lien avec les machines concernées.

[MàJ] Incident affectant les solutions AnyDesk


FortiProxy 1.1 toutes versions

FortiOS versions 7.4.x antérieures à 7.4.3

FortiProxy versions 7.2.x antérieures à 7.2.9

FortiOS versions 6.4.x antérieures à 6.4.15

FortiProxy versions 2.0.x antérieures à 2.0.14

FortiProxy 1.0 toutes versions

FortiOS versions 6.2.x antérieures à 6.2.16

FortiProxy versions 7.4.x antérieures à 7.4.3

FortiProxy versions 7.0.x antérieures à 7.0.15

FortiProxy 1.2 toutes versions

FortiOS versions 7.0.x antérieures à 7.0.14

FortiOS versions 7.2.x antérieures à 7.2.7

FortiOS 6.0 toutes versions

[Mise à jour du 15 février 2024] Ajout de FortiProxy et de nouvelles versions dans les systèmes affectés suite à la mise à jour du bulletin éditeur du 8 février 2024.

## Contournement provisoire

L'éditeur recommande de désactiver le VPN SSL si l'application du
correctif n'est pas possible. Fortinet indique en
effet que la désactivation de l'interface web n'est pas
suffisante.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

[1] Catalogue des vulnérabilités exploitées de la CISA

Avis CERT-FR CERTFR-2024-AVI-0108 du 09 décembre 2023

Version initiale

Ajout des systèmes affectés

Ajout d'informations relatives aux codes d'exploitation publics

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 19 mars 2024\] Le CERT-FR a
connaissance de codes d'exploitation publics et de nouvelles tentatives
d'exploitation.

Le 8 février 2024, Fortinet a publié l'avis de sécurité
concernant la vulnérabilité critique CVE-2024-21762 affectant le VPN SSL
de FortiOS. Cette vulnérabilité permet à un
attaquant non authentifié de provoquer une exécution de code arbitraire
à distance.

\[Mise à jour
du 15 février 2024\] Une mise à jour du bulletin éditeur du 8 février
indique que FortiProxy est aussi affecté par cette vulnérabilité.

La CISA a connaissance d’exploitation de cette
vulnérabilité par des attaquants \[1\]. Le CERT-FR recommande
donc fortement d'appliquer le correctif dans les plus brefs
délais.

[MàJ] Vulnérabilité dans Fortinet FortiOS

Bulletin de sécurité Fortinet FG-IR-24-015


Microsoft Office LTSC 2021

Microsoft Office 2019

Microsoft Office 2016

Microsoft 365 Apps

La vulnérabilité affecte en particulier Microsoft Outlook qui est inclus dans la suite Microsoft Office. L'interface OWA (Outlook Web Application), version web de la messagerie Outlook, n’est pas affectée par cette vulnérabilité selon l’éditeur.

## Solution

**\[Mise à jour du 15 mars 2024\] Ajout de
précision concernant les défi-réponses NTLM**

**\[Mise à jour du 22 février 2024\] Ajout de
recommandations.**

Afin de prévenir l'exploitation à distance de cette vulnérabilité, le
CERT-FR recommande:

-   D’appliquer la mise à jour fournie par Microsoft dans les meilleurs
    délais. Se référer au bulletin de sécurité de l'éditeur pour
    l'obtention des correctifs (cf. section Documentation).
-   De limiter l'utilisation de NTLMv2 et d'activer les mesures de
    protection contre les attaques relais préconisées par l'éditeur
    \[2\] ainsi que les recommandations (R71 à R77) relatives à
    l'administration sécurisée des systèmes d'information reposant sur
    microsoft active directory \[3\]
-   D'interdire les flux SMB en sortie du système
    d'information (TCP/445). Cette règle s'impose également aux
    postes nomades, dont les flux doivent être sécurisés.
-   De détecter des liens malveillants dans les courriels reçus, par
    exemple en utilisant une expression régulière (voir la règle Yara
    \[1\]). Le CERT-FR n'est pas en mesure de garantir les résultats
    obtenus par cette règle de détection, qui devront donc être
    qualifiés.

**\[Publication initiale\]**

Le CERT-FR recommande fortement d’appliquer la mise à jour fournie par
Microsoft. Se référer au bulletin de sécurité de l'éditeur pour
l'obtention des correctifs (cf. section Documentation).

[1] Règle Yara de détection de la vulnérabilité CVE-2024-21413 proposée par X__Junior et Florian Roth

Avis CERTFR-2024-AVI-0127 du 14 février 2024

[2] Base de connaissance Microsoft

[3] Recommandations relatives à l'administration sécurisée des systèmes d'information reposant sur microsoft active directory. Document ANSSI-PA-099 version 1.0 du 02 octobre 2023

Version initiale

Ajout de recommandations concernant l'utilisation de NTLM

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 15 mars 2024\] Ajout de
précision concernant les défi-réponses NTLM

\[Mise à jour du 22 février 2024\] Ajout de
recommandations et de précisions sur le fonctionnement de la
vulnérabilité.

La vulnérabilité CVE-2024-21413 permet à un attaquant de contourner les
mesures de sécurité de la suite Office, dont la solution de messagerie
Outlook. Plus précisément, son exploitation permet de contourner
certaines mesures de sécurité de la suite Office qui empêchent l'accès à
une ressource externe sans validation de l'utilisateur.

Ainsi, en utilisant un lien malveillant dans un courriel, un attaquant
est en mesure :

-   d'obtenir la réponse à un défi-réponse lié à l'authentification de
    l'utilisateur, par exemple *via* le protocole SMB. Ce défi-réponse
    dépend de la configuration système et est communément au format
    NTLMv2. Ce comportement combiné à une attaque de type "relais NTLM"
    permettrait à un attaque de réaliser une coercition
    d'authentification.
-   si la cible du lien est un document Office, de provoquer l'ouverture
    du document sans que le mode protégé de Microsoft Office ne soit
    activé, permettant *in fine* une exécution de code arbitraire à
    distance.

\[Publication initiale\]

Le 13 février 2024, Microsoft a publié un correctif pour la
vulnérabilité CVE-2024-21413 affectant le
produit Outlook pour Windows.
Elle permet à un attaquant non authentifié de divulguer le condensat
*NTLM* (*new technology LAN manager*) local et potentiellement
une exécution de code arbitraire à distance.
Son exploitation nécessite une intervention de l'utilisateur.

Une preuve de concept partielle ainsi qu'un descriptif de la
vulnérabilité ont été publiés par le chercheur auteur de sa découverte.

Le CERT-FR n'a pas connaissance d'exploitation pour le moment. En
fonction de l'évolution de la situation, cette alerte est susceptible
d'être mise à jour.

[MàJ] Vulnérabilité dans Microsoft Outlook

Bulletin de sécurité Microsoft


[Mise à jour du 19 avril 2024] Publication des dernières versions correctives

PAN-OS 11.1.x versions antérieures à 11.1.0-h3, 11.1.1-h1 et 11.1.2-h3

PAN-OS 11.0.x versions antérieures à 11.0.0-h3, 11.0.1-h4, 11.0.2-h4, 11.0.3-h10 et 11.0.4-h1

PAN-OS 10.2.x antérieures à 10.2.0-h3, 10.2.1-h2, 10.2.2-h5, 10.2.3-h13, 10.2.4-h16, 10.2.5-h6, 10.2.6-h3, 10.2.7-h8, 10.2.8-h3 et 10.2.9-h1

[Mise à jour du 15 avril 2024] Publication des premières versions correctives
 Les mises à jour suivantes contiennent un correctif de sécurité : PAN-OS 10.2.9-h1, PAN-OS 11.0.4-h1, PAN-OS 11.1.2-h3.

L'éditeur précise que les produits Cloud NGFW, Panorama et Prisma Access ne sont pas affectés par cette vulnérabilité.

[Publication initiale]
 Un correctif est en attente de publication pour PAN-OS versions 11.1.x, 11.0.x et 10.2.x.

## Contournement provisoire

**\[Mise à jour du 17 avril 2024\] Mise à jour des mesures de
contournement**

L'éditeur présentait précédemment la désactivation de la télémétrie
comme mesure de contournement. Cette mesure n'est plus considérée comme
efficace et la vulnérabilité peut être exploitée même si la télémétrie
est désactivée.

**\[Publication initiale\]**

Le CERT-FR recommande d'appliquer les mesures de contournement
documentées par l'éditeur dans son avis de sécurité à la section *Workarounds
and Mitigations* (cf. section Documentation).

## Solution

**\[Mise à jour du 19 avril 2024\]
Publication des dernières versions correctives**

Les versions correctives 10.2.0-h3, 10.2.1-h2, 10.2.2-h5, 10.2.3-h13,
10.2.4-h16, 11.0.0-h3 et 11.0.1-h4  ont été publiées.

**\[Mise à jour du 17 avril 2024\] Ajout de versions correctives**

Les versions correctives PAN-OS 10.2.6-h3, PAN-OS 10.2.5-h6, PAN-OS
11.0.3-h10, PAN-OS 11.0.2-h4, PAN-OS 11.1.1-h1 et PAN-OS 11.1.0-h3 ont
été publiées.

**\[Mise à jour du 16 avril 2024\] Ajout
de versions correctives**

Les versions correctives PAN-OS 10.2.8-h3 et PAN-OS 10.2.7-h8 ont été
publiées.

**\[Mise à jour du 15 avril 2024\] Publication des premières versions
correctives**

Les mises à jour suivantes contiennent un correctif de sécurité : PAN-OS
10.2.9-h1, PAN-OS 11.0.4-h1 et PAN-OS 11.1.2-h3. L'éditeur indique que
des versions correctives pour les autres versions communément déployées
seront publiées progressivement jusqu'au 19 avril 2024.

**\[Publication initiale\]**

Palo Alto Networks a annoncé qu'un correctif sera disponible le 14 avril
2024.

Le CERT-FR recommande de
consulter régulièrement les annonces de l'éditeur pour la mise à
disposition des correctifs.

[3] Analyse de Volexity du 12 avril 2024

[4] Article de support Palo Alto Networks sur la création d'un TSF

[6] Article de support Palo Alto Networks pour la réalisation d'une remiste en état d'usine améliorée

Avis CERTFR-2024-AVI-0307 du 15 avril 2024

[5] Article de support Palo Alto Networks sur la création d'une clé de chiffrement principale

[2] Analyse de Palo Alto Networks Unit42 du 12 avril 2024

Version initiale

Publication des premières versions correctives et ajout de précisions

Ajout de nouvelles versions correctives

Codes d'exploitation publics, modification des mesures de contournement et nouvelles versions correctives

Ajout de mesures de remédiation

Clarification et information concernant l'exploitation de la vulnérabilité.

complément d'information concernant la nécessité de réaliser des investigations.

complément d'information sur un incident traité par le CERT-FR et nouvelle procédure de remise en état d'usine.

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 10 mai 2024\]
Le CERT-FR est intervenu pour le traitement d'une compromission
par rançongiciel au sein d'une entité française. Dans le cadre de cette
attaque, la vulnérabilité a été exploitée pour ensuite réaliser une
latéralisation dans le système d'information de la victime et déployer
le rançongiciel.

Par ailleurs, l'éditeur recommande l'ouverture d'un dossier de support
et l'exécution d'une version
améliorée de la remise en état d'usine (*enhanced factory reset*)
\[6\] dans le cas où un équipement n'aurait pas été mis à jour avant le
25 avril 2024 ou si l'éventualité d'une compromission persistante ne
peut pas être écartée après investigation.

\[Mise à jour du 26 avril 2024\]

Note importante : Si un
équipement a déjà été compromis, l'application du correctif de sécurité
ne suffit pas. Si des investigations n'ont pas été réalisées, elles doivent être faites
pour s'assurer que l'équipement n'a pas été compromis avant sa mise à
jour. En effet, dans ce cas, une remise en état d'usine sera requis.

\[Mise à
jour du 25 avril 2024\]

Le CERT-FR a pris connaissance de cas
d'exploitation de cette vulnérabilité par des acteurs
rançongiciels.

Par ailleurs, les mesures de remédiation
ont fait l'objet d'une clarification : la remise en état d'usine
(*factory reset*) est fortement recommandée dans tous les cas, sauf
contre-ordre explicite de l’éditeur.

\[Mise à
jour du 19 avril 2024\] Ajout de mesures de remédiation

### Détection de la compromission

Il est recommandé de faire une demande d'assistance auprès de Palo Alto
Networks au travers du portail de support (*Customer Support Portal,
CSP*) en transmettant un *technical support file* (TSF) pour déterminer
si les journaux de l'équipement contiennent des traces de tentatives
d'exploitation de la vulnérabilité (\[1\]). Le fichier TSF contient des
données sensibles et doit être stocké et transmis avec précautions.

De plus, le CERT-FR recommande également la recherche des éléments de
compromission (adresses IP et condensats de fichiers) décrits dans
\[1\], \[2\] et \[3\].

### Mesures d'endiguement

En cas de suspicion ou de compromission avérée de l'équipement, les
étapes suivantes doivent être suivies :

1.  Isoler l’équipement d'Internet, sans l'éteindre ;
2.  Si l’équipement est une machine virtuelle, prendre un instantané
    (*snapshot*) incluant la mémoire vive à des fins d’investigation
    -   Sinon, exporter les journaux pour éviter leur rotation ;
3.  Parallèlement, identifier les comptes du domaine Active Directory
    qui seraient configurés sur l'équipement suspecté. Réinitialiser les
    secrets associés à ces comptes afin d'éviter que l'attaquant ne
    puisse réutiliser ailleurs les identifiants éventuellement volés sur
    l'équipement.

### Étapes d'investigation

1.  Contacter le support Palo Alto Networks pour qu'il investigue le
    fichier TSF préalablement exporté
    -   Le support voudra potentiellement se connecter à l'équipement
        pour approfondir l'investigation. Il faudra alors rétablir
        l'accès Internet au strict nécessaire ;
2.  Rechercher sur l’équipement des comptes à privilège ajoutés
    illégitimement ;
3.  En parallèle, rechercher dans les journaux du réseau (pare-feu,
    netflow, DNS) les traces de communications inhabituelles initiées
    depuis l'équipement ;
4.  Rechercher dans les journaux de connexion des systèmes internes des
    traces de connexion (applicative ou système) provenant de l'adresse
    IP de gestion de l'équipement.

### Remédiation

Les étapes de remédiations suivantes doivent être suivies. Le support
Palo Alto Networks est également susceptible de communiquer un processus
de remédiation.

1.  Exporter la configuration ;
2.  Réaliser une remise en état d'usine (*Factory Reset*), sauf
    contre-ordre explicite de l'équipe support de l'éditeur ; (mise à jour du 25 avril 2024)
3.  Mettre à jour l'équipement jusqu'à la version contenant le dernier
    correctif de sécurité ;
4.  Réimporter la configuration ;
5.  Renouveler la clé de chiffrement principale (*Master Key*) \[5\] ;
6.  Renouveler les secrets d'authentification de l'équipement et
    révoquer les anciens certificats.

\[Mise à jour du 18 avril 2024\] Le
CERT-FR a connaissance d'incidents liés à l'exploitation de la
vulnérabilité.

Le CERT-FR a connaissance de plusieurs compromissions avérées en lien
avec la vulnérabilité. Cette alerte sera mise à jour avec des
compléments d'information.

\[Mise à jour du 17 avril 2024\] Le CERT-FR a
connaissance de codes d'exploitation publics et de tentatives
d'exploitation

Le CERT-FR a connaissance de codes d'exploitation publics et de
tentatives d'exploitation qui pourraient évoluer vers des exploitations
massives de la vulnérabilité. Le CERT-FR recommande donc de déployer les
correctifs diffusés par l'éditeur dans les meilleurs délais. Veuillez
vous référer à la section "Solution" pour plus de détails.

\[Publication initiale\]

Une vulnérabilité a été découverte dans la fonctionnalité GlobalProtect
de Palo Alto Networks PAN-OS. Elle permet à un attaquant de provoquer
une exécution de code arbitraire à distance.

L'éditeur indique que la vulnérabilité CVE-2024-3400 est exploitée dans
des attaques ciblées.

[MàJ] Vulnérabilité dans Palo Alto Networks GlobalProtect

[1] Bulletin de sécurité Palo Alto Networks PAN-252214


Cisco Adaptive Security Appliance (ASA) sans les derniers correctifs de sécurité, se référer au bulletin de sécurité de l'éditeur pour les versions vulnérables (cf. section Documentation)

Cisco Firepower Threat Defense (FTD) sans les derniers correctifs de sécurité, se référer au bulletin de sécurité de l'éditeur pour les versions vulnérables (cf. section Documentation)

Communication Cisco

[2] Procédure d'investigation de Cisco sur les équipements ASA

[1] Billet de blogue Cisco Talos du 24 avril 2024

Version initiale

Exécution de code arbitraire

Déni de service à distance

Summary:
Le 24 avril 2024, Cisco a publié trois avis de sécurité concernant des
vulnérabilités affectant les équipements de sécurité ASA et FTD.

Deux d'entre eux concernent les vulnérabilités CVE-2024-20353 et
CVE-2024-20359 qui sont activement exploitées dans le cadre d'attaques
ciblées.

La vulnérabilité CVE-2024-20359 permet à un utilisateur authentifié avec
des droits administrateur d'exécuter du code arbitraire avec les
privilèges *root*.

En effet, si l'attaquant parvient à écrire un fichier malveillant sur le
système de fichier du *disk0:*, cela lui permet d'exécuter son code au
prochain redémarrage de l'équipement. Cisco indique que l'attaquant peut
exploiter la vulnérabilité CVE-2024-20353 pour déclencher son
redémarrage.

Dans son billet de blogue \[1\], Cisco Talos détaille l'historique des
exploitations et indique que les premières infections constatées
remontent à début janvier 2024.

L'éditeur indique ne pas avoir connaissance du vecteur initial
d'infection. Toutefois une fois sur l'équipement, l'attaquant exploite
ces deux vulnérabilités pour mettre en place un implant, nommé *Line
Runner* par Talos, qui est une porte dérobée persistante.

La présence d'un autre implant, *Line Dancer,* a été constaté sur des
équipements compromis.

Celui-ci est présent uniquement en mémoire et permet à l'attaquant :

-   de désactiver les journaux d'activité système ;
-   de récupérer des élements de configuration ;
-   d'effectuer et d'exfiltrer des captures réseaux ;
-   d'exécuter des commandes arbitraires ;
-   de s'insérer dans le processus de vidage après erreur (*crash dump*)
    afin de réduire la trace de son activité ;
-   de s'insérer dans le processus d'authentification, authaurisation et
    tracabilité (*Authentication, Authorization and Accounting, AAA*)
    afin de contourner ces mécanismes.

Cisco conseille dans un premier temps d'appliquer les mises à jour de
sécurité. Avant de mener les actions d'investigations et de remédiations
préconisées par Talos \[1\]\[2\], le CERT-FR recommande de déconnecter
l'équipement d'Internet.

Talos insiste sur le fait de ne pas redémarrer l'équipement ou tenter de
récupérer une image mémoire si les investigations initiales montrent une
modification des droits d'exécution de certaines zones mémoire.

Multiples vulnérabilités dans les produits Cisco

Bulletin de sécurité Cisco cisco-sa-asaftd-websrvs-dos-X8gNucD2

Bulletin de sécurité Cisco cisco-sa-asaftd-persist-rce-FLsNXF4h


Quantum Spark Gateways versions R81.10.x, R80.20.x et R77.20.x sans le dernier correctif de sécurité

Quantum Maestro et Quantum Scalable Chassis versions R81.20, R81.10, R80.40, R80.30SP et R80.20SP sans le dernier correctif de sécurité

Quantum Security Gateway et CloudGuard Network Security versions R81.20, R81.10, R81 et R80.40 sans le dernier correctif de sécurité

## Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2024-AVI-0449 du 28 mai 2024

[1] FAQ pour la vulnérabilité CVE-2024-24919

Version initiale

Preuves de concept disponibles.

Atteinte à la confidentialité des données

Summary:
[Mise à jour du 31 mai 2024]

Des preuves de concept sont désormais disponibles publiquement sur Internet.

De plus, l'éditeur indique avoir détecté des tentatives de compromission à partir du 7 avril 2024.

**[Publication Initiale]**

Une vulnérabilité a été découverte dans les produits Check Point. Elle permet à un attaquant de provoquer une atteinte à la confidentialité des données.

L'éditeur indique avoir connaissance de tentatives d'exploitation depuis le 30 avril 2024.

Le CERT-FR a connaissance de l’exploitation de cette vulnérabilité et recommande donc fortement d'appliquer le correctif dans les plus brefs délais.

L'éditeur indique qu'il est nécessaire de changer les mots de passe LDAP et de désactiver les comptes qui utilisent le mot de passe comme seule méthode d'authentification. Par mesure de précaution, le CERT-FR recommande de changer l'ensemble des secrets pouvant se trouver sur l'équipement.

## Étapes d'investigation

En cas de suspicion ou de compromission avérée de l'équipement, l'éditeur préconise de rechercher dans les journaux d'authentification [1].

[MàJ] Vulnérabilité dans les produits Check Point

Bulletin de sécurité Check Point sk182336

Bulletin de sécurité Check Point CPAI-2024-0353


OpenSSH versions 8.5p1 à 9.7p1 antérieures à 9.8 et 9.8p1

Bulletin de sécurité Debian

Billet de blogue Qualys du 01 juillet 2024

Avis de sécurité CERT-FR CERTFR-2024-AVI-0531 du 1 juillet 2024

Avis de sécurité CERT-FR CERTFR-2024-AVI-0539 du 3 juillet 2024

Bulletin de sécurité Red Hat du 01 juillet 2024

Version initiale

Rectification de la date de publication de l'avis de sécurité OpenSSH.

Ajout d'un lien vers l'avis CERT-FR CERTFR-2024-AVI-0539.

Exécution de code arbitraire à distance

Summary:
Le 1 juillet 2024, OpenSSH a publié un avis de sécurité concernant la vulnérabilité critique CVE-2024-6387.

Cette vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire à distance avec les privilèges *root*.

L'éditeur précise que les versions 8.5p1 à 9.7p1 sont vulnérables, de manière confirmée, sur des systèmes Linux 32 bits avec la *glibc* et l'*ASLR* activé. Toutefois, il est précisé que l'exploitation nécessite entre six et huit heures de connexions continues. De plus, il spécule que ces attaques pourraient être optimisées pour être plus rapides, à plus forte raison lorsque l'*ASLR* est désactivé.

L'éditeur ajoute que l'exploitation sur des systèmes 64 bits ou sans *glibc* semble possible mais n'a pas été démontrée.

Cette vulnérabilité a été découverte par des chercheurs de Qualys. Dans leur billet de blogue (cf. section Documentation), ceux-ci précisent que les versions antérieures à 4.4p1 d'OpenSSh sont également vulnérables.
De plus, ils conseillent de vérifier la présence de très nombreuses lignes "*Timeout before authentication*" dans les journaux pour détecter de potentielles tentatives d'exploitations.

En date du 1 juillet 2024, certaines distributions Linux ont proposé des correctifs pour des versions vulnérables (cf. section Documentation).

Dans l'attente de la disponibilité de correctifs, Qualys conseille de modifier la valeur de *LoginGraceTime* à 0 dans le fichier de configuration. Cette mesure de contournement permet d'empêcher une exécution de code arbitraire à distance, mais rend la machine vulnérable à un déni de service à distance.

Vulnérabilité dans OpenSSH

Bulletin de sécurité OpenSSH


Roundcube Webmail versions 1.5.x antérieures à 1.5.8

Roundcube Webmail versions 1.6.x antérieures à 1.6.8

## Solutions

Les versions correctives 1.6.8 et 1.5.8 LTS ont été publiées.

De plus, l'exploitation des vulnérabilités nécessite l'ouverture des courriels voire de cliquer sur des éléments qu'ils contiennent. Le CERT-FR recommande donc de limiter au maximum l'interaction avec des messages d'origine non vérifiée.

Avis CERTFR-2024-AVI-0647 du 5 août 2024

Version initiale

Injection de code indirecte à distance (XSS)

Summary:
Le 4 août 2024, Roundcube a publié des correctifs concernant les vulnérabilités critiques CVE-2024-42008 et CVE-2024-42009 affectant son serveur de courriel.

Ces vulnérabilités permettent des injections de code indirectes à distance (XSS) qui peuvent, par exemple, conduire à la récupération du contenu des courriels de l'utilisateur. De plus, l’attaquant peut également être en mesure d’envoyer des courriels en se faisant passer pour la victime.

La vulnérabilité CVE-2024-42009 peut être exploitée par une simple ouverture du courriel piégé tandis que la vulnérabilité CVE-2024-42008 nécessite que l’utilisateur effectue une action supplémentaire.

Roundcube est un produit en source ouverte et les correctifs sont accessibles publiquement. Le CERT-FR anticipe donc la publication à court terme de codes d’exploitation publics.
Des vulnérabilités de ce type ont été activement exploitées sur des serveurs Roundcube Webmail par le passé.

Multiples vulnérabilités dans Roundcube

Bulletin de sécurité Roundcube


Gen7 Firewalls - TZ270, TZ270W, TZ370, TZ370W, TZ470, TZ470W, TZ570, TZ570W, TZ570P, TZ670, NSa 2700, NSa 3700,NSa 4700, NSa 5700, NSa 6700, NSsp 10700, NSsp 11700, NSsp 13700 versions antérieures  ou égales à 7.0.1-5035

SOHO (Gen 5) versions antérieures à 5.9.2.14-13o

Gen6 Firewalls - SOHOW, TZ 300, TZ 300W, TZ 400, TZ 400W, TZ 500, TZ 500W, TZ 600, NSA 2650,NSA 3600, NSA 3650, NSA 4600, NSA 4650, NSA 5600, NSA 5650, NSA 6600, NSA 6650, SM 9200, SM 9250, SM 9400, SM 9450, SM 9600, SM 9650, TZ 300P, TZ 600P, SOHO 250, SOHO 250W, TZ 350, TZ 350W versions antérieures à 6.5.2.8-2n pour SM9800, NSsp 12400, NSsp 12800 et versions antérieures à 6.5.4.15.116n pour les autres références

Configuration du système SonicWall SonicOS 6.5

Comment configurer l'authentification à plusieurs facteurs pour SSLVPN avec TOTP

Guide d'administration SonicOS 5.9

Version initiale

Déni de service à distance

Contournement de la politique de sécurité

Summary:
Le 22 août 2024, Sonicwall a publié un correctif concernant la vulnérabilité critique CVE-2024-40766 affectant les pare-feux Sonicwall génération 5, 6 et 7.
Cette vulnérabilité, de type contrôle d'accès défaillant, permet à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et un contournement de la politique de sécurité.

Le 6 septembre 2024, l'éditeur complète son avis en précisant que la fonctionnalité SSLVPN est également affectée. De plus, Sonicwall indique que la vulnérabilité CVE-2024-40766 est potentiellement activement exploitée dans le cadre d'attaques ciblées.

Le CERT-FR recommande fortement de suivre les préconisations de l'éditeur :

* mettre à jour les mots de passe des utilisateurs de SSLVPN qui ont des comptes gérés localement pour renforcer la sécurité et empêcher les accès non autorisés ;
* activer l'authentification à plusieurs facteurs des utilisateurs de SSLVPN.

Vulnérabilité dans SonicWall

Bulletin de sécurité SonicWall SNWLID-2024-0015

Avis de sécurité CERT-FR CERTFR-2024-AVI-0712


OpenPrinting cups-browsed toutes versions

OpenPrinting libcupsfilters toutes versions

OpenPrinting libppd toutes versions

OpenPrinting cups-filter toutes versions

## Solutions

**[Mise à jour du 01 octobre 2024]**

Des correctifs sont disponibles pour certaines distributions. (cf. section Documentation)

## Mesures de contournement

**[Mise à jour du 01 octobre 2024]**

Pour les distributions n'ayant pas de correctif disponible, le CERT-FR recommande :

de désactiver le service cups-browsed si celui-ci est installé. Les commandes suivantes permettent par exemple d'arrêter puis de désactiver le service pour les systèmes utilisant systemd :

sudo systemctl stop cups-browsed
sudo systemctl disable cups-browsed

si la désactivation du service n'est pas envisageable, il est possible de modifier le fichier de configuration de cups-browsed, généralement situé dans /etc/cups/cups-browsed.conf en remplaçant la ligne BrowseRemoteProtocols dnssd cups par BrowseRemoteProtocols none;

de limiter l'accès au port 631 sur UDP et plus généralement de mettre en place des mécanismes de filtrage réseau utilisant des listes d'autorisation.

En l'état des connaissances actuelles, si le service cups-browsed est inaccessible, l'attaquant ne peut pas ajouter une imprimante malveillante à l'insu de l'utilisateur, ce qui bloque la chaîne d'exploitation.

Bulletin de sécurité Ubuntu USN-7043-1

Bulletin de sécurité Ubuntu USN-7042-1

Billet de blogue Elastic Security Labs du 28 septembre 2024

Bulletin de sécurité Debian DLA-3905-1

Bulletin de sécurité Debian DSA-5778-1

Bulletin de sécurité RedHat RHSB-2024-002

Base de connaissance SUSE 000021571

Version initiale

Ajout de publications d'avis éditeur

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
**[Mise à jour du 10 octobre 2024]**

Le 28 septembre 2024, Elastic Security Labs a publié des règles de détection au format propriétaire de l'éditeur (cf. section Documentation), qui sont confirmées par les analyses du CERT-FR pour la détection des attaques connues.

**[Publication initiale]**

De multiples vulnérabilités ont été découvertes dans OpenPrinting CUPS et dans le composant cups-browsed. Celui-ci permet notamment de découvrir automatiquement des imprimantes partagées sur le réseau.

Au total, quatre vulnérabilités ont été identifiées. Elles permettent :

- de récupérer des informations sur le système d'information de la victime;
- d'ajouter automatiquement sur le système une nouvelle imprimante, voire de remplacer une imprimante existante;
- d'exécuter du code arbitraire à distance, lorsque l'utilisateur lance une tâche d'impression sur l'imprimante ajoutée précédemment.

 Le CERT-FR a connaissance de codes d'exploitation publics mais pas encore de cas d'exploitation active.

[MàJ] Vulnérabilités affectant OpenPrinting CUPS


Ivanti Cloud Services Appliance (CSA) versions antérieures à 5.0.2

Une chaine d’exploitation complète est connue pour les produits Ivanti Cloud Services Appliance de versions antérieures à 5.0, notamment les versions 4.6 n’ayant pas appliqué le correctif 519.
Les vulnérabilités CVE-2024-8190, CVE-2024-8963 et CVE-2024-9380 ont été exploitées avant la publication de ce correctif.
Le CERT-FR n’a pas connaissance d’une chaine d’exploitation impactant les versions 5.0.x.

## Recherche de compromission

Des traces d’exploitation sont identifiables dans les journaux `/var/log/messages-<date>.tar.gz` ou dans des journaux de reverse-proxy en privilégiant la période du 4 au 15 septembre 2024 :
1. requête HTTP GET vers l'URL `/client/index.php%3F.php/gsb/users.php` (CVE-2024-8963). Les attaquants peuvent utiliser des moyens d’obscurcissement pour contourner ce motif de détection ;
2. suivie d'une requête HTTP POST vers l'URL `/gsb/datetime.php` (CVE-2024-8190) ;
3. présence de `PGPASSWORD` pouvant indiquer une manipulation de la base de donnée contenant les informations de connexion ;
4. présence d'une requête contenant `tripwire --update ;` indiquant une injection de commandes au travers de la page `reports.php`.

Dans `/var/log/messages*` et `/var/log/secure*`, des traces d’exécutions de commandes malveillantes peuvent être identifiées :
* `base64 -d`
* `tripwire –-update ; <injection de commande>`

L'attaquant peut également utiliser des *webshells* situées dans le dossier `/opt/landesk` contenant uniquement l’une des deux lignes suivantes :
* `<?php @eval($_REQUEST[<variable>]);  ?>`
* `<?php system('/bin/sudo '. $_REQUEST[<variable>]);`

Il existe également des combinaisons de ces deux lignes (sans le  `?>` final, avec ou sans guillemet autour de la variable, etc.). Les dates de dernière modification et de création de ces fichiers peuvent avoir été manipulées.

De plus, des indicateurs de compromission peuvent parfois être observés à la fin du fichier `/etc/php.ini` :
* `allow_url_include = On`
* `auto_prepend_file = "data:;base64,<webshell encodé>"`

Le CERT-FR recommande par ailleurs de chercher les indicateurs de compromission présentés dans l'article de Fortinet [1].

L'URL permettant d'exploiter la vulnérabilité CVE-2024-8963 a été massivement requêtée. Sa seule présence dans les journaux d'activité n'est donc pas nécessairement révélatrice d'une action malveillante. Il est néanmoins nécessaire de suivre les étapes 4 à 6 présentes dans la section Solution.

## Solution

La version 5.0.2 de CSA corrige l'ensemble des vulnérabilités présentées. La version 4.6 n'est plus supportée par l'éditeur et ce dernier recommande de mettre à jour vers la version 5.0.2. L’éditeur recommande l’utilisation de deux interfaces réseau, en utilisant `eth0` uniquement pour le réseau interne.

Si vous êtes en présence d'un CSA qui était en version 4.6 et accessible depuis Internet en septembre ou octobre 2024, il est impératif d’effectuer une recherche de traces d’exploitation de vulnérabilité sur l’équipement ou la machine virtuelle, ainsi que de tentatives de latéralisation.

En cas de compromission ou suspicion de compromission :

1. isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;
2. signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier ;
3. reconstruire la solution CSA en version 5.0.2 et son système d’exploitation sur lequel il repose à partir de source éditeur. L'attaquant peut déposer un implant qui ne sera pas supprimé avec la simple réinstallation de l'application ;
4. réinitialiser tous les secrets de façon générale (mot de passe, certificat, etc.) configurés sur les équipements affectés ;
5. réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés (si applicable) ;
6. vérifier que l'ensemble des utilisateurs du système sont légitimes ;
7. rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
    * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;
    * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;
    * en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'équipement compromis.
8. identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté puis :
    * vérifier l'activité réalisée à partir de ce compte ;
    * réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l'équipement.

Le CERT-FR vous recontactera si nécessaire pour le traitement de l’incident ou vous communiquera des éléments supplémentaires. En cas de suspicion de compromission, il est recommandé de consulter les [bons réflexes en cas d'intrusion sur votre système d'information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/) [2], ainsi que les fiches réflexe sur la compromission système [3] [4].

[2] Les bons réflexes en cas d’intrusion sur un système d’information

[4] Fiche réflexe Compromission système - Endiguement

[3] Fiche réflexe Compromission système - Qualification

Avis CERTFR-2024-AVI-0851 du 09 octobre 2024

Bulletin d'actualité CERTFR-2024-ACT-045 du 14 octobre 2024

Avis CERTFR-2024-AVI-0796 du 20 septembre 2024

[1] Billet de blogue de FortiGuard Labs Threat Research du 11 octobre 2024

Version initiale

Correction d'un marqueur présent dans les fichiers de /var/log/

Exécution de code arbitraire à distance

Summary:
Ivanti a publié plusieurs avis de sécurité sur des vulnérabilités affectant CSA qui sont activement exploitées :
* le 10 septembre 2024, Ivanti a publié un avis de sécurité concernant la vulnérabilité CVE-2024-8190 qui permet à un attaquant, authentifié en tant qu'administrateur, d'exécuter du code arbitraire à distance sur un équipement CSA ;
* le 13 septembre 2024, l'éditeur a ajouté que cette vulnérabilité était activement exploitée dans le cadre d'attaques ciblées ;
* le 16 septembre 2024, le CERT-FR a eu connaissance de codes d'exploitation publics pour la vulnérabilité CVE-2024-8190 ;
* le 19 septembre 2024, Ivanti a publié un nouvel avis de sécurité affectant CSA. La vulnérabilité CVE-2024-8963 permet à un attaquant non authentifié de contourner l'authentification et d'obtenir les droits administrateur ;
* le 8 octobre 2024, Ivanti a publié un nouvel avis de sécurité affectant les CSA versions 5.0.1 et antérieures. Les vulnérabilités CVE-2024-9379 et CVE-2024-9380, combinées à la vulnérabilité CVE-2024-8963 présente sur les CSA versions 4.6 antérieures au correctif 519, permettent d’exécuter du code arbitraire à distance ;
* le 11 octobre 2024 l'éditeur Fortinet a publié un billet de blogue [1] détaillant les exploitations constatées lors d'une opération de réponse à incidents.

L'éditeur a précisé que les vulnérabilités CVE-2024-8190 et CVE-2024-8963 étaient activement exploitées et a connaissance d’un nombre limité d’exploitations des vulnérabilités CVE-2024-9379 et CVE-2024-9380, combinées à la vulnérabilité CVE-2024-8963 sur les CSA en versions antérieures à 5.0 uniquement.

**Le CERT-FR a connaissance de plusieurs compromissions dans lesquelles ces vulnérabilités ont été exploitées.**

Exploitations de vulnérabilités dans Ivanti Cloud Services Appliance (CSA)

Bulletin de sécurité Ivanti

Bulletin de sécurité Ivanti

Bulletin de sécurité Ivanti


FortiManager versions 7.6.x antérieures à 7.6.2

FortiManager versions 7.2.x antérieures à 7.2.9

FortiAnalyzer modèles 1000E, 1000F, 2000E, 3000E, 3000F, 3000G, 3500E, 3500F, 3500G, 3700F, 3700G, 3900E avec la fonctionnalité FortiManager

FortiManager versions 6.4.x antérieures à 6.4.15

FortiManager versions 7.0.x antérieures à 7.0.13

FortiManager Cloud versions 7.4.x antérieures à 7.4.5

FortiManager versions 6.2.x antérieures à 6.2.13

FortiManager Cloud versions 7.2.x antérieures à 7.2.8

FortiManager versions 7.4.x antérieures à 7.4.6

FortiManager Cloud versions 6.4.x à 7.0.x antérieures à 7.0.13

**[Mise à jour du 14 janvier 2025]** **Publication des correctifs**

L'éditeur a publié des correctifs pour la vulnérabilité de type jour-zéro désormais identifiée en tant que CVE-2024-50566. La liste des systèmes affectés a été mise à jour.

**[Mise à jour du 15 novembre 2024]** Le CERT-FR a connaissance d'une vulnérabilité de type jour-zéro

Le CERT-FR a connaissance d'une vulnérabilité de type jour-zéro affectant l'ensemble des équipements FortiManager et FortiAnalyzer avec la fonctionnalité FortiManager.

**[Mise à jour du 24 octobre 2024]Mise à jour des systèmes affectés**

L'éditeur a indiqué avoir publié de nouvelles versions correctives pour FortiManager Cloud. Fortinet précise que certains équipements FortiAnalyser sont également affectés. L'identification de ces équipements est précisée dans le bulletin éditeur.

## Mesures de contournement

L'éditeur propose plusieurs mesures de contournement si la mise à jour est impossible dans l'immédiat. Celles-ci varient en fonction de la version de l'équipement et peuvent entraîner des effets de bord voire être contournées dans certaines situations.

## Solutions

**[Mise à jour du 14 janvier 2025]** **Publication des correctifs**

Le 14 janvier 2025, Fortinet a publié un avis de sécurité relatif à la vulnérabilité CVE-2024-50566. Les mises à jour de sécurité sont disponibles et doivent être appliquées. Veuillez-vous référer à l'avis éditeur (FG-IR-24-463) pour la liste des versions correctives.

**[Mise à jour du 24 octobre 2024] Précisions relatives aux recommandations du CERT-FR.**

Le CERT-FR n'exclut pas la possibilité d'exploitations réalisées dans les mois précédant la publication de l'avis de l'éditeur. Il est donc nécessaire de chercher les indicateurs de compromissions mis à disposition par l'éditeur sur une période de temps correspondante. Le CERT-FR recommande également de faire une recherche en utilisant les indicateurs détaillés dans le billet de blogue de Mandiant [4]. *Note : Ces indicateurs n'ont pas été qualifiés par le CERT-FR.*

Des risques d'exploitation depuis l'intérieur du système d'information via un équipement préalablement compromis, ou un relais applicatif, sont possibles. Le CERT-FR recommande donc d'effectuer une recherche de compromission sur les équipements non-exposés sur Internet.

En cas de compromission ou de suspicion de compromission:
* signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier ;
* rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
    * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;
    * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;
    * en identifiant l'ensemble des équipement Fortinet gérés par le FortiManager puis en examinant leurs journaux.

**[Publication initiale]**
Des versions correctives sont disponibles pour la majorité des versions impactées. Le CERT-FR recommande l'application des mises à jour de sécurité dans les plus brefs délais.
Pour les versions 6.4.x, 7.0 et 7.2 de FortiManager Cloud, l'éditeur indique de mettre à jour vers la version 7.4.5 ou ultérieure.

Fortinet met à disposition différents indicateurs de compromission dans son avis de sécurité.

En cas de suspicion de compromission, il est recommandé de consulter les [bons réflexes en cas d'intrusion sur votre système d'information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/) [1], ainsi que les fiches réflexe sur la compromission système [2] [3].

L'éditeur propose, dans son bulletin, des méthodes de remédiation. Néanmoins, le CERT-FR recommande tout d'abord d'isoler les équipements compromis du réseau et de réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’une machine physique) à des fins d’investigations approfondies.

Avis CERTFR-2025-AVI-0030 du 14 janvier 2025

[4] Billet de blogue de Mandiant du 24 octobre 2024

[3] Fiche réflexe Compromission système - Endiguement

[1] Les bons réflexes en cas d’intrusion sur un système d’information

[2] Fiche réflexe Compromission système - Qualification

Avis CERTFR-2024-AVI-0917 du 23 octobre 2024

Mise à jour concernant la disponibilité de correctifs

Reformulation

Publication des correctifs de sécurité pour la vulnérabilité CVE-2024-50566

Mise à jour des systèmes affectés et des recommandations du CERT-FR

Le CERT-FR a connaissance d'une vulnérabilité de type jour-zéro permettant de contourner partiellement le correctif FG-IR-24-423.

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Version initiale

Exécution de code arbitraire à distance

Summary:
**[Mise à jour du 14 janvier 2025]** **Publication des correctifs**

Le 14 janvier 2025, Fortinet a publié un avis de sécurité relatif à la vulnérabilité CVE-2024-50566 qui correspond à la vulnérabilité de type jour-zéro pour laquelle une preuve de concept a été publiée en novembre 2024. Des correctifs de sécurité sont désormais disponibles et doivent être appliqués.

**[Mise à jour du 15 novembre 2024]** Le CERT-FR a connaissance d'une vulnérabilité de type jour-zéro non couverte par le correctif FG-IR-24-423.

Le 14 novembre 2024, le CERT-FR a pris connaissance d'une preuve de concept publique permettant l'exploitation d'une vulnérabilité de type jour-zéro affectant l'ensemble des équipements FortiManager et FortiAnalyzer avec la fonctionnalité FortiManager.

Cette vulnérabilité permet à un attaquant contrôlant un équipement FortiGate enregistré de prendre le contrôle de l'équipement FortiManager associé, même sur les versions les plus à jour. Un attaquant peut donc, depuis un équipement FortiGate compromis, se latéraliser vers un équipement FortiManager puis vers d'autres équipements FortiGate même si ces derniers ne sont pas exposés sur Internet et qu'ils bénéficient des derniers correctifs de sécurité.

**[Publication initiale]**

Une vulnérabilité a été découverte dans Fortinet FortiManager. Elle permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.

Fortinet indique que la vulnérabilité CVE-2024-47575 est activement exploitée. L'éditeur précise qu'en exploitant cette vulnérabilité, un attaquant est en mesure d'exfiltrer des données contenant des adresses IP, des secrets et des configurations des équipements gérés par le FortiManager.

[MàJ] Multiples vulnérabilités dans Fortinet FortiManager

Bulletin de sécurité Fortinet FG-IR-24-463

Bulletin de sécurité Fortinet FG-IR-24-423


PAN-OS versions 11.1.0 antérieures à 11.1.5-h1

PAN-OS versions 11.0.0 antérieures à 11.0.6-h1

PAN-OS versions 10.2.0 antérieures à 10.2.12-h2

PAN-OS versions 11.2.0 antérieures à 11.2.4-h1

L'éditeur précise que les équipements Prisma Access et Cloud NGFW ne sont pas concernés par ces vulnérabilités.

## Solutions

**\[Mise à jour du 18 novembre 2024\]** <br>Des correctifs sont disponibles pour cette vulnérabilité.

Les pare-feux les plus à risque sont ceux exposant leur interface d'administration sur Internet. Palo Alto Networks a indiqué avoir effectué un scan pour identifier ces interfaces et informé les propriétaires d'équipements concernés au travers de leur espace client (voir la section *Required Configuration for Exposure* de l'avis de sécurité).
De plus, l'éditeur propose un guide de sécurisation des interfaces d'administration [1].

Si une interface d'administration est exposée ou a été exposée sur Internet, le CERT-FR recommande de :
1. isoler les équipements du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;
2. reconstruire la solution avec une version à jour et en suivant les recommandations de sécurité de l'éditeur pour le déploiement de l'interface d'administration.

Si l'interface d'administration n'est pas exposée sur internet, l'équipement reste néanmoins vulnérable à une exploitation pour un attaquant ayant accès à l'interface, par exemple depuis un réseau d'administration. Le CERT-FR recommande donc de surveiller les connexions ou tentatives de connexion à l'équipement.

En cas de suspicion de compromission, il est recommandé de consulter les [bons réflexes en cas d'intrusion sur votre système d'information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/) [2], ainsi que les fiches réflexe sur la compromission système [3] [4].

Bulletin de sécurité Palo Alto Networks CVE-2024-9474 du 18 novembre 2024

Billet de blogue Unit42 du 18 novembre 2024

[2] Les bons réflexes en cas d’intrusion sur un système d’information

[4] Fiche réflexe Compromission système - Endiguement

[3] Fiche réflexe Compromission système - Qualification

Bulletin de sécurité Palo Alto Networks CVE-2024-0012 du 18 novembre 2024

Avis CERTFR-2024-AVI-1001 du 19 novembre 2024

[1] Guide de sécurisation des interfaces d'administration des équipements Palo Alto Networks

Avis CERTFR-2024-AVI-0990 du 15 novembre 2024

Version initiale

Ajout de la vulnérabilité CVE-2024-9474 et de la publication d'une preuve de concept

Modification du titre

Ajout de l'identifiant CVE et de correctifs

Exécution de code arbitraire à distance

Summary:
Le 8 novembre 2024, Palo Alto Networks a publié un avis de sécurité relatif à une vulnérabilité critique dans certains pare-feux Palo Alto Networks. Elle permet à un attaquant non authentifié d'exécuter du code arbitraire à distance sur l'interface d'administration des équipements.

L'éditeur indique dans une mise à jour du 14 novembre 2024 avoir connaissance de l'exploitation de cette vulnérabilité sur des pare-feux exposant leur interface d'administration sur Internet.

<span class="important-content">

**\[Mise à jour du 19 novembre 2024\]**

</span>

Le 18 novembre 2024, l'éditeur a publié un avis de sécurité concernant la vulnérabilité CVE-2024-9474. Celle-ci permet d'élever ses privilèges et peut être utilisée à la suite de la vulnérabilité publiée le 8 novembre 2024, ayant désormais l'identifiant CVE-2024-0012, afin d'obtenir les droits les plus élevés sur l'équipement.

Une preuve de concept permettant l'exploitation de ces deux vulnérabilités est disponible publiquement.

[MàJ] Multiples vulnérabilités sur l'interface d'administration des équipements Palo Alto Networks

Bulletin de sécurité Palo Alto Networks


Neurons for ZTA gateways versions 22.7R2.x antérieures à 22.7R2.5.

Policy Secure (IPS) toutes versions 22.7R1.x

Connect Secure (ICS) versions 22.7R2.x antérieures à 22.7R2.5

L'éditeur indique que les correctifs pour Policy Secure et Neurons for ZTA gateways seront disponibles le 21 janvier.

## Solutions

**\[Mise à jour du 01 avril 2025\]**

La CISA [5] fournit des indicateurs de compromission ainsi qu'une règle de détection *YARA*, servant à déterminer si un équipement est compromis par le maliciel *RESURGE*.

Note : Ces éléments n'ont pas été qualifiés par le CERT-FR.

**\[Mise à jour du 14 janvier 2025\]**

L'éditeur a indiqué avoir publié une nouvelle version externe de l'outil Integrity Check Tool, ICT-V22725 (build 3819), compatible avec les versions 22.x R2.

**[Publication initiale]**

Les étapes suivantes doivent être suivies indépendamment d'une mise à jour précédemment réalisée vers une version corrective. Dans son billet de blogue [3], Mandiant précise avoir observé une compromission du processus de mise à jour de l'équipement.

* En cas d'utilisation d'une appliance virtuelle, réaliser un instantané ;
* Exécuter les versions internes et externes du script Integrity Check Tool (ICT) publié par Ivanti :
    * l'éditeur indique que la dernière version (ICT-V22725) du script externe ICT est uniquement compatible avec les versions 22.7R2.5 et ultérieures. Il est donc nécessaire d'utiliser une version antérieure de l'outil ;
    * il est nécessaire d'exécuter la version externe d'ICT même en cas de résultat négatif de l'outil interne ;
    * dans son billet de blogue [3], Mandiant précise qu'il est nécessaire de vérifier que l'ensemble des étapes de l'outil sont réalisées (dix étapes) et de ne pas se fier uniquement au résultat final présenté.
* Effectuer une recherche de compromission au niveau de l'équipement :
    * effectuer une recherche sur les indicateurs de compromissions présentés par Mandiant [3] ;
*Note : Ces indicateurs n'ont pas été qualifiés par le CERT-FR.*
    * rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
        * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
        * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.

* Si aucune mise à jour correctrice n'est disponible, l'équipement est à risque de compromission; contactez le service d'assistance Ivanti et, dans la mesure du possible, déconnectez l'équipement d'Internet.

* En cas d'absence de compromission :
    * procéder à une montée de version du micrologiciel (*firmware*) si le correctif est disponible ;
    * surveiller l'activité des comptes et des services liés à l'équipement, notamment le compte de service LDAP, si celui a été configuré.

* En cas de compromission détectée :
    * signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [4] ;
    * isoler l'équipement du réseau et sauvegarder les journaux liés à l'équipement ;
    * effectuer une remise à la configuration de sortie d'usine (*Factory Reset*) [1] ET procéder à une montée de version du micrologiciel (*firmware*) si le correctif est disponible ;
        * si aucune mise à jour correctrice n'est disponible, contactez le service d'assistance Ivanti et, dans la mesure du possible, déconnectez l'équipement d'Internet.
    * suivre les étapes listées dans le bulletin technique d'Ivanti [2] et en particulier :
        * révoquer et réémettre tous les certificats présents sur les équipements affectés :
            * certificats utilisés pour les machines et/ou pour l’authentification utilisateur (coté client et serveur) ;
            * certificats de signature de code et les certificats TLS pour l’interface exposée.
        * réinitialiser le mot de passe d'administration ;
        * réinitialiser les clés d’API stockées sur l’équipement ;
        * réinitialiser les mots de passe de tout compte local défini sur la passerelle, y compris les comptes de service utilisés dans la configuration liée aux serveurs d’authentification ;
            * révoquer l'ensemble des moyens d'authentification (tickets Kerberos...) des comptes de services utilisés.
        * réinitialiser les authentifications des serveurs de licence.

[3] Billet de blogue Mandiant du 08 janvier 2025

[1] Bulletin technique Ivanti relatif à la réinitialisation de l'équipement

Avis CERTFR-2025-AVI-0014 du 09 janvier 2025

[2] Bulletin technique Ivanti relatif à la remédiation d'un équipement compromis

[5] La CISA publie un rapport d'analyse sur le logiciel malveillant RESURGE associé à Ivanti Connect Secure

[4] Les bons réflexes en cas d’intrusion sur un système d’information

Version initiale

Ajout de précisions concernant l'outil Integrity Check Tool

Ajout d'une référence d'un rapport d'analyse de la CISA

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité jour-zéro de type débordement de pile a été découverte dans Ivanti Connect Secure (ICS), Policy Secure (IPS), Neurons for Zero Trust Access (ZTA) gateways. Cette vulnérabilité, d'identifiant CVE-2025-0282, permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.

Ivanti indique que cette vulnérabilité est activement exploitée.

[MàJ] Vulnérabilité dans les produits Ivanti

Bulletin de sécurité Ivanti Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-0282-CVE-2025-0283

Bulletin de sécurité Ivanti security-update-ivanti-connect-secure-policy-secure-and-neurons-for-zta-gateways


FortiOS versions 7.0.x antérieures à 7.0.17

FortiProxy versions 7.0.x antérieures à 7.0.20

FortiProxy versions 7.2.x antérieures à 7.2.13

## Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

L'éditeur recommande les solutions de contournement suivantes :
* désactiver l'interface d'administration HTTP/HTTPS ;
* limiter les adresses IP qui peuvent joindre l'interface d'administration HTTP/HTTPS ;
* créer une politique locale pour restreindre l'accès uniquement au groupe prédéfini sur l'interface de gestion.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des détails sur les mesures de contournement.
* effectuer une recherche de compromission au niveau de l'équipement ;
<br>*Note : ces indicateurs n'ont pas été qualifiés par le CERT-FR.*
*  rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
   * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
   * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
* en cas de compromission détectée :
    * signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [1] ;
    * isoler l'équipement du réseau et sauvegarder les journaux liés à l'équipement.

Avis CERTFR-2025-AVI-0030 du 14 janvier 2025

[1] Les bons réflexes en cas d’intrusion sur un système d’information

Code d'exploitation public

Version initiale

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
\[Mise à jour du 28 janvier 2025\]

Une preuve de concept permettant l'exploitation de cette vulnérabilité est disponible publiquement.

Le 14 janvier 2025, Fortinet a publié un avis de sécurité concernant la vulnérabilité critique CVE-2024-55591 affectant FortiOS et FortiProxy. Elle permet à un attaquant distant non authentifié de contourner le mécanisme d'authentification de l'interface d'administration d'un équipement FortiOS ou FortiProxy et d'obtenir des privilèges super-administrateur via l'envoi de requêtes forgées au module websocket Node.js.

Le CERT-FR rappelle que l'exposition d'une interface d'administration sur Internet est contraire aux bonnes pratiques.
Le CERT-FR recommande donc fortement d'appliquer le correctif dans les plus brefs délais.
Fortinet indique que cette vulnérabilité est activement exploitée.

[MàJ] Vulnérabilité dans les produits Fortinet

Bulletin de sécurité FG-IR-24-535


Pulse Connect Secure versions antérieures à 22.7R2.6

Zero Trust Access Gateways versions antérieures à 22.8R2.2

Ivanti Policy Secure (IPS) versions antérieures à 22.7R1.4

Ivanti Connect Secure (ICS) versions antérieures à 22.7R2.6

L'éditeur indique que les correctifs seront disponibles le 19 avril 2025 pour Zero Trust Access Gateways et le 21 avril 2025 pour Ivanti Policy Secure.
L'éditeur indique que les Pulse Connect Secure en versions 9.1x sont en fin de vie depuis le 31 décembre 2024. Les utilisateurs peuvent contacter Ivanti pour migrer vers une version à jour.

## Solutions

**[Mise à jour du 04 avril 2025]**

Les recommandations suivantes sont listées par ordre de priorité.
* isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de latéralisation ;
* en cas d'utilisation d'une appliance virtuelle, réaliser un instantané du système de fichier et de la mémoire vive ;
* si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
* mettre sous séquestre les journaux collectés ;
* procéder à l’analyse des serveurs afin d’identifier une possible compromission à l’aide des indicateurs de compromission publiés par Mandiant [2] ;
* l'éditeur recommande d'exécuter les versions externes de son script Integrity Check Tool (ICT) ;
* en cas de compromission :
    * signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [3] ;
    * effectuer une remise à la configuration de sortie d'usine (*Factory Reset*) [4] ;
        * le CERT-FR rappelle que certaines menaces peuvent persister à une réinitialisation, ce dont l'utilisation dans les contextes sensibles doit tenir compte ;
    * procéder à une montée de version du micrologiciel (*firmware*) si le correctif est disponible ;
    * considérer les secrets stockés sur l'équipement, ou y ayant transité en clair, comme compromis. Les actions suivantes sont dès lors nécessaires :
        * réinitialiser les secrets liés au LDAP ou à l'Active Directory, si configuré.
            * le CERT-FR a connaissance de latéralisation utilisant ces secrets.
        * révoquer et réémettre tous les certificats présents sur les équipements affectés :
            * certificats utilisés pour les machines et/ou pour l’authentification utilisateur (coté client et serveur) ;
            * certificats de signature de code et les certificats TLS pour l’interface exposée.
        * réinitialiser le mot de passe d'administration ;
        * réinitialiser les clés d’API stockées sur l’équipement ;
        * réinitialiser les mots de passe de tout compte local défini sur la passerelle, y compris les comptes de service utilisés dans la configuration liée aux serveurs d’authentification ;
        * révoquer l'ensemble des moyens d'authentification (tickets Kerberos...) des comptes de services utilisés.
        * réinitialiser les authentifications des serveurs de licence.
    * Une fois la machine isolée et les collectes réalisées, conduire une recherche de latéralisation sur votre système d'information depuis l'équipement compromis, notamment :
        * en recherchant les indicateurs de compromission décrits plus bas dans cette alerte ;
        * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
        * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
* En cas d'absence de compromission :
    * procéder à une montée de version du micrologiciel (*firmware*) si le correctif est disponible ;
    * si aucune mise à jour correctrice n'est disponible, l'équipement est à risque de compromission; contactez le service d'assistance Ivanti et, dans la mesure du possible, déconnectez l'équipement d'Internet.
    * surveiller l'activité des comptes et des services liés à l'équipement, notamment le compte de service LDAP ou Active Directory, si celui a été configuré.

Avis CERT-FR CERTFR-2025-AVI-0273 du 3 avril 2025

[1] Bulletin de sécurité Ivanti April-Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-22457 du 03 avril 2025

[2] Rapport Mandiant du 3 avril 2025

Avis CERT-FR CERTFR-2025-AVI-0121 du 12 février 2025

[4] Bulletin technique Ivanti relatif à la réinitialisation de l'équipement

[3] Les bons réflexes en cas d’intrusion sur un système d’information

Bulletin de sécurité Ivanti du 11 février 2025

Ajout des recommandations

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Version initiale

Ajout de la connaissance d'un POC

Exécution de code arbitraire à distance

Summary:
<span class="important-content">**\[Mise à jour du 11 avril 2025\]** </span>

Le CERT-FR a connaissance d'une preuve de concept publique permettant de provoquer une exécution de code arbitraire à distance.

**[Mise à jour du 04 avril 2025]**

Le CERT-FR a connaissance d'une preuve de concept publique permettant de provoquer un arrêt du serveur Web.

**[Publication initiale]**

Une vulnérabilité critique de type débordement de pile a été découverte dans Pulse Connect Secure, Ivanti Connect Secure (ICS), Policy Secure (IPS) et Zero Trust Access (ZTA) Gateways. Cette vulnérabilité, d'identifiant CVE-2025-22457, permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.

Ivanti indique que cette vulnérabilité est activement exploitée [1].

La mise à jour corrective pour les ICS est disponible depuis le 11 février 2025. Dans son rapport [2], Mandiant indique avoir constaté des traces d'exploitation depuis la mi-mars 2025. Il peut cependant être utile d'effectuer une recherche de compromission même si les correctifs ont été préalablement installés.

À titre de précision, la vulnérabilité CVE-2025-22457 est distincte de la vulnérabilité CVE-2025-0282, qui affecte sensiblement les mêmes produits, et qui a fait l'objet de l'alerte [CERTFR-2025-ALE-001](https://www.cert.ssi.gouv.fr/alerte/CERTFR-2025-ALE-001/).


FortiOS versions 7.4.x antérieures à 7.4.7

FortiOS versions 7.6.x antérieures à 7.6.2

FortiOS versions 7.2.x antérieures à 7.2.11

FortiOS versions antérieures à 6.4.16

L'éditeur indique que les clients qui n'ont jamais activé la fonctionnalité de SSL-VPN ne sont pas impactés.

## Solutions

L'éditeur a publié des versions correctives pour les branches 6.4.x, 7.0.x, 7.2.x, 7.4.x et 7.6.x. La mise à jour vers une de ces versions supprime les fichiers malveillants. Dans le cas de l'utilisation d'une version qui n'est plus supportée, le CERT-FR recommande fortement de migrer vers une version corrective.

Pour les utilisateurs avec un contrat de support et une licence IPS activée, l'éditeur a supprimé automatiquement les fichiers malveillants. Le CERT-FR a connaissance de nombreux équipements pour lesquels ces conditions ne sont pas réunies.

L'éditeur a indiqué avoir contacté les clients avec des équipements compromis. Le CERT-FR invite les propriétaires d'équipements à consulter les adresses de messageries pouvant avoir été contactées par Fortinet ou à relayer cette demande aux gestionnaires de l'équipement si cela est applicable.

**Cependant, la simple suppression de ces éléments et l'application des mises à jour n'est pas suffisante en cas de compromission**. Dans cette situation:
1. isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;
2. réinitialiser tous les secrets de façon générale (mot de passe, certificat, etc.) configurés sur les équipements affectés ;
3. réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés (si applicable) : mots de passe, jetons d'identité, clés cryptographiques...;
4. rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
    * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;
    * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;
    * en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'équipement compromis.
5. identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté puis :
    * vérifier l'activité réalisée à partir de ce compte ;
    * réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l'équipement.

Le CERT-FR vous recontactera si nécessaire pour le traitement de l’incident ou vous communiquera des éléments supplémentaires. En cas de suspicion de compromission, il est recommandé de consulter les [bons réflexes en cas d'intrusion sur votre système d'information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/) [5].

[3] Alerte CERTFR-2023-ALE-004

[4] Alerte CERTFR-2024-ALE-004

[1] Billet de blogue Fortinet du 10 avril 2025

[5] Les bons réflexes en cas d’intrusion sur un système d’information

[2] Alerte CERTFR-2022-ALE-012

Documentation 230694 relative aux actions à suivre en cas de compromission

Version initiale

Atteinte à la confidentialité des données

Summary:
Fortinet a publié le 10 avril 2025 un billet de blogue [1] indiquant l'utilisation d'une technique de post-exploitation qui permet une atteinte à la confidentialité des données de l'ensemble du système des équipements Fortigate affectés.
Cette technique repose sur l'utilisation d'un lien symbolique déposé sur le système à la suite d'une compromission de l'équipement par exploitation, entre autres, des vulnérabilités CVE-2022-42475 [2], CVE-2023-27997 [3] ou CVE-2024-21762 [4].

Le CERT-FR a connaissance d'une campagne massive, avec de nombreux équipements compromis en France. Lors d'opérations de réponse à incident, le CERT-FR a pris connaissance de compromissions ayant eu lieu dès le début de l'année 2023.

Activités de post-exploitation dans Fortinet FortiGate


NetWeaver (Visual Composer development server) versions VCFRAMEWORK 7.50 sans le dernier correctif de sécurité

## Identification du composant vulnérable

Il est possible de vérifier que le composant vulnérable Visual Composer development server est activé au travers de l'URL `http://hote:port/nwa/sysinfo` et de chercher la présence du composant  `VISUAL COMPOSER FRAMEWORK` (`VCFRAMEWORK.SCA` ou `VCFRAMEWORK`). Si la ligne indique `NO`, le composant n'est pas installé.

## Solutions

Avant d'appliquer le correctif de sécurité, il est nécessaire de vérifier qu'aucun fichier avec l'extension `jsp`,  `java` ou `class` n'est présent dans les dossiers suivants :
* `C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\root`
* `C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work`
* `C:\usr\sap\<SID>\<InstanceID>\j2ee\cluster\apps\sap.com\irj\servlet_jsp\irj\work\sync`

De plus, il est nécessaire de vérifier dans les journaux du serveur web :
* des accès à l'URL `/developmentserver/metadatauploader` via une requête POST avec un code HTTP 200 sans authentification ;
* des accès aux URL de la forme `/irj/helper.jsp`, `/irj/cache.jsp` ou `/irj/\w{8}.jsp`[3].

Enfin il est possible de consulter [4] pour d'autres indicateurs de compromission. *Note : Ces indicateurs n'ont pas été qualifiés par le CERT-FR.*

Si des fichiers malveillants ou des journaux suspects sont présents :
* signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur votre système d'information [5] ;
* isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de latéralisation ;
* en cas d'utilisation d'une appliance virtuelle, réaliser un instantané du système de fichier et de la mémoire vive ;
* si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
* mettre sous séquestre les journaux collectés.

Les correctifs pour le composant Visual Composer Framework 7.50 sont listés et disponibles dans le bulletin de sécurité 3594142 de l'éditeur.

Des mesures de contournements sont proposées par l'éditeur [1].

Avis CERT-FR CERTFR-2025-AVI-0350 du 25 avril 2025

[4] Billet de blogue de Reliaquest relatif à l'exploitation de la vulnérabilité  CVE-2025-31324

[3] Billet de blogue Rapid7 du 28 avril relatif à la vulnérabilité CVE-2025-31324

[1] Bulletin de sécurité SAP 3593336 version 5 du 28/04/2025 relatif aux mesures de contournement

[2] FAQ sur l'exploitation de la vulnérabilité CVE-2025-31324

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 24 avril 2025, SAP a publié un bulletin de sécurité relatif à la vulnérabilité CVE-2025-31324 qui permet l'exécution de code arbitraire à distance pour un utilisateur non authentifié. Cette vulnérabilité est provoquée par un contournement de la politique de sécurité qui permet de télécharger des fichiers arbitraires et potentiellement exécutables sur le serveur. Elle impacte le composant *Visual Composer development server*, non installé par défaut mais fréquemment utilisé.

Le CERT-FR a connaissance de plusieurs compromissions liées à cette vulnérabilité.

L'accès aux détails complets concernant cette vulnérabilité ([1] [2]) nécessite un compte utilisateur pour le support SAP. Le bulletin de sécurité du 8 avril 2025 a été mis à jour pour indiquer cette nouvelle vulnérabilité sans faire mention de son exploitation active.

Vulnérabilité dans SAP NetWeaver

Bulletin de sécurité SAP april-2025

Bulletin de sécurité SAP 3594142 version 17