Apache Log4j versions 2.0 à 2.14.1

Apache Log4j versions 1.x (versions obsolètes) sous réserve d'une configuration particulière, cf. ci-dessous

Apache Log4j version 2.15.0

Les produits utilisant une version vulnérable de Apache Log4j : les CERT nationaux européens tiennent à jour une liste complète des produits et de leur statut vis-à-vis de la vulnérabilité [2]

Apache Log4j versions 2.16.0 et 2.12.2 (java 7)

## Contournement provisoire

La version 1 de log4j a été initialement déclarée vulnérable cependant
la vulnérabilité n'existe que si le composant *JMS Appender* est
configuré pour prendre en compte *JNDI*. Il s'agit donc d'une
configuration très spécifique \[1\]\[3\].

Il est recommandé d'utiliser une version à jour de l'environnement
d'exécution Java (les versions 8u191 et ultérieures apportent des
restrictions pour les appels JNDI basés sur LDAP et RMI), cependant les
codes d'exploitation les plus récents sont en mesure de contourner ces
protections pour continuer d'exploiter la vulnérabilité.

La mise en place de filtres au
niveau de vos pare-feux applicatifs pour bloquer les tentatives
d'exploitation de cette vulnérabilité peut constituer une première
mesure d'urgence mais elle reste insuffisante : les attaquants utilisent
différentes techniques d'obscurcissement des données injectées pour
contourner ces filtres.

**Les contournements proposés initialement ne permettent plus de se
prémunir contre certaines formes d'exploitation. Face à la possibilité
que d'autres exploitations soient encore découvertes y compris pour la
version 2.15.0, le CERT-FR recommande d'utiliser les versions les plus à
jour de la bibliothèque.**

En cas d'impossibilité de migration, il reste possible de **supprimer la
classe Java vulnérable**. Cette opération impose de tester le
fonctionnement de l'application afin d'identifier les impacts de la
modification sur son fonctionnement.

Cette suppression peut par exemple être effectuée avec la commande
suivante : *zip -q -d log4j-core-\*.jar
org/apache/logging/log4j/core/lookup/JndiLookup.class*

### Outillage

-   Des outils de recherche de la bibliothèque Log4j sont proposés par
    le **CERT/CC** (non qualifiés par le CERT-FR) :
    <https://github.com/CERTCC/CVE-2021-44228_scanner>
-   Le site du **NCSC-NL** recense également des outils, qui n'ont pas
    été qualifiés par le NCSC-NL ni par le CERT-FR :
    <https://github.com/NCSC-NL/log4shell/tree/main/scanning>
-   La **CISA** a publié un scanner basé sur des outils issus de la
    communauté open-source : <https://github.com/cisagov/log4j-scanner>

## Solution

Il est fortement recommandé aux utilisateurs d'applications ou de
logiciels sur étagère basés sur la technologie Java/J2EE :

-   de conserver les journaux a minima depuis le 1er décembre 2021 à des
    fins d'analyse ultérieure ;
-   de préparer sans délai des mesures de préservation en cas d'incident
    majeur, notamment par la mise hors ligne de sauvegardes à jour ;
-   de filtrer et de journaliser les flux sortants des serveurs pour les
    limiter aux seuls flux autorisés vers des services de confiance ;
-   de prendre contact avec le développeur ou l'éditeur pour vérifier
    s'ils sont exposés à cette vulnérabilité et si un correctif est
    disponible.

Il est fortement recommandé aux développeurs/éditeurs :

-   d'inventorier les solutions affectées par les vulnérabilités ;
-   d'informer les utilisateurs et clients de leurs statuts et des
    actions en cours ;
-   de corriger les solutions en utilisant **à minima la version 2.17.0
    pour java 8** ou **la version 2.12.3 pour java 7** et **idéalement
    la version 2.17.1 pour java 8** ou **la version 2.12.4 pour java 7**
    ;
-   de fournir une nouvelle version de leurs solutions dans les plus
    brefs délais.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

------------------------------------------------------------------------

La mise à jour d’un produit ou d’un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommandé
d’effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l’application des mises à jour comme des correctifs
ou des changements de version.

[6] Référence CVE CVE-2021-44832

[5] Référence CVE CVE-2021-45105

Référence CVE CVE-2021-44228

[4] Référence CVE CVE-2021-45046

[2] liste des produits et de leurs statuts vis-à-vis de la vulnérabilité

Bulletin de sécurité Apache du 09 décembre 2021

[3] Référence CVE CVE-2021-4104

Version initiale

Complément concernant les versions vulnérables

complément concernant la jre

ajout d'aide à la détection, note sur l'utilisation des pare-feux applicatifs, complément sur les solutions.

Ajout de référence vers les outils de détection et note importante sur les méthodes d'attaque ainsi que les dernières versions de log4j

Evolution de la section solution

prise en compte de la CVE-2021-45105 et ajout d'éléments d'aide à la détection

correction motif de détection, complément outillage, note sur la possibilité d'exploiter la vulnérabilité sur une application interne

Prise en compte de la CVE-2021-44832

correction date 05 janvier 2022, ajout du fichier signatures

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans la bibliothèque de
journalisation Apache log4j. Cette bibliothèque est très souvent
utilisée dans les projets de développement d'application Java/J2EE ainsi
que par les éditeurs de solutions logicielles sur étagère basées sur
Java/J2EE.

Cette vulnérabilité permet à un attaquant de provoquer une exécution de
code arbitraire à distance s'il a la capacité de soumettre une donnée à
une application qui utilise la bibliothèque log4j pour journaliser
l'évènement. Cette attaque peut être réalisée sans être authentifié, par
exemple en tirant parti d'une page d'authentification qui journalise les
erreurs d'authentification.

Des preuves de concept ont déjà été publiées. Cette vulnérabilité fait
désormais l'objet d'une exploitation active.

### Détection

Le CERT-FR recommande de réaliser une analyse approfondie des journaux
réseau. Les motifs suivants permettent d'identifier une tentative
d'exploitation de cette vulnérabilité lorsqu'ils sont utilisés dans les
URLs ou certaines en-têtes HTTP comme *user-agent* :

>

>
>

>
>

>
> \${jndi:
>
>

>
>

>
>

>
> \$%7Bjndi:     (prend en compte un obscurcissement simple)
>
>

>
>

>
>

>
>

Cependant, les attaquants peuvent utiliser des moyens d’obscurcissement
pour contourner les motifs de détection précédents. Les motifs suivants
permettent de prendre en compte certaines méthodes d'obscurcissement
mais peuvent provoquer des faux positifs :

>

>
>

>
> \${\${
>
>

>
>

>
>

>
>  class="mx_EventTile_body" dir="auto">\${::-
>
>

>
>

>
>  class="mx_EventTile_body" dir="auto">%24%7B%3A%3A-
>
>

>
>

>
>  class="mx_EventTile_body" dir="auto">\${env:
>
>

>
>

>
>  class="mx_EventTile_body" dir="auto">\${date:
>
>

>
>

>
>  class="mx_EventTile_body" dir="auto">\${lower:
>
>

>
>

>
>  class="mx_EventTile_body" dir="auto">\${upper:
>
>

>
>

>
>  class="mx_EventTile_body" dir="auto">hostName}
>
>

>
>

>
>  class="mx_EventTile_body" dir="auto">}\${
>
>

>
>

>
> \${                   (génère beaucoup de faux positifs, mais très
> exhaustif)
>
>

Afin de déterminer si une tentative d'exploitation a réussi, et dans le
cas où vous disposeriez de journaux contenant des requêtes DNS, il est
recommandé de les corréler aux résultats des motifs précédemment
énoncés. En effet, si l’exécution d'une requête de type
*\${jndi:xxx://nom.domaine.com}* a fonctionné, une résolution DNS sera
alors effectuée pour résoudre le nom de domaine externe
*nom*.*domaine.com*. L'émission d'une requête DNS peut également faire
l'objet d'une trace dans les journaux du serveur applicatif. Ainsi, il
peut être utile de chercher le motif *com.sun.jndi.dns.DnsContext@* dans
ces journaux.

Note : une résolution de domaine externe ne signifie pas qu'une
exécution de code a réussi mais permet de confirmer que l'application
est vulnérable. Il sera donc nécessaire de poursuivre l'analyse des
journaux pour détecter une compromission.

En complément des informations ci-dessus, une requête de type
*\${jndi:dns://serveur_dns/enregistrement_TXT}* est également utilisable
par l'attaquant pour tester la présence de la vulnérabilité.

Il est également intéressant de rechercher les motifs suivants dans les
fichiers journaux des applications :

-   le motif *com.sun.jndi.ldap.LdapCtx@* (et non pas
    *com.sun.jndi.dns.DnsContext@* comme indiqué précédemment)
    apparaîtra lorsqu'une injection LDAP est utilisée pour récupérer du
    contenu qui ne serait pas un objet java au standard rfc2713 : il
    peut s'agir d'un scan de détection ou d'une tentative erronée d'un
    attaquant
-   l'injection sera enregistrée dans les journaux telle qu'elle a été
    soumise par l'attaquant si le serveur LDAP n'est pas joignable ou si
    l'objet qu'il souhaitait télécharger n'est pas trouvé sur le serveur
    LDAP : il est donc possible de trouver des tentatives d'injection
    sous une forme obscurcie dans les journaux, les motifs précédemment
    listés peuvent donc être utilisés pour identifier toutes les
    tentatives
-   une erreur contenant le motif "Reference Class Name:" suivi d'un nom
    de classe puis des lignes commençant par "*Type:*" et "*Content:*"
    peut apparaître dans les journaux si l'injection LDAP fonctionne
    mais que la classe contenant la charge utile ne peut pas être
    récupérée sur le serveur LDAP visé
-   il peut être intéressant de chercher des injections en DNS et LDAP
    basées sur la classe *JavaLookup* tels que *\${java:hw}*,
    *\${java:vm}* et *\${java:os}*. Ces dernières sont utilisées par les
    attaquants pour obtenir des informations sur la machine ciblée.*
    *

\[Mise à jour du 07 janvier
2022\] Le CERT-FR propose au téléchargement un ensemble de
règles de détection basées sur la syntaxe utilisée par l'outil suricata.
Ces règles peuvent être mises en œuvre, après adaptation, sur un
équipement de détection réseau ou un pare-feu applicatif. Un guide de
mise en œuvre est également proposé.

-   le guide est disponible ici.
-   les règles sont disponibles
    [ici](/uploads/anssi_cve_2021_44228_and_jndi_export_v3.txt).

### Précisions sur les CVE-2021-45046 et CVE-2021-45105

La version 2.15.0 recommandée jusqu'à présent est affectée par une autre
vulnérabilité, désignée par l'identifiant CVE-2021-45046 \[4\]. Cette
vulnérabilité permet à un attaquant non authentifié d'effectuer un déni
de service. Par ailleurs, des chercheurs ont mis en évidence la
possibilité d'exfiltrer des données dans certaines configurations non
détaillées.

Par ailleurs, les versions 2.16.0 et 2.12.2 sont affectées par une
nouvelle vulnérabilité, désignée par l'identifiant CVE-2021-45105 \[5\],
qui permet de provoquer un déni de service à distance.

### Précisions sur la CVE-2021-44832

La version 2.17.0 recommandée jusqu'à présent est affectée par une
vulnérabilité, désignée par l'identifiant CVE-2021-44832 \[6\]. Cette
vulnérabilité permet à un attaquant, autorisé à modifier le fichier de
configuration Log4J, d'effectuer une exécution de code à distance. La
complexité de l'attaque étant élevée, le CERT-FR continue de recommander
la mise à jour des composants Log4j à la version 2.17.0 pour java 8 et
2.12.3 pour java7. Par ailleurs, il est fortement recommandé de rester
attentif aux nouvelles vulnérabilités Log4j qui pourraient être
identifiées à l'avenir ainsi qu'aux correctifs proposés par Apache.

### Précisions sur les modes d'attaque

Il convient également de noter que des techniques permettent d'exploiter
la vulnérabilité localement sans recourir à un serveur tiers
malveillant. L'attaquant peut injecter un code malveillant dans la
requête initiale s'il a suffisamment d'informations sur l'application
vulnérable qu'il cible. Cette attaque requiert donc une première phase
de reconnaissance et de collecte de données. Cette phase est possible
tant que n'ont pas été appliqués : d'une part, un filtrage réseau
adéquat et d'autre part, le correctif ou, à défaut, les mesures de
contournement. Il est donc important de disposer des journaux de ces
environnements pour rechercher des éventuelles traces d'exfiltration de
données. Les moyens de détection précédemment peuvent être utilisés à
cette fin.

Pour rappel : une application utilisant une version non vulnérable de
log4j peut transmettre des données à une autre application qui utilise
une version vulnérable de cette bibliothèque. L’attaquant pourra
exploiter la vulnérabilité dans la seconde application en soumettant une
donnée malveillante via la première. Par conséquent, le CERT-FR
recommande de ne pas limiter l'identification de la vulnérabilité aux
seules applications exposées sur Internet, mais également aux
applications internes. L'utilisation d'outils tels que ceux listés
ci-dessous facilitera leur identification.

[MaJ] Vulnérabilité dans Apache Log4j


Windows 10 Version 21H2 pour systèmes 32 bits

Windows Server 2022 (Server Core installation)

Windows 10 Version 1809 pour systèmes x64

Windows 10 Version 21H2 pour systèmes ARM 64 bits

Windows Server 2019 (Server Core installation)

Windows 10 Version 20H2 pour systèmes x64

Windows 10 Version 20H2 pour systèmes ARM 64 bits

Windows 10 Version 21H1 pour systèmes 32 bits

Windows 10 Version 20H2 pour systèmes 32 bits

Windows Server 2019

Windows Server, version 20H2 (Server Core Installation)

Windows 10 Version 21H1 pour systèmes x64

Windows 10 Version 21H2 pour systèmes x64

Windows 10 Version 21H1 pour systèmes ARM 64 bits

Windows 10 Version 1809 pour systèmes ARM 64 bits

Windows 11 pour systèmes ARM 64 bits

Windows Server 2022

Windows 10 Version 1809 pour systèmes 32 bits

Windows 11 pour systèmes x64

## Contournement provisoire

\[Mise à jour du 13 janvier
2022\]

Attention : Les mesures d'atténuation proposées ci-dessous ne sont pas
encore présentes dans la version
[française](https://msrc.microsoft.com/update-guide/fr-FR/vulnerability/CVE-2022-21907)
de l'avis Microsoft et sont issues de la version
[anglaise](https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-21907).

Microsoft indique de supprimer la valeur de type DWORD
*EnableTrailerSupport* si elle est présente dans la clé :

`HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters`

Cette mesure de contournement est applicable uniquement sur les systèmes
Windows Server 2019 et Windows 10 version 1809. Elle ne peut pas être
mise en place sur les systèmes Windows 20H2 et supérieurs pour lesquels
l'application du correctif reste indispensable.

Pour rappel, les systèmes Windows 10 version 1809 ne reçoivent plus de
mises à jour de sécurité depuis le 11 mai 2021. Le CERT-FR recommande
fortement de mettre à niveau ces environnements à la dernière version
Windows 10.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

[1] Mise à jour exceptionnelle du 17 janvier 2022

Version initiale

Annule et remplace l'alerte CERTFR-2022-ALE-023

Prise en compte des informations contenues dans la mise à jour de l'avis Microsoft du 12 janvier 2022

Prise en compte de la mise à jour exceptionnelle du 17 janvier 2022

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Version du 18 janvier 2022\]

Le 17 janvier 2022, l'éditeur a publié une mise à jour
exceptionnelle afin de corriger plusieurs
dysfonctionnements importants pouvant être rencontrés lors de
l'installation des mises à jour liés au *Patch
Tuesday* de janvier \[1\]. Ces mises à jour sont accessibles
directement sur le catalogue Microsoft Update.

\[Version initiale\]

Le système d'exploitation Microsoft Windows propose un service de
gestion des requêtes HTTP sous la forme d'un pilote en mode noyau appelé
*http.sys*. Une vulnérabilité a été découverte dans ce pilote pour
Windows Server 2019, Windows Server 2022, Windows 10 et Windows 11. Elle
permet à un attaquant de provoquer une exécution de code arbitraire à
distance et l'éditeur considère qu'elle peut être exploitée dans le
cadre d'attaques à propagation de type "ver informatique".

Pour rappel, le pilote *http.sys* est notamment utilisé par Microsoft
IIS, le service Windows Remote Management (WinRM) ainsi que le service
SSDP. Il est donc présent sur les serveurs mais également sur les postes
de travail. Par conséquent, le CERT-FR recommande de considérer que
l'ensemble des machines utilisant une version de Windows affectée est
vulnérable.

D'après Microsoft, les environnements Windows Server 2019 et Windows 10
version 1809 ne sont pas vulnérables par défaut, sauf si la clé de
registre suivante est configurée de cette manière :

`HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters\ "EnableTrailerSupport"=dword:00000001`

Toutes les autres versions de Windows listées dans la section Systèmes
affectés sont vulnérables tant que le correctif n'a pas été appliqué.

Le système Windows 10 version 1909 n'est pas listé dans les Systèmes
affectés car le code contenant la vulnérabilité n'y figure pas.

[MaJ] Vulnérabilité dans Microsoft Windows

Bulletin de sécurité Microsoft CVE-2022-21907

Avis de sécurité CERT-FR CERTFR-2022-AVI-027


Spring Cloud Gateway versions 3.1.x antérieures à 3.1.1

Spring Cloud Gateway versions 3.0.x antérieures à 3.0.7

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis de sécurité CERTFR-2022-AVI-195

Version initiale

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans VMware Spring Cloud Gateway.
Elle permet à un attaquant de forger une requête malveillante
spécialement conçue afin de provoquer une exécution de code arbitraire à
distance.

Les applications utilisant Spring Cloud Gateway sont vulnérables à une
attaque par injection de code lorsque le point de terminaison
(*endpoint*) Gateway Actuator est activé, exposé et non sécurisé. Il est
défini par la route par défaut */actuator/gateway.*

Des preuves de concept sont actuellement disponibles sur internet.

Vulnérabilité dans VMware Spring Cloud Gateway

Bulletin de sécurité VMware cve-2022-22947 du 01 mars 2022


Windows 11 for x64-based Systems

Windows 11 for ARM64-based Systems

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows 7 for 32-bit Systems Service Pack 1

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 21H2 for x64-based Systems

Windows 8.1 for 32-bit systems

Windows 10 Version 1909 for x64-based Systems

Windows 10 for x64-based Systems

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows 10 Version 1909 for ARM64-based Systems

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 Version 1809 for 32-bit Systems

Windows 10 Version 1909 for 32-bit Systems

Windows 8.1 for x64-based systems

Windows Server 2012

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2022 (Server Core installation)

Windows Server 2016 (Server Core installation)

Windows RT 8.1

Windows Server 2019 (Server Core installation)

Windows Server 2012 R2 (Server Core installation)

Windows Server 2016

Windows 10 Version 21H2 for ARM64-based Systems

Windows 10 Version 21H1 for 32-bit Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows Server 2019

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 20H2 for x64-based Systems

Windows 7 for x64-based Systems Service Pack 1

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 for 32-bit Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 21H1 for ARM64-based Systems

Windows Server 2022

Windows 10 Version 21H1 for x64-based Systems

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

**\[mise à jour du 15 avril
2022\]**

Lorsque les correctifs ne peuvent pas être appliqués, il est préférable
de procéder, par ordre de préférence :

-   à la déconnexion des systèmes affectés du réseau ;
-   au filtrage, sur les systèmes affectés, des ports réseaux suivants
    en entrée :
    -   les ports TCP/139 et TCP/445 dans la mesure où *SMB* est un
        vecteur de transport de nombreuses interfaces *RPC* ;
    -   les ports UDP/135, TCP/135 ainsi que la plage de ports dynamique
        utilisés par l'écosystème *RPC.*

[1] Guide Microsoft sur la sécurisation du flux SMB

[3] Recommandations sur le nomadisme numérique

[2] Bulletin d'actualité CERT-FR

Version initiale

mise à jour des recommandations

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[mise à jour du 15 avril
2022\]

Une vulnérabilité a été découverte dans l'implémentation Microsoft du
protocole *RPC* - *Remote Procedure Call* -  protocole permettant
d'effectuer des appels de procédures sur des machines distantes. Elle
permet à un attaquant de provoquer une exécution de code arbitraire à
distance. En particulier, cette vulnérabilité affecte le protocole
*SMB* - *Server Message Block* - qui permet notamment le partage de
ressources comme les fichiers ou les imprimantes.

Le CERT-FR recommande d'appliquer la mise à jour dans les plus brefs
délais, en priorité sur les systèmes les plus critiques (notamment les
contrôleurs de domaine *Active Directory*). Au vu de la criticité de
cette vulnérabilité, l'éditeur a publié des correctifs de sécurité pour
des systèmes qui ne sont plus supportés (en particulier, Windows 7 et
Windows Server 2008 R2).

Il est également requis de procéder à une revue des règles de filtrage
afin de s'assurer du respect des bonnes pratiques de sécurisation des
environnements Microsoft (notamment \[1\], \[2\], \[3\]).

[MàJ] Vulnérabilité dans l'implémentation du protocole RPC par Microsoft

Bulletin de sécurité Microsoft du 12 avril 2022


F5 BIG-IP versions 15.x antérieures à 15.1.5.1

F5 BIG-IP versions 14.x antérieures à 14.1.4.6

F5 BIG-IP versions 16.x antérieures à 16.1.2.2

F5 BIG-IP versions 13.x antérieures à 13.1.5

Les versions suivantes de F5 sont également vulnérables mais ne sont plus maintenues par l’éditeur :

F5 BIG-IP des versions 12.1.0 aux versions 12.1.6

F5 BIG-IP des versions 11.6.1 aux versions 11.6.5

## Contournement provisoire

S’il n’est pas possible de procéder à l’installation d’une version de
BIG-IP corrigeant la vulnérabilité, se référer aux mesures de
contournement proposées par
l’éditeur [\[3\]](https://support.f5.com/csp/article/K23605346) à la
section *Mitigation*.

## Solution

Le CERT-FR recommande fortement d’appliquer les correctifs fournis par
l’éditeur, se référer à l’avis émis par le CERT-FR
[\[1\]](https://cert.ssi.gouv.fr/actualite/CERTFR-2022-ACT-019/)
[\[2\]](/avis/CERTFR-2022-AVI-419/) pour
plus d’information.

Pour les versions 11.x et 12.x de BIG-IP, il est nécessaire d’effectuer
une montée de version afin de corriger la vulnérabilité.
Se référer à l’article K5903
[\[4\]](https://support.f5.com/csp/article/K5903) pour identifier les
versions de BIG-IP supportées par F5.

De manière générale, il faut *a minima* prendre les mesures nécessaires
pour que l’interface de gestion d’un équipement ne soit accessible que
depuis un réseau sécurisé. Le CERT-FR rappelle également que l'éditeur a
publié des bonnes pratiques afin de sécuriser l'administration de ses
équipements [\[5\]](https://support.f5.com/csp/article/K13092). Il
convient notamment de :

-   Connecter le port d'administration sur un réseau d'administration
    sécurisé ;
-   Interdire l'accès aux interfaces d’administration (notamment mui et
    iControl) *via* les adresses IP *Self-IP* ;

Rappels :

-   Le guide d’hygiène informatique
    : <https://www.ssi.gouv.fr/uploads/2017/01/guide_hygiene_informatique_anssi.pdf>
-   Recommandations relatives à l’administration sécurisée des systèmes
    d’information
    : <https://www.ssi.gouv.fr/administration/guide/securiser-ladministration-des-systemes-dinformation/>
-   Recommandations sur le nomadisme numérique
    : <https://www.ssi.gouv.fr/guide/recommandations-sur-le-nomadisme-numerique/>

Liens :

-   \[1\] [Bulletin d’actualité
    CERTFR-2022-ACT-019](https://cert.ssi.gouv.fr/actualite/CERTFR-2022-ACT-019/)
-   \[2\] [Avis CERTFR-2022-AVI-419 - Multiples vulnérabilités dans les
    produits F5](/avis/CERTFR-2022-AVI-419/)
-   \[3\] [BIG-IP iControl REST vulnerability
    CVE-2022-1388](https://support.f5.com/csp/article/K23605346)
-   \[4\] [BIG-IP software support
    policy](https://support.f5.com/csp/article/K5903)
-   \[5\] [Overview of securing access to the BIG-IP
    system](https://support.f5.com/csp/article/K13092)

Version initiale

Cloture de l'alerte

Exécution de code arbitraire à distance

Atteinte à l'intégrité des données

Atteinte à la confidentialité des données

Summary:
La vulnérabilité
[CVE-2022-1388](https://www.cve.org/CVERecord?id=2022-1388) affectant
les équipements BIG-IP de F5 Networks a été annoncée le 4 mai 2022. Elle
permet de contourner le mécanisme d’authentification et d’invoquer les
fonctions d’interprétation de commandes systèmes disponibles au travers
de l’interface de programmation *(API)* iControl. Il est en particulier
possible d’invoquer une invite de commande *(bash)* qui sera exécutée
avec les droits *root*, permettant donc de prendre le contrôle de
l’équipement.

L’API iControl REST permet l’automatisation de certaines tâches
d’administration. Elle est accessible depuis l’interface
d’administration de l’équipement mais également depuis les adresses IP
dénommées *self-IP* qui peuvent être configurées *via* le menu *Network*
/ *Self-IPs* dans les différents VLANs auxquels ces équipements sont
connectés.

Le CERT-FR recommande de ne pas exposer les interfaces et API
d'administration sur Internet.

Cette vulnérabilité a déjà été mentionnée dans le bulletin d’actualité
hebdomadaire du 09 mai 2022. Toutefois, les analyses techniques publiées
récemment confirment la facilité d’exploitation de cette vulnérabilité
et des codes d’exploitation sont désormais disponibles. Par ailleurs,
certaines versions affectées ne disposent pas de correctif et les
possibilités d’une exploitation par l’intermédiaire d’un réseau interne
ne peuvent pas être exclues.

Vulnérabilité dans F5 BIG-IP


Windows 10 Version 21H1 pour systèmes 32 bits

Windows 10 Version 20H2 pour systèmes x64

Windows 8.1 pour systèmes 32 bits

Windows Server 2012 R2 (Server Core installation)

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (Server Core installation)

Windows Server 2016

Windows 10 Version 20H2 pour systèmes 32 bits

Windows 11 pour systèmes x64

Windows Server 2019

Windows Server, version 20H2 (Server Core Installation)

Windows 10 Version 21H1 pour systèmes x64

Windows 10 Version 1607 pour systèmes x64

Windows 11 pour systèmes ARM64

Windows 10 Version 21H1 pour systèmes ARM64

Windows Server 2012

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows 10 Version 21H2 pour systèmes 32 bits

Windows 10 Version 1607 pour systèmes 32 bits

Windows Server 2022 (Server Core installation)

Windows Server 2016 (Server Core installation)

Windows 7 pour systèmes 32 bits Service Pack 1

Windows 10 Version 1809 pour systèmes x64

Windows 10 pour systèmes x64

Windows RT 8.1

Windows Server 2019 (Server Core installation)

Windows Server 2008 pour systèmes 32 bits Service Pack 2 (Server Core installation)

Windows Server 2022 Azure Edition Core Hotpatch

Windows 7 pour systèmes x64 Service Pack 1

Windows 10 Version 21H2 pour systèmes x64

Windows 10 Version 21H2 pour systèmes ARM64

Windows Server 2008 pour systèmes x64 Service Pack 2 (Server Core installation)

Windows 8.1 pour systèmes x64

Windows 10 Version 20H2 pour systèmes ARM64

Windows 10 Version 1809 pour systèmes ARM64

Windows Server 2022

Windows 10 Version 1809 pour systèmes 32 bits

Windows 10 pour systèmes 32 bits

## Contournement provisoire

L'exécution du binaire *msdt.exe* par un document Office n'est pas une
pratique courante, le CERT-FR recommande donc d'appliquer le
contournement documenté par l'éditeur dans son billet de blogue du 30
mai 2022.

Microsoft propose de désactiver le protocole URL de MSDT en utilisant la
commande suivante, à lancer dans une invite de commandes avec les droits
administrateur, après avoir sauvegardé le registre :

>reg delete HKEY_CLASSES_ROOT\ms-msdt /f

La modification du registre est une opération délicate qui doit être
menée avec prudence. Il est notamment recommandé d’effectuer des tests
autant que possible.

## Solution

**\[Mise à jour du 15 juin 2022\]**

Le CERT-FR recommande fortement l'application du correctif publié par
l'éditeur. Se référer au bulletin de sécurité de l'éditeur pour
l'obtention des correctifs (cf. section Documentation).

------------------------------------------------------------------------

La mise à jour d'un produit ou d'un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommandé
d'effectuer des tests autant que possible, notamment afin de mesurer les
effets de bord possibles, avant tout déploiement en production. Des
dispositions doivent également être prises pour garantir la continuité
de service en cas de difficultés lors de l'application des mises à jour
comme des correctifs ou des changements de version.

Version initiale

Ajout d'une deuxième règle Sigma.

Correction d'un problème d'indentation dans la règle Sigma CVE-2022-30190_2.

Correctif proposé par l'éditeur.

Cloture de l'alerte

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 15 juin 2022\] Le mardi 14 juin 2022, l'éditeur a
publié des mises à jour permettant la correction de cette
vulnérabilité.

Le 27 mai 2022, un chercheur a identifié un document Word piégé sur la
plate-forme *Virus Total*. Lorsque ce document est ouvert, l'un des
objets *OLE (Object Linking and Embedding)* présent dans celui-ci
télécharge du contenu situé sur un serveur externe contrôlé par
l'attaquant. Ce contenu exploite une vulnérabilité permettant d'exécuter
du code malveillant *via* le binaire légitime* [Microsoft Support
Diagnostic Tool
(MSDT)](https://docs.microsoft.com/fr-fr/windows-server/administration/windows-commands/msdt)*,
*msdt.exe*, sous la forme d'un script *Powershell* encodé en base 64. Il
convient de noter que cette attaque fonctionne y compris lorsque les
macros sont désactivées dans le document Office.

Le 30 mai 2022, Microsoft a publié un avis de sécurité (cf. section
Documentation) dans lequel l'éditeur confirme la vulnérabilité, qui
porte l'identifiant CVE-2022-30190, ainsi que les versions vulnérables
du système d'exploitation Windows.

Dans un billet de blogue du même jour (cf. section Documentation),
Microsoft indique que si le fichier est ouvert par une application
Office, le mode *Protected View* ou *Application Guard for Office* est
enclenché et empêche la charge utile de s'exécuter.

Toutefois, plusieurs chercheurs affirment que cette vulnérabilité peut
être exploitée à l'aide d'un document au format RTF. Dans ce cas, la
charge utile peut ainsi être récupérée et exécutée lorsque le document
est prévisualisé (par exemple dans *Windows Explorer*) et donc sans
qu'il ne soit ouvert par l'utilisateur.

Cette vulnérabilité semble être utilisée dans des attaques ciblées et
Microsoft n'a pas annoncé de date de publication d'un correctif.

Le CERT-FR propose la règle Sigma suivante, encore expérimentale, pour
tenter de détecter l'exploitation de la vulnérabilité CVE-2022-30190 (ne
pas oublier de renommer le .txt en .yml) :

[Télécharger la
règle Sigma
CVE-2022-30190](/uploads/20220530_TLPWHITE_Sigma-CVE-2022-30190.txt)

Plusieurs chercheurs indiquent que d'autres vecteurs d'attaque peuvent
être utilisés pour appeler abusivement l'exécutable *msdt.exe*. Ceux-ci
citent notamment l'utilisation de la commande *wget* disponible avec
*Powershell*. Le CERT-FR propose donc une nouvelle règle Sigma qui
cherche aussi à détecter l'utilisation de *msdt.exe* en dehors du
contexte *Microsoft Office* (ne pas oublier de renommer le .txt en
.yml).

[Télécharger la
règle Sigma
CVE-2022-30190_2](/uploads/20220601_TLPWHITE_Sigma-CVE-2022-30190_2.txt)

[MàJ] Vulnérabilité dans Microsoft Windows

Bulletin de sécurité Microsoft CVE-2022-30190

Billet de blogue Microsoft


[mise à jour du 03 juin 2022 à 19h52]

Confluence Server et Data Server versions 1.3.0 à 7.4.x antérieures à 7.4.17

Confluence Server et Data Center versions 7.13.x antérieures à 7.13.7

Confluence Server et Data Center versions 7.14.x antérieures à 7.14.3

Confluence Server et Data Center versions 7.15.x antérieures à 7.15.2

Confluence Server et Data Center versions 7.16.x antérieures à 7.16.4

Confluence Server et Data Center versions 7.17.x antérieures à 7.17.4

Confluence Server et Data Center versions 7.18.x antérieures à 7.18.1

## Contournement provisoire

**\[mise à jour du 03 juin 2022 à 19h52\]**

Si l'application des correctifs ne peut être réalisée, et étant
donné que des attaques sont en cours, le CERT-FR recommande
fortement de bloquer sans délai toute communication entre les
serveurs Confluence et Internet. Idéalement, toute communication
entre un serveur Confluence et un réseau non sûr devrait être également
coupée.

Atlassian propose des mesures de contournements (cf. section
Documentation). La procédure diffère en fonction de la version de
Confluence et nécessite le téléchargement  d'un ou plusieurs fichiers.
Avec ces nouveaux éléments, le CERT-FR anticipe que des codes
d'exploitation supplémentaires seront rapidement développés et
probablement rendus publics.

## Solution

**\[mise à jour du 03 juin 2022 à
19h52\]**

Le CERT-FR recommande de privilégier la déconnexion du service
d'Internet tant que les correctifs ne sont pas appliqués et qu'un
contrôle pour détecter une éventuelle compromission n'a pas été réalisé.

Se référer à l'avis de l'éditeur pour l'obtention des correctifs (cf.
section Documentation).

[mise à jour] Avis de sécurité CERTFR-2022-AVI-521 du 03 juin 2022

Version initiale

Publication de mesures de contournement.

Publication de versions corrigeant la vulnérabilité

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
<strong>\[Mise à jour du 03 juin 2022 à 19h52\]</strong> Atlassian a publié des
correctifs.

Une vulnérabilité a été découverte dans Atlassian Confluence. Elle
permet à un attaquant non authentifié de provoquer une exécution de code
arbitraire à distance.

Cette vulnérabilité est actuellement exploitée de façon active par des
attaquants qui semblent déployer différentes portes dérobées
(*webshells*) pour maintenir leur présence sur les serveurs compromis.

Cette alerte sera mise à jour régulièrement.

[MàJ] Vulnérabilité dans Atlassian Confluence

Bulletin de sécurité Atlassian


Windows Server 2019

Windows 10 Version 21H1 for ARM64-based Systems

Windows 10 Version 1809 for x64-based Systems

Windows Server 2022 Azure Edition Core Hotpatch

Windows 10 Version 20H2 for x64-based Systems

Windows 10 Version 21H1 for x64-based Systems

Windows 7 for x64-based Systems Service Pack 1

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 21H2 for 32-bit Systems

Windows 10 Version 21H2 for ARM64-based Systems

Windows Server 2012

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2022 (Server Core installation)

Windows Server 2016 (Server Core installation)

Windows 8.1 for 32-bit systems

Windows 10 Version 21H2 for x64-based Systems

Windows 7 for 32-bit Systems Service Pack 1

Windows 11 for ARM64-based Systems

Windows RT 8.1

Windows 8.1 for x64-based systems

Windows Server 2019 (Server Core installation)

Windows Server 2012 R2 (Server Core installation)

Windows 10 Version 1607 for x64-based Systems

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2022

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 21H1 for 32-bit Systems

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows Server 2016

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows 11 for x64-based Systems

Windows 10 for x64-based Systems

Version initiale

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[MàJ du 31 octobre 2022\]

Une preuve de concept est publiquement disponible.

\[Publication initiale\]

Dans le cadre de son *Patch Tuesday*, en date du 13 septembre 2022,
Microsoft a indiqué l'existence de multiples vulnérabilités au sein de
plusieurs versions de Windows. Trois d'entre elles doivent faire l'objet
d'une attention particulière car considérées comme critiques. Elles
possèdent un score CVSSv3 de 9.8 et sont respectivement référencées par
les numéros suivants : CVE-2022-34718, CVE-2022-34721 et CVE-2022-34722.

La vulnérabilité CVE-2022-34718 permet à un attaquant non authentifié
d'envoyer un paquet IPv6 spécialement conçu à destination d'un nœud
Windows, provoquant une exécution de code arbitraire à distance.

Les vulnérabilités CVE-2022-34721 et CVE-2022-34722 affectent les
extensions du protocole Windows Internet Key Exchange (IKE). Elles
permettent à un attaquant non authentifié de provoquer une exécution de
code arbitraire à distance. D'après l'éditeur, bien que ces deux
vulnérabilités n'affectent que le protocole IKEv1, tous les serveurs
Windows seraient concernés car ils acceptent par défaut les paquets des
versions 1 et 2.

Par ailleurs, il est à noter que Microsoft a également mis à disposition
des correctifs de sécurité pour des systèmes qui ne sont plus supportés
(Windows 7 et Windows Server 2008R2).

Le CERT-FR a connaissance de références publiques mettant en exergue des
travaux ayant potentiellement débouché sur l'élaboration d'un code
d'exploitation pour l'une de ces vulnérabilités, et citant une intention
de publication prochaine d'un article. Le CERT-FR recommande fortement
d'appliquer les correctifs et, le cas échéant, de mettre en œuvre les
moyens d'atténuation proposés par l'éditeur.

Multiples vulnérabilités dans Microsoft Windows

Bulletin de sécurité Microsoft CVE-2022-34722 du 13 septembre 2022

Bulletin de sécurité Microsoft CVE-2022-34718 du 13 septembre 2022

Bulletin de sécurité Microsoft CVE-2022-34721 du 13 septembre 2022


Microsoft Exchange Serveur 2013 toutes versions

Microsoft Exchange Serveur 2016 toutes versions

Microsoft Exchange Serveur 2019 toutes versions

## Contournement provisoire

En attendant la publication des correctifs, le CERT-FR recommande
d'appliquer immédiatement les mesures d'atténuation proposées par
Microsoft \[1\].

L'éditeur recommande fortement de désactiver l’accès à PowerShell à
distance pour les utilisateurs non administrateurs \[3\]. **Le CERT-FR
recommande l'application de cette contre-mesure** car il s'agit de la
protection la plus efficace identifiée à ce jour. Il conviendra
de tester la configuration afin d'identifier les éventuels effets de
bord sur les procédures automatisées basées sur Powershell.

Par ailleurs, et de façon complémentaire, Microsoft a publié un code
PowerShell permettant d'appliquer les mesures d'atténuation pour la
CVE-2022-41040 (réécriture de l'URL) \[2\]. De plus, une mise à jour de
l'outil *EEMS* (*Exchange Emergency Mitigation Service*), ainsi que des
éléments pour l'outil *AMSI* (*AntiMalware Scan Interface*) ont été
proposés par Microsoft.

Le code PowerShell de Microsoft permettant d'appliquer la mesure
d'atténuation *via* le module *URL Rewrite* a été mis à jour pour
renforcer son efficacité contre des variations de la requête
malveillante initialement observée \[2\]. Afin d'appliquer cette
modification, il est nécessaire de télécharger puis relancer ce nouveau
code ou modifier directement la règle dans le module *URL Rewrite* avec
la valeur suivante : "`.*autodiscover\.json.*Powershell.*`".

Afin de prévenir tout type de coutournement de la règle
"`.*autodiscover\.json.*Powershell.*`" par le biais d'encodage, le
CERT-FR rappelle qu'il faut modifier la condition d'entrée de la règle
susmentionnée avec la valeur suivante :  `{UrlDecode:{REQUEST_URI}}`.
Pour plus d'informations, veuillez-vous référer à l'étape 10 du blog de
Microsoft \[1\].

Le *Microsoft Patch Tuesday* du 11 octobre 2022 ne propose aucun
correctif pour ces vulnérabilités. Il est essentiel de maintenir
l'application des contournements mentionnés ci-avant.

## Détection

Le billet de blogue de l'éditeur documente quelques éléments d'aide à la
détection de ces vulnérabilités \[1\].

Le CERT-FR recommande de réaliser une analyse approfondie des journaux
réseau des serveurs IIS (sauvegardés par défaut dans le dossier :
%SystemDrive%\\inetpub\\logs\\LogFiles). Les commandes suivantes
permettent d'identifier une exploitation de la vulnérabilité
CVE-2022-41040  :

-   sur un système Windows :
    `Get-ChildItem -Recurse -Path <Path_IIS_Logs> -Filter "*.log" | Select-String -Pattern '/powershell.*autodiscover.json.*200'`;
-   sur un système Linux :
    `cat <Path_IIS_Logs>/*.log | grep -i -e '/powershell.*autodiscover.json.*200'`.

Si une répartition de charge (*load-balancing*) est mise en œuvre, ces
commandes doivent être appliquées sur les journaux de chacun des nœuds.
Il est possible d'identifier une exploitation réussie de la
CVE-2022-41040 si, à la suite de la première requête, une seconde
requête *HTTP* de type POST commençant par le motif : `/PowerShell` a
été exécutée par le serveur. Dans ce cas là, une analyse forensique des
serveurs Exchange doit être engagée.

En cas de suspicion de compromission, les bons réflexes en cas
d'intrusion sur votre système d'information sont rappelés
[ici](/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/).

## Solution

\[Mise à jour du 09 novembre 2022\]
Se référer au bulletin de sécurité de l'éditeur pour
l'obtention des correctifs (cf. section Documentation \[4\]).

[mise à jour] Avis CERTFR-2022-AVI-876 du 03 octobre 2022

[1] Billet de blog Microsoft du 29 septembre 2022

[2] Code powershell appliquant les mesures d'atténuation

[3] Documentation du contrôle d'accès PowerShell à distance

Les bons réflexes en cas d’intrusion sur un système d’information

[4] Avis Microsoft du 08 novembre 2022

Version initiale

Mise à jour suite à l'identification de codes d'exploitation

Recommandation concernant les contournements

Ajout d'éléments de détection pour la CVE-2022-41040

Ajout d'éléments afin d'éviter les contournements liés à l'encodage

Identification d'incidents liés à l'exploitation de cette vulnérabilité.

Clarification concernant les codes d'exploitation

le Patch Tuesday ne propose aucun correctif. Maintenir les contournements en place.

Publication du correctif dans le cadre du Patch Tuesday du 08 novembre 2022

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 09 novembre 2022\]
L'éditeur a publié un correctif (cf. section solution).

En date du 29 septembre 2022, Microsoft a indiqué l'existence de deux
vulnérabilités, de type zéro-jour, au sein de Windows Exchange 2013,
2016 et 2019.

Ces vulnérabilités sont les suivantes :

-   CVE-2022-41040 : Vulnérabilité de type injection de requêtes forgées
    côté serveur (*Server Side Request Forgery, SSRF*) exploitable par
    un attaquant authentifié ;
-   CVE-2022-41082 : Vulnérabilité permettant à un attaquant authentifié
    d'exécuter du code arbitraire à distance.

Dans le cadre d'une attaque, la CVE-2022-41040 peut permettre à un
attaquant d'exploiter à distance la CVE-2022-41082. Selon l'éditeur, ces
deux vulnérabilités ne sont exploitables que si l'attaquant est déjà
authentifié. Un correctif spécifique est en cours de développement
par Microsoft.

Ces vulnérabilités doivent faire l'objet d'une prise en compte
immédiate, car elles ont été utilisées dans le cadre d'attaques ciblées.
Le CERT-FR n'a pour le moment pas connaissance des conditions ayant
permis aux attaquants d'obtenir un accès authentifié sur les serveurs
ciblés.

Le CERT-FR a connaissance de codes d'exploitation publics pour la
CVE-2022-41040.

Le CERT-FR a connaissance
d'incidents en France impliquant l'exploitation de ces
vulnérabilités.

[MaJ] Multiples vulnérabilités dans Microsoft Exchange

Bulletin de sécurité Microsoft


Zimbra Collaboration Suite (ZCS) toutes versions utilisant cpio

## Contournement provisoire

L'éditeur n'a pas publié de correctif pour cette vulnérabilité.
Cependant, il est assez aisé de s'en prémunir en installant l'utilitaire
*pax*, disponible *via* le paquet du même nom, puis en redémarrant
l'application Zimbra (les commandes sont détaillées par l'éditeur
\[1\]).

## Détection

Le CERT-FR recommande de réaliser une analyse approfondie des journaux
réseau des serveurs Zimbra. Il est possible d'obtenir la liste des
archives au format .tar, .rpm ou .cpio qui ont été téléversées *via* la
commande suivante :
`cat /opt/zimbra/log/mailbox.log | grep -i -e ".*FileUploadServlet.*name=.*\(.cpio\|.tar\|.rpm\),"`.
Ces archives devront ensuite être analysées pour tenter d'identifier des
tentatives d'exploitation de la vulnérabilité. Cependant, un attaquant
peut dissimuler ses traces dans le cas où il a réalisé une élévation de
privilège par le biais d'une autre vulnérabilité.

En cas de suspicion de compromission, il est recommandé de consulter les
[bons réflexes en cas d'intrusion sur votre système
d'information](/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/).

## Solution

\[MaJ 12 octobre 2022\] Se référer au bulletin de sécurité de l'éditeur
pour l'obtention des correctifs (cf. section
Documentation).

Avis CERT-FR CERTFR-2022-AVI-902 du 12 octobre 2022

Bons réflexes en cas d'intrusion sur votre système d'information

Bulletin de sécurité Zimbra du 10 octobre 2022

Version initiale

Correctif disponible.

Exécution de code arbitraire à distance

Summary:
<strong>\[MaJ 12 octobre 2022\] </strong>Un correctif est désormais disponible (cf.
section Documentation).

<strong>\[Publication initiale\]</strong>

Le 15 septembre 2022, l'éditeur Zimbra a publié un avis de sécurité
mentionnant une vulnérabilité dans l'implémentation de *cpio* par son
moteur d'antivirus (Amavis). L'outil d'extraction d'archive *cpio* est
utilisé par Zimbra dès lors que l'utilitaire *pax* n'est pas installé*.*
Cette vulnérabilité permet à un attaquant non authentifié de téléverser
ou écraser un fichier sur le serveur. Par ce biais, l'attaquant à la
possibilité de déposer une porte dérobée afin de pouvoir exécuter du
code arbitraire à distance sur la machine. En effet, si un attaquant
envoie un courriel contenant une archive piégée avec le format .cpio,
.rpm ou .tar à une instance de Zimbra ne disposant pas de l'utilitaire
*pax*, alors, lors du processus d'extraction par Amavis la vulnérabilité
sera déclenchée.

Le 25 septembre, le NIST NVD attribue à cette vulnérabilité
l'immatriculation CVE-2022-41352. Cette vulnérabilité est simple à
exploiter et pourrait être combinée avec une autre vulnérabilité de type
élévation de privilèges, telle que la CVE-2022-37393, pour prendre le
contrôle total de la machine.

Le CERT-FR a connaissance de cas d'exploitation de cette vulnérabilité
et de codes d'exploitation publiquement disponibles.

[MaJ] Vulnérabilité dans Zimbra Collaboration

[1] Bulletin de sécurité Zimbra


GLPI versions 9.5.x antérieures à 9.5.9

GLPI versions 10.0.x versions antérieures à 10.0.3

## Contournement provisoire

S'il n'est pas possible de déployer le correctif rapidement, il est
fortement recommandé :

-   de désactiver l’option *Enable login with external token* dans le
    menu de configuration de l’API ;
-   de supprimer le fichier */vendor/htmlawed/htmlawed/htmLawedTest.php*

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

[2] Bons réflexes en cas d'intrusion sur votre système d'information

[1] Guide ANSSI pour la sécurisation des services exposés sur Internet

Bulletin d'actualité CERTFR-2022-ACT-041 du 20 septembre 2022

Version initiale

Contournement de la politique de sécurité

Exécution de code arbitraire à distance

Summary:
Le 14 septembre 2022, l'éditeur de GLPI (Gestionnaire Libre de Parc
Informatique) a déclaré plusieurs vulnérabilités sur le produit, dont
deux critiques. Elles permettent à un attaquant de provoquer une
exécution de code arbitraire à distance et un contournement de la
politique de sécurité.

La vulnérabilité référencée par l'identifiant CVE-2022-35914 affecte
bibliothèque tierce - *htmLawed* - qui est embarquée par GLPI. Elle est
due à la présence d’un fichier de test *htmLawedTest.php* et permet à un
attaquant non authentifié d’exécuter du code arbitraire à distance.

La seconde vulnérabilité immatriculée CVE-2022-35947 permet à un
attaquant de réaliser une injection SQL afin d'obtenir une connexion
avec n’importe quel utilisateur ayant au préalable défini une clé API.

Le CERT-FR a publié un bulletin d'actualité le 20 septembre 2022 afin de
signaler l'existence de ces vulnérabilités.

Le CERT-FR a connaissance de nombreux
incidents liés à l'exploitation de la vulnérabilité immatriculée
CVE-2022-35914.

## DÉTECTION

Il est recommandé d'effectuer une vérification des journaux à la
recherche de tentatives d'accès aux ressources suivantes :

-   */vendor/htmlawed/htmlawed/htmLawedTest.php*
-   */vendor/htmlawed/htmlawed/404.php*
-   */vendor/*

Par ailleurs, des requêtes vers les ressources suivantes peuvent être en
lien avec l’attaque et doivent donc faire l'objet d'une attention
particulière :

-   */redistest.php*
-   */css/Arui.php*
-   */css/legacy/Arui.php*
-   */css/legacy/Arui1.php*

Si ces requêtes sont observées, il sera alors nécessaire d'effectuer une
vérification supplémentaire à la recherche de fichiers malveillants
éventuellement déposés par un attaquant pour lui permettre de maintenir
un accès au système compromis.

Le CERT-FR tient à rappeler plusieurs points importants :

-   Les produits tels que GLPI ne devraient pas être exposés sur
    Internet.
-   En cas d'obligation d'accès depuis l'extérieur, des mesures de
    sécurité doivent être mises en œuvre \[1\].
-   Dans tous les cas, le dossier */vendor/* qui contient les
    bibliothèques tierces ne devrait pas être publiquement accessible
    depuis Internet. Un tel dossier doit être déplacé en dehors de la
    racine du serveur Web de façon à prévenir tout accès par adressage
    direct aux fichiers présents dans ce dossier. Il n'existe aucune
    raison légitime qui justifierait qu'un visiteur puisse avoir accès à
    ce type de dossier.
-   Enfin, des restrictions d'accès direct sur le dossier */vendor/*
    doivent-être mises en place par le biais des configurations sur le
    serveur Web.

En cas de suspicion de compromission, il est recommandé de consulter les
[bons réflexes en cas d'intrusion sur votre système
d'information](/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/)
\[2\].

Multiples vulnérabilités dans GLPI

Bulletin de sécurité GLPI


FortiProxy versions 7.2.x antérieures à 7.2.1

FortiProxy versions 7.0.x antérieures à 7.0.7

FortiSwitchManager versions 7.x antérieures à 7.2.1

FortiOS versions 7.2.x antérieures à 7.2.2

FortiOS versions 7.0.x antérieures à 7.0.7

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

L'application seule des correctifs n'est pas suffisante. En effet, si un
attaquant a exploité la vulnérabilité avant leur application, il a pu
déposer une porte dérobée qui lui permettra de se connecter
ultérieurement au système. A titre d'exemple, les codes d’exploitation
observés jusqu'ici déposent une clé publique SSH.

D'autres méthodes d'attaques, permettant, entre autres, des fuites de
données ou une exécution de code arbitraire, ne sont pas à exclure.

Les tentatives d'exploitation liées à ces codes publics peuvent être
détectées en vérifiant, dans les journaux de l'équipement, la présence
d'un *"User-Agent"* égal à *"Report Runner"*
ou *"Node.js"*, ainsi que la présence du motif *"127.0.0.1"* dans le
champ *"Forwarded"*.

Ces marqueurs préliminaires sont fournis à titre indicatif et ne sont
pas exhaustifs.

## Contournement provisoire

Dans son avis de sécurité (cf. section Documentation), Fortinet détaille
la procédure pour désactiver l'interface d’administration ou restreindre
son accès à des adresses ip de confiance.

Bulletin d'actualité CERT-FR CERTFR-2022-ACT-044 du 11 octobre 2022

[1] Recommandations relatives à l’administration sécurisée des systèmes d’information

Le guide d'hygiène informatique

Avis CERT-FR CERTFR-2022-AVI-894 du 11 octobre 2022

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 07 octobre 2022, des informations ont circulé concernant l’existence
d’une vulnérabilité critique dans les produits Fortinet. Le 11 octobre
2022, l’éditeur a publié un avis de sécurité détaillant l’existence
d’une vulnérabilité permettant à un attaquant non authentifié de pouvoir
réaliser des actions au travers de l’interface d’administration.

L’éditeur indique que cette vulnérabilité a fait l’objet d’une attaque
ciblée.

Le 13 octobre 2022, des chercheurs ont publié un rapport détaillé ainsi
qu'une preuve de concept. Depuis cette publication, le CERT-FR constate
que des variations de ce code d'exploitation sont publiquement
disponibles.

Le CERT-FR anticipe des exploitations en masse de la
vulnérabilité CVE-2022-40684, d'autant plus que de nombreuses interfaces
d’administration de produits Fortinet sont exposées sur Internet.

L'exposition d'une interface de gestion sur Internet est contraire aux
bonnes pratiques. Dans le cas où l’administration à distance est
impératif, une première mesure temporaire peut consister à restreindre
l'accès à des adresses ip de confiance. Il cependant conseillé de suivre
les recommandations du guide publié par l'ANSSI pour la sécurisation de
l'administration du SI \[1\].

Vulnérabilité dans les produits Fortinet

Bulletin de sécurité Fortinet FG-IR-22-377 du 10 octobre 2022


FortiOS versions antérieures à 6.2.12

FortiOS-6K7K versions 6.0.x antérieures à 6.0.15

FortiOS-6K7K versions 6.4.x antérieures à 6.4.10

FortiOS-6K7K versions 7.0.x antérieures à 7.0.8

FortiOS versions 6.4.x antérieures à 6.4.11

FortiOS versions 7.2.x antérieures à 7.2.3

FortiOS-6K7K versions 6.2.x antérieures à 6.2.12

FortiOS versions 7.0.x antérieures à 7.0.9

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## DÉTECTION

L'application seule des correctifs n'est pas suffisante. En effet, si un
attaquant a exploité la vulnérabilité avant leur application, il a pu
déposer une porte dérobée qui lui permettra de se connecter
ultérieurement au système.

Il est recommandé d'effectuer une analyse des systèmes notamment à
l'aide des indicateurs de compromission fournis par l'éditeur :
<https://www.fortiguard.com/psirt/FG-IR-22-398>. Ces marqueurs
préliminaires sont fournis à titre indicatif et ne sont pas exhaustifs.

## Contournement provisoire

Il est recommandé de désactiver le service VPN.

Avis CERTFR-2022-AVI-1090 du 13 décembre 2022 https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-1090

Le guide d'hygiène informatique

Modification des versions affectées par la vulnérabilité CVE-2022-42475

Version initiale

ajout du terme anglais pour "dépassement de tas"

Exécution de code arbitraire à distance

Summary:
Le 12 décembre 2022, l'éditeur Fortinet a publié un avis de sécurité
mentionnant une vulnérabilité critique dans son produit FortiOS SSL-VPN.
Cette vulnérabilité de débordement de tas (*heap overflow*) permet à un
attaquant distant non authentifié d'exécuter du code ou des commandes
arbitraires *via* des requêtes spécifiquement conçues.

Fortinet a connaissance d'un cas où cette vulnérabilité a été exploitée.
Le CERT-FR anticipe des exploitations en masse de la vulnérabilité
CVE-2022-42475, d'autant plus que de nombreuses interfaces
d’administration de produits Fortinet sont exposées sur Internet.

[MàJ] Vulnérabilité dans FortiOS SSL-VPN

Bulletin de sécurité Fortinet FG-IR-22-398 du 12 décembre 2022


Citrix ADC versions 13.x antérieures à 13.0-58.32

Citrix ADC toutes versions antérieures à 12.1-65.25

Citrix ADC versions 12.1-FIPS antérieures à 12.1-55.291

Citrix ADC versions 12.1-NDcPP antérieures à 12.1-55.291

Citrix Gateway versions 13.x antérieures à 13.0-58.32

Citrix Gateway toutes versions antérieures à 12.1-65.25

Tous les produits Citrix Gateway et Citrix ADC disposant d'une version antérieure à 12.1 sont en fin de vie (EoL) et ne bénéficieront donc pas de correctif pour cette vulnérabilité. L'éditeur recommande au client disposant d'une version antérieure à 12.1 de migrer vers une version encore maintenue.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## DÉTECTION

L'application seule des correctifs n'est pas suffisante. En effet, si un
attaquant a exploité la vulnérabilité avant leur application, il a pu
déposer une porte dérobée qui lui permettra de se connecter
ultérieurement au système.

Il est recommandé d'effectuer une analyse des systèmes notamment à
l'aide des indicateurs de compromission \[1\]. Ces marqueurs
préliminaires sont fournis à titre indicatif et ne sont pas exhaustifs.

[1] Indicateurs de compromission concernant la vulnérabilité CVE-2022-27518

Avis CERTFR-2022-AVI-1091 du 13 décembre 2022 https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-1091

Version initiale

Ajout d'éléments de détection

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
Le 13 décembre 2022, Citrix a indiqué avoir connaissance d'une
vulnérabilité de type jour-zéro (*zero-day*) affectant les produits
Citrix ADC et Citrix Gateway. Cette vulnérabilité, immatriculée
CVE-2022-27518, permet à un attaquant à distance et non authentifié
d'exécuter du code arbitraire sur l'équipement.

L'exploitation de la vulnérabilité est uniquement possible si le produit
Citrix est configuré en mode IdP SAML ou SP SAML. Il est possible de
vérifier la configuration en inspectant le fichier *ns.conf*. Si les
lignes `add authentication samlAction` ou
`add authentication samlIdPProfile` sont présentes et que le produit est
dans une version affectée, alors il doit être considéré comme
vulnérable.

L'éditeur a connaissance d'exploitation de cette vulnérabilité sur des
équipements non mis à jour. Le CERT-FR anticipe donc des exploitations
en masse de la vulnérabilité CVE-2022-27518.

##

[MàJ] Vulnérabilité dans Citrix ADC et Gateway

Bulletin de sécurité Citrix du 13 décembre 2022


AMI MegaRAC SPx-13 versions 0 à SPx-13-update-4.00

AMI MegaRAC SPx-12 versions 0 à SPx-12-update-6.00

Bulletin de sécurité Lenovo du 12 septembre 2022

Bulletin de sécurité Gigabyte du 13 décembre 2022

Bulletin de sécurité Hewlett Packard 22 novembre 2022

Bulletin de sécurité Intel du 12 mai 2022

Version initiale

Exécution de code arbitraire à distance

Summary:
## Contexte

Le 05 décembre 2022, trois vulnérabilités respectivement identifiées par
les numéros CVE-2022-40259, CVE-2022-40242 et CVE-2022-2827 ont été
signalées dans la solution d’administration à distance MegaRAC de
l’éditeur AMI.

La solution MegaRAC s’appuie sur un BMC (Baseboard Management
Controller) : un microcontrôleur intégré à la carte mère d’un serveur
(ou installé comme carte fille) qui possède son propre stockage, son
propre système d’exploitation et peut disposer d’un port réseau dédié ou
partagé avec le système principal. Ce microcontrôleur est utilisé afin
de fournir des capacités de gestion à distance en mode "hors bande" et
"hors tension". Il permet aux administrateurs d’effectuer à distance un
certain nombre de tâches qui nécessiteraient autrement un accès physique
au serveur. Le processeur BMC dispose en effet d’accès aux différents
composants de la carte mère, ce qui lui permet de surveiller le
matériel, mettre à jour le micrologiciel du BIOS, mettre l'hôte sous
tension, et permettre un déport clavier-écran-souris *via* le réseau.
Souvent, il est connecté au bus PCIe et bénéficie d’un accès direct plus
ou moins large à la mémoire en lecture et écriture (DMA, Direct Memory
Access).

Ce contrôleur peut être accédé par différentes interfaces :

-   IPMI (Intelligent Platform Management Interface) : il s’agit d’un
    ensemble de spécifications d’interface permettant d’accéder aux
    fonctions du BMC *via* le réseau IP ;
-   Redfish, successeur de IPMI, proposant une interface RESTful pour la
    gestion des serveurs, du stockage et des réseaux. Redfish est pris
    en charge par les principaux fournisseurs de serveurs et
    d'infrastructures, ainsi que par le projet de micrologiciel OpenBMC
    ;
-   des protocoles réseau tels que SSH.

De nombreux constructeurs de carte mère intègrent la solution AMI
MegaRAC dans leurs modèles pour serveurs.

## Description

Ces trois vulnérabilités, d'une gravité moyenne à critique permettent
une exécution de code à distance et un accès non autorisé à des
périphériques requérant normalement des privilèges administrateur.

La première vulnérabilité, désignée par l’identifiant CVE-2022-40242,
concerne l’existence d’un compte administrateur disposant d’un mot de
passe par défaut.

La seconde vulnérabilité, CVE-2022-2827, permet d’énumérer les comptes
configurés au niveau du BMC.

Enfin, la troisième vulnérabilité, CVE-2022-40259, offre la possibilité
à un attaquant distant de tirer parti d’une mauvaise gestion des
paramètres fournis dans l’URL pour exploiter un appel dans
l’implémentation de l’API Redfish (IPMI). Cette vulnérabilité de type
exécution de code arbitraire à distance requiert un niveau de privilège
minimal de type « callback » ou supérieur.

L’attaquant pourra ainsi tirer parti des deux premières vulnérabilités
pour obtenir un compte permettant d’exploiter la troisième.

La plupart des serveurs ont une configuration d’usine avec les
interfaces IPMI ou Redfish activées et accessibles *via* un port réseau
dédié ou *via* l’interface réseau principale de la carte mère, qui est
alors partagée de manière transparente avec le système d’exploitation.
Cette interface du BMC et son adressage sont généralement invisibles du
système d’exploitation et des outils d’inventaire installés. Par
ailleurs, l’une des fonctions du BMC est de pouvoir arrêter ou démarrer
un serveur à distance, il reste donc alimenté et accessible *via* les
interfaces IPMI, Redfish ou SSH même lorsque le serveur est éteint. En
l’absence de procédure spécifique de configuration à la mise en service
d’un serveur (spécifiquement pour ne pas exposer cette interface
ailleurs que sur un réseau dédié à la gestion hors bande), il est très
probable que les interfaces d’accès au BMC soient exposées par
inadvertance.

Pour l’heure, rien n’indique que ces vulnérabilités aient pu faire
l’objet d’attaques ciblées. Pour autant, ces vulnérabilités présentent
un risque majeur car la solution MegaRAC est intégrée par de nombreux
constructeurs de serveurs. La complexité de la chaîne
d’approvisionnement ralentit le déploiement des correctifs, augmentant
significativement l’exposition des serveurs utilisant cette solution à
des attaques.

Chaînées ensemble, ces vulnérabilités permettent de prendre le contrôle
à distance des serveurs, le vol de secrets critiques (par exemple
empreintes et mots de passe en mémoire d’un contrôleur de domaine), le
déploiement à distance de logiciels malveillants (par exemple des
rançongiciels ou des implants de micrologiciel) y compris sur des
machines virtuelles hébergées sur le serveur physique vulnérable. Du
fait de son ancrage au niveau matériel, l’installation d’un implant au
sein de l’IPMI constituerait une porte dérobée de premier choix, car
celui-ci serait persistant à une réinstallation du système hôte voire à
un changement de disque dur du serveur.

## Recommandations

<div markdown="1">

Au regard des possibilités offensives induites et du nombre
d’équipements vulnérables, le CERT-FR recommande de manière générale, et
pour l’ensemble des systèmes de gestion hors bande, de :

-   désactiver les interfaces d’accès au BMC si celui-ci n’est pas
    utilisé dans le cadre de la supervision et de l’administration à
    distance\* ;
-   appliquer les correctifs publiés par les fabricants ;
-   s’assurer que tous les accès réseau aux sous-systèmes BMC (IPMI,
    Redfish, SSH, etc.) sont uniquement permis depuis sur un réseau de
    gestion dédié ;
-   activer les fonctionnalités de pare-feu proposées par IPMI ou
    Redfish afin de restreindre l’accès aux interfaces aux seuls postes
    d’administration ;
-   mettre en place un système de journalisation distante :
    -   authentification
    -   autorisation (utilisateurs / services)
    -   état du système (mise sous tension / hors tension, redémarrage)
    -   changements système (mise à jour du micrologiciel, chargement du
        micrologiciel après une compromission du système hôte)
-   désactiver ou changer les identifiants des comptes installés par
    défaut au niveau du BMC ;
-   respecter le principe du moindre privilège pour les actions de
    supervision ou de gestion au travers du BMC (rôles root,
    administrator, operator, user et callback).

</div>

\* Il convient de noter que cela ne désactive pas le fonctionnement du
contrôleur BMC mais réduit son exposition depuis le réseau

Multiples vulnérabilités dans AMI MegaRAC

Rapport de découverte Eclypsium du 5 décembre 2022


FortiOS versions 6.x antérieures à 6.4.12

FortiOS versions 7.2.x antérieures à 7.2.4

FortiOS versions 7.0.x antérieures à 7.0.10

## Solution

Le CERT-FR recommande fortement d’appliquer les correctifs fournis par
l’éditeur, se référer à l’avis émis par le CERT-FR \[2\] pour plus
d’informations.

L'application seule des correctifs n'est pas suffisante puisque les
attaquants disposent de moyens de persistance leur permettant de se
connecter ultérieurement au système.

Il est recommandé d'effectuer une analyse des systèmes FortiGate et
FortiManager, notamment à l'aide des indicateurs de compromission
fournis par l'éditeur dans son billet de blog et dans les précédents
avis de sécurité émis. Ces marqueurs sont donnés à titre indicatif et
n'ont pas été vérifiés par le CERT-FR.

[2] Avis CERT-FR CERTFR-2023-AVI-0199 du 08 mars 2023

[1] Recommandations relatives à l’administration sécurisée des systèmes d’information

Le guide d'hygiène informatique

Billet de blog Fortinet portant sur l'analyse de la vulnérabilité de l'avis FG-IR-22-369 du 09 mars 2023

Les bons réflexes en cas d’intrusion sur un système d’information

Version initiale

Contournement de la politique de sécurité

Exécution de code arbitraire à distance

Summary:
Le 07 mars 2023, Fortinet a publié un avis de sécurité détaillant
l’existence d’une vulnérabilité de type traversée de chemin (*path
traversal*) permettant à un attaquant authentifié avec un compte à
privilèges de lire et d'écrire des fichiers arbitrairement au travers de
l'interface en ligne de commande.

Le 09 mars 2023, Fortinet a publié un billet sur son blog détaillant
l'analyse de la compromission de plateformes de pare-feux FortiGate avec
le système FortiOS par l'exploitation de la vulnérabilité CVE-2022-41328
détaillé dans l'avis FG-IR-22-369.

Fortinet indique que cette vulnérabilité est activement exploitée dans
le cadre d'attaques ciblées. C'est lors d'une réponse à incident
impliquant des pare-feux FortiGate gérés par une console FortiManager
que les équipes de Fortinet ont pu identifier les informations
ci-dessous :

-   Le vecteur de compromission initial semble provenir de la console
    FortiManager, ceci est déduit par la temporalité et la ressemblance
    des attaques simultanées sur différents pare-feux gérés par la même
    console ;
-   Le fichier */sbin/init* est modifié et le fichier */bin/fgfm* est
    créé, notamment pour assurer la persistance et ajouter des
    fonctionnalités de contrôle ;
-   Dans les cas connus de l'éditeur, les pare-feux impactés ont été
    brutalement arrêtés et leur redémarrage a été empêché par une
    protection du système contre la modification du microgiciel (option
    FIPS).

Remarque : les moyens ayant permis la prise de contrôle de la console
FortiManager ne sont pas précisés par l'éditeur  (vols d'identifiants,
exploitation d'une vulnérabilité précédente, ...).

Pour rappel, le
CERT-FR recommande de mettre en place une infrastructure sécurisée pour
l'administration des équipements et des services \[1\].

Vulnérabilité dans Fortinet FortiOS

Bulletin de sécurité Fortinet FG-IR-22-369 du 07 mars 2023


Microsoft Office LTSC 2021 pour éditions 64 bits

Microsoft Office LTSC 2021 pour éditions 32 bits

Microsoft Office 2019 pour éditions 32 bits

Microsoft 365 Apps pour Entreprise pour systèmes 32 bits

Microsoft 365 Apps pour Entreprise pour systèmes 64 bits

Microsoft Outlook 2013 RT Service Pack 1

Microsoft Office 2019 pour éditions 64 bits

Microsoft Outlook 2013 Service Pack 1 (éditions 64 bits)

Microsoft Outlook 2013 Service Pack 1 (éditions 32 bits)

Microsoft Outlook 2016 (édition 64 bits)

Microsoft Outlook 2016 (édition 32 bits)

## Solution

Le CERT-FR recommande fortement d’appliquer la mise à jour fournie par
Microsoft, se référer au bulletin de sécurité de l'éditeur pour
l'obtention des correctifs (cf. section Documentation).

**\[mise à jour du 29 mars 2023\]** Le CERT-FR recommande fortement
d'appliquer la mise à jour de sécurité de mars 2023 pour Microsoft
Exchange Server.

**\[mise à jour du 29 mars 2023\]**
Le CERT-FR recommande fortement d'appliquer les mises à jour de sécurité
de mars et de mai 2023 pour Microsoft Exchange Server.

[3] Billet de blog du découvreur de la CVE-2023-29324

Bulletin de sécurité Microsoft CVE-2023-23397 du 14 mars 2023

Documentation et code Powershell fournis par Microsoft pour l'identification de compromission

[2] Guide ANSSI pour le nomadisme numérique

Avis CERTFR-2023-AVI-0231 du 15 mars 2023

Avis CERTFR-2023-AVI-0234 du 15 mars 2023

Version initiale

Clarifications mineures

clarification de la recommadation pour le filtrage du flux SMB

Ajout d'informations concernant la vulnérabilité CVE-2023-29324

Élévation de privilèges

Summary:
\[mise à jour du 11 mai 2023\]
Possibilité de contournement du correctif proposé par l'éditeur par le
biais de la CVE-2023-29324

\[mise à jour du 20 avril 2023\] clarification de la recommandation
pour le filtrage du flux SMB

\[mise à jour du 29 mars 2023\] complément d'information et
recommandation

En date du 14 mars 2023, lors
de sa mise à jour mensuelle, Microsoft a indiqué l'existence
d'une vulnérabilité CVE-2023-23397 affectant diverses versions du
produit Outlook pour Windows qui permet à un attaquant de récupérer le condensat
*Net-NTLMv2* (*new technology LAN manager*).

Microsoft indique que cette vulnérabilité est activement exploitée dans
le cadre d'attaques ciblées. Par ailleurs, le CERT-FR a connaissance
d'une première preuve de concept publique (non encore qualifiée).

La vulnérabilité ne requiert pas d'intervention de l'utilisateur. Elle
est déclenchée lorsqu'un attaquant envoie un message contenant un
lien *UNC* (*Universal Naming Convention*) vers une ressource partagée
en *SMB* hébergée sur un serveur qui serait sous contrôle de
l'attaquant. Durant la connexion *SMB* au serveur malveillant, le message d’authentification
*NTLM* pour la négociation de l'authentification est envoyé, l'attaquant
peut ainsi le relayer auprès d'autres services supportant ce type
d'authentification pour obtenir un accès valide.

L'éditeur indique que les version d'Outlook pour Android, iOS, Mac, mais
aussi la version web et les services M365 ne sont pas vulnérables.

Microsoft a publié un code Powershell et une documentation permettant de
vérifier si un système a été la cible d'une attaque. Le script remonte
les courriels, tâches et invitations de calendrier pointant vers un
partage potentiellement non-maîtrisé. Ces éléments doivent être passés
en revue afin de déterminer leur légitimité et, dans le cas contraire,
ils doivent faire l'objet d'une investigation (contrôler l'existence de
connexions sortantes associées, lister les connexions réalisées à l'aide
du compte utilisateur, etc.) pour prendre les mesures de remédiation
appropriées.

\[mise à jour du 20 avril 2023\] Le 24 mars 2023, Microsoft a publié
un guide d'investigation documentant les différents contrôles à mener et
les indicateurs de compromission à chercher. Il convient de noter que ce
guide apporte plusieurs éléments techniques qui sont également à prendre
en compte :

-   Pour prévenir une exploitation menée par un attaquant utilisant une
    machine distante pour collecter les condensats *Net-NTLMv2*, il
    convient d'interdire les flux *SMB* en sortie du système
    d'information (TCP/445). Cette règle s'impose également aux
    postes nomades, dont les flux doivent être sécurisés (cf. les règles
    R16 à R18 du guide ANSSI pour le nomadisme numérique \[2\]).
-   La mise à
    jour de sécurité de Microsoft Exchange Server du mois de mars 2023
    permet de prévenir l'exploitation de la vulnérabilité en supprimant
    automatiquement les courriels dont la propriété
    *PidLidReminderFileParameter* est définie. Ce correctif ne corrige
    pas la vulnérabilité intrinsèque au client Outlook mais empêche son
    exploitation.

\[mise à jour du 11 mai 2023\]
Le 9 mai, Microsoft a publié un correctif pour une vulnérabilité
dont l'identifiant est CVE-2023-29324. Cette vulnérabilité permet de
continuer à exploiter la vulnérabilité CVE-2023-23397 avec un lien *UNC*
spécialement construit par l'attaquant \[3\] si le correctif de sécurité
de mars 2023 pour les serveurs Microsoft Exchange n'a pas été appliqué
(cf. la mise à jour de l'alerte du 20 avril).

Afin de respecter le principe de défense en profondeur, le CERT-FR
recommande d'appliquer la mise à jour de mai 2023 (correction de la
vulnérabilité CVE-2023-29324).

[MàJ] Vulnérabilité dans Microsoft Outlook

[1] Guide d'investigation Microsoft du 24 mars 2023

Bulletin de sécurité Microsoft du 14 mars 2023

Billet de blogue Microsoft du 14 mars 2023


Application de bureau 3CX (application Electron pour macOS) versions 18.11.1213, 18.12.402, 18.12.407 et 18.12.416

Application de bureau 3CX (application Electron pour Windows) versions 18.12.407 et 18.12.416

## Solution

<span style="color: #ff0000;">\[Mise à jour du 11 avril 2023\] </span>Le
31 mars, l'éditeur a publié une nouvelle version de son application de
bureau 3CX \[5\]. Cette version, 18.12.425, ne comprend plus le cheval
de Troie. Néanmoins, l'éditeur ne recommande pas le déploiement de cette
nouvelle version et préconise plutôt l'utilisation de l'application web
*PWA*.

Pour plus d'informations, se référer au bulletin de sécurité de
l'éditeur pour l'obtention des correctifs (cf. section Documentation).

[3] Rapport SentinelOne

[5] Publication liée à la sortie de la version 18.12.425 de l'application de bureau 3CX

[2] Rapport CrowdStrike du 29 mars 2023

[1] Manuel d'utilisation 3CX Web Client (PWA)

Avis ENISA EU

[4] Les bons réflexes en cas d’intrusion sur un système d’information

Version initiale

Ajout concernant la nouvelle version d'application de bureau 3CX

Ajout du lien vers la version 18.12.425 de l'application de bureau 3CX

Déploiement d'une charge utile malveillante sur le système

Summary:
Le 30 mars 2023, l'éditeur a publié un communiqué concernant la
compromission de leur application de bureau 3CX (*3CX Desktop App*).
Cette application de conférence vocale et vidéo, dans certaines
versions, est infectée par un cheval de Troie qui rend possible le
déploiement d'une charge utile à des fins malveillantes.

Le CERT-FR ne peut pas confirmer, à ce stade, si d'autres versions que
celles mentionnées dans la section *Systèmes affectés* sont compromises.
Il est donc très fortement recommandé, quelle que soit la version, de
désinstaller l'application de bureau 3CX et de suivre la recommandation
de l'éditeur consistant à utiliser l'application web *PWA*. L'éditeur
propose un manuel d'utilisation qui peut simplifier cette transition
\[1\].

Par ailleurs, il est aussi indispensable de procéder à une
vérification des postes qui disposaient de cette application afin de
s'assurer qu'ils n'ont pas été compromis. Pour cela, plusieurs rapports
en source ouverte proposent des marqueurs de compromission à vérifier
\[2\]\[3\]. En cas de suspicion de compromission, il est recommandé de
continuer les investigations (cf. *bons réflexes en cas d'intrusion sur
votre système d'information* \[4\]).

[MàJ] Compromission de l'application 3CX Desktop App

Alerte de sécurité de l'éditeur 3CX


FortiProxy versions antérieures à 7.0.10

FortiOS versions 6.0.x antérieures à 6.0.17

FortiOS versions 6.2.x antérieures à 6.2.14

FortiOS-6K7K versions 6.0.x antérieures à 6.0.17

FortiOS versions 7.2.x antérieures à 7.2.5

FortiOS-6K7K versions 6.2.x antérieures à 6.2.15

FortiOS-6K7K versions 6.4.x antérieures à 6.4.13

FortiProxy versions 7.2.x antérieures à 7.2.4

FortiOS-6K7K versions 7.0.x antérieures à 7.0.12

FortiOS versions 6.4.x antérieures à 6.4.13

FortiOS versions 7.0.x antérieures à 7.0.12

## Solution

L'application seule des correctifs n'est pas suffisante. Il est
fortement recommandé :

-   d'effectuer une analyse des systèmes, en cas de suspicion de
    compromission, il est recommandé de continuer les investigations
    afin de déterminer les actions prises par un éventuel attaquant
    \[2\];
-   d'appliquer les mesures de durcissement fournies par l'éditeur et de
    respecter les bonnes pratiques de sécurité.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

[2] Les bons réflexes en cas d’intrusion sur un système d’information

Avis CERT-FR CERTFR-2023-AVI-0451 du 13 juin 2023

[1] Communication de Fortinet sur la vulnérabilité CVE-2023-27997 du 12 juin 2023

Version initiale

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
Le 12 juin 2023, Fortinet a publié un avis de sécurité concernant la
vulnérabilité CVE-2023-27997. Celle-ci permet à un attaquant non
authentifié d'exécuter du code arbitraire à distance sur des produits
Fortinet qui proposent une fonctionnalité de *VPN SSL*.

Dans une communication supplémentaire (cf. section Documentation),
Fortinet indique que cette vulnérabilité n'est exploitable que si la
fonctionnalité *VPN SSL* est activée. De plus, celle-ci serait
activement exploitée dans le cadre d'attaques ciblées.

Le CERT-FR a connaissance d'une preuve de concept disponible
publiquement. En l'état, le code permet uniquement un déni de service à
distance. Le CERT-FR recommande donc d'appliquer le correctif,
disponible depuis le 9 juin 2023, dans les meilleurs délais.

La communication supplémentaire \[1\] de Fortinet contient également des
recommandations utiles concernant la recherche de marqueurs de
compromission, le durcissement de l'équipement ainsi que le rappel de
bonnes pratiques de sécurité.

Vulnérabilité dans les produits Fortinet

Bulletin de sécurité FG-IR-23-097 du 12 juin 2023


MOVEit Transfer versions 2021.1.x antérieures à 2021.1.6 (13.1.6)

MOVEit Transfer versions 2021.0.x antérieures à 2021.0.8 (13.0.8)

MOVEit Cloud versions antérieures à 14.4.6.97 ou 14.0.5.45 (production)

MOVEit Transfer versions antérieures à 2020.1.10 (12.1.10)

MOVEit Transfer versions 2022.0.x antérieures à 2022.0.6 (14.0.6)

MOVEit Transfer versions 2022.1.x antérieures à 2022.1.7 (14.1.7)

MOVEit Transfer versions 2023.x antérieures à 2023.0.3 (15.0.3)

MOVEit Cloud versions antérieures à 15.0.2.39 (test)

## Solution

Se référer au document PDF joint à cette alerte.

Version initiale

Exécution de code arbitraire à distance

Summary:
La découverte d'une vulnérabilité affectant le logiciel MOVEit Transfer
de Progress Software, le 31 mai 2023, avait conduit le CERT-FR à publier
des éléments d'information dans le bulletin d'actualité
CERTFR-2023-ACT-025.

L'objet de cette alerte CERTFR-2023-ALE-005 est de faire le point sur
l'exploitation de cette vulnérabilité par le groupe cybercriminel CL0P
ainsi que de synthétiser les mesures de remédiation et de correction à
appliquer par les utilisateurs du logiciel MOVEit Transfer.

Télécharger le rapport : Exploitation
d'une vulnérabilité dans MOVEit Transfer par le groupe cybercriminel
CL0P

Synthèse sur l'exploitation d'une vulnérabilité dans MOVEit Transfer


Microsoft Office LTSC 2021 pour éditions 32 bits

Microsoft Office 2019 pour éditions 32 bits

Microsoft Office 2019 pour éditions 64 bits

Microsoft Office LTSC 2021 pour éditions 64 bits

Microsoft Word 2016 (édition 64 bits)

Microsoft Word 2013 Service Pack 1 (éditions 64 bits)

Microsoft Word 2013 Service Pack 1 (éditions 32 bits)

Microsoft Word 2016 (édition 32 bits)

Windows 10 Version 21H2 pour systèmes x64

Windows 10 Version 1809 pour systèmes 32 bits

Windows 10 Version 22H2 pour systèmes ARM64

Windows 10 Version 22H2 pour systèmes x64

Windows 10 Version 1607 pour systèmes x64

Windows 11 version 21H2 pour systèmes x64

Windows Server 2016 (Server Core installation)

Windows Server 2022 (Server Core installation)

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (Server Core installation)

Windows 10 pour systèmes 32 bits

Windows 10 Version 1809 pour systèmes ARM64

Windows Server 2008 pour systèmes x64 Service Pack 2 (Server Core installation)

Windows 10 Version 21H2 pour systèmes ARM64

Windows Server 2019

Windows Server 2019 (Server Core installation)

Windows Server 2008 pour systèmes 32 bits Service Pack 2 (Server Core installation)

Windows 10 Version 21H2 pour systèmes 32 bits

Windows Server 2012 R2 (Server Core installation)

Windows 10 pour systèmes x64

Windows Server 2012

Windows 10 Version 22H2 pour systèmes 32 bits

Windows Server 2016

Windows Server 2012 R2

Windows 10 Version 1809 pour systèmes x64

Windows Server 2022

Windows 11 Version 22H2 pour systèmes x64

Windows 10 Version 1607 pour systèmes 32 bits

Windows Server 2012 (Server Core installation)

Windows 11 version 21H2 pour systèmes ARM64

Windows 11 Version 22H2 pour systèmes ARM64

## Contournement provisoire

L'éditeur fournit un ensemble de mesures d’atténuation visant à limiter
son exploitation. \[1\] \[3\]

## Solution

Les mises à jour publiées par l'éditeur en août 2023 corrigent cette
vulnérabilité \[1\].

Correction de la rubrique SOLUTION

Version initiale

Exécution de code arbitraire à distance

Summary:
### Description de la vulnérabilité

Dans le cadre de son *Patch Tuesday*, en date du 11 juillet 2023,
Microsoft a indiqué l'existence d'une vulnérabilité référencée
CVE-2023-36884 \[1\] au sein de plusieurs versions de Windows et
produits Office. Un score CVSSv3 de 8.3 lui a été attribué.

L'éditeur confirme qu'elle est activement exploitée de façon ciblée
\[2\].

La vulnérabilité CVE-2023-36884 permet à un attaquant d'exécuter du code
arbitraire à distance dans le contexte utilisateur à l'aide d'un
document Microsoft Office spécialement conçu, préalablement transmis à
l'aide de technique d'ingénierie sociale.

Le CERT-FR recommande fortement de mettre en œuvre les moyens
d'atténuation proposés par l'éditeur en attendant la publication d'un
correctif.

Cette alerte sera mise à jour de façon régulière au gré des nouveaux
éléments qui nous seront communiqués.

### Campagne d'exploitation

La CVE-2023-36884 aurait été exploitée, d’après Microsoft \[4\], par le
mode opératoire Storm-0978 lors d’une campagne en juin 2023 contre des
entités gouvernementales et du secteur de la défense européennes et
nord-américaines à des fins d’espionnage. Le code malveillant utilisé
par les attaquants suite à l’exploitation de cette vulnérabilité,
présenterait des similarités avec la porte dérobée RomCom.

RomCom est un code malveillant découvert en août 2022 par PaloAlto
\[5\], qui aurait été utilisé depuis octobre 2022 dans des campagnes
d’espionnage contre des entités gouvernementales et militaires
ukrainiennes (\[6\], \[7\]), et des entités des secteurs du
gouvernement, de la défense, de la santé, des services numériques et de
la logistique dans certains pays d’Europe et d’Amérique du Nord (\[7\],
\[8\], \[9\], \[10\], \[11\], \[4\]).

Le code malveillant RomCom a été associé au groupe cybercriminel Cuba
par plusieurs éditeurs de sécurité \[5\], \[12\]. Cuba est notamment
connu pour avoir revendiqué l’attaque par rançongiciel contre le
gouvernement du Monténégro en août 2022 \[13\].

Vulnérabilité dans les produits Microsoft


Zimbra Collaboration Suite 8.x

## Solution

L'éditeur documente la procédure manuelle à réaliser pour corriger la
vulnérabilité. Le CERT-FR
recommande très fortement d'appliquer cette procédure sans
délai.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2023-AVI-0546 du 13 juillet

[1] Avis de sécurité Zimbra 8.8.15 P41 du 26 juillet 2023

Version initiale

Confirmation des versions affectées.

Ajout du correctif de l'éditeur

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Atteinte à la confidentialité des données

Atteinte à l'intégrité des données

Summary:
\[Mise à jour du 26 juillet 2023\]
Publication du correctif de sécurité par l'éditeur

Le 26 juillet 2023, l'éditeur a publié un
correctif de sécurité \[1\] pour cette vulnérabilité immatriculée
CVE-2023-37580. Il est donc fortement recommandé de déployer le
correctif P41 pour toutes les versions 8.8.15 du produit Zimbra
Collaboration Suite.

Le 13 juillet 2023, Zimbra a publié un avis de sécurité alertant de
l'existence d'une vulnérabilité affectant sa solution Collaboration
Suite dans la version 8.8.15

Cette vulnérabilité permet à un attaquant de réaliser une injection de
code indirecte (*XSS*) pour porter atteinte à l'intégrité des données et
la confidentialité des données. Aucun identifiant CVE ne lui a été
attribué au moment de la publication de la présente alerte.

Le CERT-FR rappelle que les
versions 8.x antérieures à 8.8.15 ne sont plus supportées. \[Mise
à jour du 18 juillet 2023\] L'éditeur confirme que toutes les versions
8.x sont affectées.

L'éditeur indique que cette
vulnérabilité est activement exploitée alors qu'une version
corrective n'est pas disponible.

[MàJ] Vulnérabilité dans Zimbra Collaboration Suite

Bulletin de sécurité Zimbra


NetScaler ADC 13.1-FIPS antérieures à 13.1-37.159

NetScaler ADC et NetScaler Gateway versions 13.1-x antérieures à 13.1-49.13

NetScaler ADC 12.1-FIPS antérieures à 12.1-55.297

NetScaler ADC et NetScaler Gateway versions 13.0-x antérieures à 13.0-91.13

NetScaler ADC 12.1-NDcPP antérieures à 12.1-55.297

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

L'application seule des correctifs n'est pas suffisante. Il est
fortement recommandé d'effectuer une analyse des systèmes \[2\]. En cas
de suspicion de compromission, il est recommandé de continuer les
investigations afin de déterminer les actions prises par un éventuel
attaquant \[1\].

[2] Avis CISA aa23-201a du 20 juillet 2023

Avis CERT-FR CERTFR-2023-AVI-0568 du 19 juillet 2023

[1] Les bons réflexes en cas d’intrusion sur un système d’information

Version initiale

Ajout d'informations pour la détection d'une compromission

Exécution de code arbitraire à distance

Summary:
Le 18 juillet 2023, Citrix a publié un avis de sécurité concernant
plusieurs vulnérabilités. La plus critique, dont l'identifiant CVE est
CVE-2023-3519, permet à un attaquant non authentifié d'exécuter du code
arbitraire à distance.

L'équipement est vulnérable s'il est configuré en tant que passerelle
(*Gateway : VPN virtual server, ICA Proxy, CVPN, RDP Proxy*) ou en tant
que serveur virtuel AAA (*AAA virtual server*).

L'éditeur indique que les produits NetScaler ADC et NetScaler Gateway en
version 12.1 sont en fin de vie. Les clients sont invités à migrer vers
une version supportée et à jour des correctifs de sécurité.

Citrix indique que cette vulnérabilité est activement exploitée. Le
CERT-FR recommande donc fortement d'appliquer le correctif dans les plus
brefs délais.

## Détection d'une compromission

\[mise à jour du 20 juillet
2023\] La CISA a documenté une méthode de recherche des signes
d'une compromission de l'équipement \[2\].

[MàJ] Vulnérabilité dans Citrix NetScaler ADC et NetScaler Gateway

Bulletin de sécurité Citrix CTX561482 du 18 juillet 2023


Ivanti Endpoint Manager Mobile (EPMM), anciennement MobileIron Core, toutes versions sans le dernier correctif de sécurité

Ivanti précise que seules les versions supportées, à savoir 11.10, 11.9 et 11.8,  recevront un correctif de sécurité.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

[3] Bulletin complémentaire de sécurité Ivanti CVE-2023-35082 du 07 août 2023

Avis de sécurité CERTFR-2023-AVI-0584 du 25 juillet 2023

[5] Mises à jour Ivanti EPMM

[1] Publication de la CISA et de la NCSC-NO

Avis de sécurité CERTFR-2023-AVI-0604 du 31 juillet 2023

[4] Avis de sécurité CERTFR-2023-AVI-0615 du 03 août 2023

Version initiale

Mise à jour de l'alerte pour inclure les informations concernant la vulnérabilité CVE-2023-35081.

Ajout de la publication de la CISA et de la NCSC-NO.

Avis Ivanti concernant la vulnérabilité CVE-2023-35082.

Avis Ivanti concernant la disponibilité d'un correctif.

Exécution de code arbitraire à distance

Atteinte à l'intégrité des données

Contournement de la politique de sécurité

Summary:
\[Mise à jour
du 15 septembre 2023\] Correction de la vulnérabilité
CVE-2023-35082

Le 21 août 2023, l'éditeur a publié une mise à jour du bulletin
complémentaire de sécurité \[3\] pour annoncer la disponibilité d'un
correctif concernant la vulnérabilité CVE-2023-35082. Ce correctif est
inclus dans la version 11.11.0.0 d'Ivanti EPMM \[5\].

\[Mise à jour
du 11 août 2023\] Avis Ivanti concernant la vulnérabilité
CVE-2023-35082

Le 07 août 2023, Ivanti a publié un nouvel avis de sécurité \[3\]
indiquant que la vulnérabilité CVE-2023-35082 affecte toutes les
versions de Endpoint Manager Mobile, et non pas uniquement les versions
antérieures à 11.3 comme indiqué dans l'avis du 02 août 2023 \[4\].

Cette vulnérabilité permet à un attaquant d'obtenir un accès non
authentifié à des chemins d'API spécifiques afin de récupérer des
informations personnellement identifiables (PII) d'utilisateurs.

Dans l’attente de la publication de la version 11.11, Ivanti fournit un
script RPM corrigeant cette vulnérabilité pour les versions 11.8.1.2,
11.9.1.2 et 11.10.0.3. Si l’équipement est dans une version antérieure,
il est conseillé de le mettre à jour vers l’une de ces trois versions,
puis d’exécuter le script. Cette procédure est décrite dans l’avis.

L'éditeur annonce que :

-   La vulnérabilité CVE-2023-35082 est exploitable uniquement sur HTTP
    mais pas HTTPS ;
-   Une preuve de concept est disponible publiquement ;
-   La vulnérabilité CVE-2023-35082 est activement exploitée.

\[Mise à jour du 02 août 2023\] Compléments d'informations
techniques sur l'exploitation des vulnérabilités affectant le produit
Ivanti EPMM

Le 01 août 2023, la CISA conjointement avec l'agence de sécurité des
systèmes d'information norvégienne (NCSC-NO) ont publié un avis \[1\]
concernant les vulnérabilités CVE-2023-35078 et CVE-2023-35081. Selon
elles, la vulnérabilité CVE-2023-35078 est exploitée depuis au moins
avril 2023.

L'avis documente certaines des actions prises par les attaquants :

-   interrogations *LDAP* sur les serveurs *Active Directory* pour
    l'énumération des machines ;
-   utilisation de requêtes *HTTP* de type *GET
    /mifs/aad/api/v2/authorized/users* pour la collecte de la liste des
    utilisateurs enregistrés sur les EPMM ;
-   altération des configurations de ces équipements ;
-   surveillance et modification des journaux d'activités, notamment
    avec l'application malveillante *mi.war*
    (*1cd358d28b626b7a23b9fd4944e29077c265db46*) ;
-   utilisation d'un code malveillant, dont le condensat Sha1 est
    *c0b42bbd06d6e25dfe8faebd735944714b421388* ;
-   latéralisation sur les serveurs de messagerie.

La NCSC-NO conseille de rechercher toutes les occurrences du motif
*/mifs/aad/api/v2/* dans les journaux (collectés à distance) afin de
déterminer si une intrusion a eu lieu. De plus, toute augmentation des
évènements *EventCode=1644* dans l'AD (ainsi que des valeurs *4662*,
*5136* et *1153*) en provenance de l'EPMM à partir d'avril 2023 doit
être considérée comme suspecte.

La NCSC-NO conseille également d'analyser les flux réseaux de l'EPMM
vers d'autres serveurs internes et d'analyser le disque ainsi que la
mémoire de l'équipement.

La CISA fournit des indicateurs de compromission ainsi que des modèles
de l'outil de scan *Nuclei,* servant à déterminer si un équipement est
vulnérable.

Le CERT-FR rappelle que l'application seule des correctifs n'est pas
suffisante. En cas de suspicion de compromission, il est recommandé de
continuer les investigations afin de déterminer les actions prises par
un éventuel attaquant \[1\]\[2\]. La mise à jour du système doit donc
également s'accompagner d'analyses réseaux et systèmes dans le but de
déterminer si une intrusion a eu lieu, les indicateurs de compromission
fournis n'étant pas exhaustifs.

En cas de doute, il est préférable de réinstaller l'équipement et
procéder au renouvellement de tous les secrets associés à l'application.

\[Mise à jour
du 31 juillet 2023\]

Le 28 juillet 2023, Ivanti a publié un nouvel avis concernant Endpoint
Manager Mobile, anciennement MobileIron Core. La
vulnérabilité CVE-2023-35081 permet à un attaquant ayant les droits
administrateur d'effectuer une écriture arbitraire de fichier sur le
serveur, conduisant *in fine* à une exécution de code arbitraire à
distance.

Selon Ivanti, cette vulnérabilité est activement exploitée dans le cadre
d'attaques ciblées, en combinaison avec la vulnérabilité CVE-2023-35078
qui permet de contourner l'authentification administrateur.

\[Publication initiale\]

Le 24 juillet 2023, Ivanti a corrigé une vulnérabilité affectant le
produit Endpoint
Manager Mobile, anciennement MobileIron Core. Cette
vulnérabilité permet à un attaquant d'obtenir un accès non authentifié à
des chemins d'API spécifiques afin de récupérer des informations
personnellement identifiables (PII) d'utilisateurs. Un attaquant peut
également, par le biais de cette vulnérabilité, modifier la
configuration du produit EPMM et créer un compte administrateur.

Le CERT-FR a connaissance d'exploitation de cette vulnérabilité. Il est
donc fortement recommandé d'appliquer le correctif de sécurité dans les
plus brefs délais.

[MàJ] Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile

Bulletin de sécurité Ivanti CVE-2023-35078 du 24 juillet 2023

Bulletin de sécurité Ivanti CVE-2023-35081 du 28 juillet 2023