Internet Explorer 10 sur toutes les versions de Windows supportées

Internet Explorer 9 sur toutes les versions de Windows supportées

Internet Explorer 11 sur toutes les versions de Windows supportées

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Dans son bulletin de sécurité, Microsoft propose quelques mesures de
contournement (cf. section Documentation). Le CERT-FR recommande
l'application du correctif dans les plus brefs délais. Si cela n'est pas
possible, le CERT-FR recommande l'utilisation d'un navigateur alternatif
dans sa version la plus récente.

Avis CERT-FR CERTFR-2019-AVI-460 du 24 septembre 2019

Version initiale

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Le 23 septembre 2019, Microsoft a publié un correctif pour Internet
Explorer en dehors de son cycle de mise à jour mensuel. Microsoft
indique que cette vulnérabilité est activement exploitée dans le cadre
d'attaques ciblées.

La vulnérabilité CVE-2019-1367 permet à un attaquant d'exécuter du code
arbitraire à distance avec le niveau de privilèges de l'utilisateur
actuel.

Vulnérabilité dans Microsoft Internet Explorer

Bulletin de sécurité Microsoft du 23 septembre 2019

Bulletin de sécurité Microsoft CVE-2019-1367 du 23 septembre 2019


PHP versions 7.3.x antérieures à 7.3.11

PHP versions 7.1.x antérieures à 7.1.33

PHP versions 7.2.x antérieures à 7.2.24

## Solution

Le CERT-FR recommande de mettre à jour PHP vers une version non
vulnérable sans attendre.

## Contournement provisoire

Il est possible de se prémunir contre ce code d'exploitation en
vérifiant l'existence du fichier PHP. Ainsi, les requêtes malformées
sont filtrées au niveau de nginx, de cette manière l'attaquant n'est pas
capable d'exploiter la vulnérabilité dans php-fpm.

Afin de mettre en place ce contournement provisoire, il faut insérer
`try_files $uri =404;` avant de passer la requête à php-fpm (avant la
ligne `fastcgi_pass` dans l'exemple plus haut).

Article de la société Tenable du 24 octobre 2019

Version initiale

Ajout du contournement

Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le CERT-FR a publié un avis concernant la CVE-2019-11043 qui affecte PHP
et permet l'exécution de code arbitraire à distance.

Un code d'exploitation est maintenant disponible sur internet,
facilitant l'utilisation de cette vulnérabilité.

Ce code d'exploitation nécessite une configuration communément
recommandée de nginx et php-fpm utilisant `fastcgi_split_path_info`.
Voici un exemple de configuration vulnérable:

    location ~ [^/]\.php(/|$) {
     ...
     fastcgi_split_path_info ^(.+?\.php)(/.*)$;
     fastcgi_param PATH_INFO $fastcgi_path_info;
     fastcgi_pass php:9000;
     ...
    }

Il est possible que d'autres chemins d'exploitation non connus à ce jour
permettent d'abuser de la vulnérabilité.

Le CERT-FR recommande fortement la mise à jour de php vers une version
non vulnérable, et ce dans les plus brefs délais si votre configuration
nginx utilise `fastcgi_split_path_info`.

Les versions de PHP antérieures à 7.1 peuvent être également affectées,
et ne bénéficieront pas de mise à jour. Il est primordial d'utiliser une
version supportée par l'éditeur.

Vulnérabilité dans PHP

Bulletin de sécurité PHP 7.3.11 du 24 octobre 2019

Bulletin de sécurité PHP 7.1.33 du 24 octobre 2019

Bulletin de sécurité PHP 7.2.24 du 24 octobre 2019

Avis du CertFR du 24 octobre 2019


Google Chrome versions antérieures à 78.0.3904.87

## Solution

Le CERT FR recommande d'appliquer la mise à jour de Google Chrome sans
délai. Se référer au bulletin de sécurité de l'éditeur pour l'obtention
des correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2019-AVI-542 du 04 novembre 2019

Version initiale

Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
De multiples vulnérabilités ont été découvertes dans Google Chrome.
Elles permettent à un attaquant de provoquer une exécution de code
arbitraire à distance. Plusieurs sources, dont Google, confirment que
l'une des vulnérabilités (CVE-2019-13720) est actuellement utilisée dans
des attaques *via* des sites Web légitimes compromis. Les attaquants
insèrent, sur ces sites insuffisamment sécurisés, un code JavaScript
malveillant qui sera exécuté par le navigateur Chrome pour installer un
maliciel sur le poste de l'internaute ayant accédé à un de ces sites.

Multiples vulnérabilités dans Google Chrome

Bulletin de sécurité Google du 31 octobre 2019


Pulse Connect Secure 8.1.x versions antérieures à 8.1R15.1 (8.1.15.59747)

Pulse Policy Secure 5.1R15.1 (5.1.15.50767)

Pulse Connect Secure 8.2.x versions antérieures à 8.2R12.1 (8.2.12.64003)

Pulse Connect Secure 9.0.x versions antérieures à 9.0R4 (9.0.4.64055) & 9.0R3.4 (9.0.3.64053)

Pulse Policy Secure 5.4.x versions antérieures à 5.4R7.1 (5.4.7.51119)

Pulse Policy Secure 9.0.x versions antérieures à 9.0R4 (9.0.4.51871) et 9.0R3.2 (9.0.3.51873)

Pulse Policy Secure 5.2R12.1 (5.2.12.50765)

Pulse Connect Secure 9.1.x versions antérieures à 9.1R1 (9.1.1.1505)

Pulse Policy Secure 5.3R12.1 (5.3.12.50975)

Pulse Connect Secure 8.3 versions antérieures à 8.3R7.1 (8.3.7.65025)

Pulse Policy Secure 9.1.x versions antérieures à 9.1R1 (9.1.1.1231)

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin CERT-FR CERTFR-2019-ACT-008 du 28 août 2019

Version initiale

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Atteinte à la confidentialité des données

Atteinte à l'intégrité des données

Contournement de la politique de sécurité

Summary:
Le 24 avril 2019, l'éditeur Pulse Secure a émis un avis de sécurité pour
les produits Pulse Connect Secure et Pulse Policy Secure. Le CERT-FR a
ensuite publié un bulletin d'actualité portant sur plusieurs produits,
dont les produits Pulse Secure (cf. section Documentation).

Le CERT-FR a connaissance de cas d'exploitation des vulnérabilités
affectant les produits Pulse Secure n'ayant pas appliqué ces mises à
jour de sécurité. Le CERT-FR recommande donc fortement l'application du
correctif mis à disposition le 24 avril 2019, et ce, dans les plus brefs
délais.

Multiples vulnérabilités dans les produits de Pulse Secure

Bulletin de sécurité Pulse Secure SA44101 du 24 avril 2019


Citrix SD-WAN WANOP versions antérieures à 10.2.6b et 11.0.3b (Citrix ADC v11.1.51.615)

Citrix ADC et NetScaler Gateway versions 12.0.x antérieures à 12.0.63.13

Citrix NetScaler ADC et NetScaler Gateway versions 10.5.x antérieures à 10.5.70.12

Citrix ADC et NetScaler Gateway versions 11.1.x antérieures à 11.1.63.15

Citrix ADC et Citrix Gateway versions 13.0.x antérieures à 13.0.47.24

Citrix ADC et NetScaler Gateway versions 12.1.x antérieures à 12.1.55.18

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Se référer au bulletin de sécurité de l'éditeur pour l'obtention du
contournement (cf. section Documentation).

[3] Avis CERT-FR CERTFR-2019-AVI-640 du 18 décembre 2019

[2] Descriptif du contournement à appliquer en date du 17 décembre 2019

[5] Bulletin CERTFR-2020-ACT-001 du 05 février 2020

Version initiale

Ajout des dates de disponibilité des correctifs de sécurité

Problème de la mesure de contournement sur certaines versions, modification de la liste de produits vulnérables et mise à disposition d'un outil de test de vulnérabilité.

Disponibilité des correctifs pour certaines versions ; la date de sortie des correctifs a été avancée pour toutes les versions ; clarification des versions pour lesquelles les mesures de contournement ne fonctionnent pas.

FireEye met à disposition un outil de recherche de compromission.

Les correctifs sont disponibles.

Ajout de recommandations suite à la compromissions de plusieurs clé privées sur des machines vulnérables.

Réouverture de l'alerte suite à des compromissions de serveurs vulnérables. Rappel des mesures à prendre.

La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 26 juin 2020\]

Le CERT-FR a pris connaissance de compromissions récentes de
serveurs Citrix dans le cadre d'attaques ciblées. Il est rappelé que la
vulnérabilité affecte tous les systèmes déclarés ci-dessus, même si la
fonctionnalité VPN n'est pas activée.

Le CERT-FR rappelle donc qu'il est impératif de :

-   Procéder sans attendre à la mise à jour de vos serveurs
    Citrix en respectant la procédure standard de l’éditeur :
    réinstallation complète des serveurs puis restauration d’une
    configuration à partir d’une sauvegarde antérieure au 10 janvier
    2020 ;
-   Révoquer et renouveler les certificats x509 déployés sur ces
    serveurs ainsi que sur tous les équipements qui les utilisent
    également (certificats multi-domaines par exemple);
-   Modifier les mots de passe des
    administrateurs et des utilisateurs qui utilisent le service
    Citrix ;
-   Modifier les mots de passe des comptes
    techniques configurés sur l’équipement (compte LDAP, compte Radius,
    compte Active Directory, etc.) ;

D’autre part, l’exposition sur Internet augmente les opportunités
d’attaque visant à usurper l’identité d’un utilisateur nomade si le
processus d’authentification n’est pas suffisamment robuste. Le CERT-FR
recommande donc la mise en œuvre d’une authentification à double facteur
afin de réduire ce risque.

Enfin, nous vous recommandons la lecture du bulletin CERTFR-2020-ACT-001
\[5\] sur la sécurisation des services exposés sur Internet.

\[Mise à jour du 30 janvier 2020\]

Le CERT-FR a pris connaissance de la compromission de clés privées sur
des serveurs hébergeant le logiciel Citrix vulnérable. Ces clés privées
sont pour certaines, associées à des certificats multi-domaines
(*wildcard*).

Par conséquence, les attaquants sont en mesure d'usurper l'identité des
services sécurisés pour l'ensemble des domaines et sous-domaines
concernés.

Le CERT-FR recommande donc fortement d'appliquer les mesures de
prévention suivantes :

1.  renouveler l'ensemble des éléments secrets stockés sur la machine et
    entreprendre les actions appropriées en conséquence ;

2.  révoquer les certificats potentiellement compromis ;

3.  étudier la possibilité de limiter la portée des certificats
    *multi-domaines* pour limiter l'impact d'une future compromission ;

4.  renouveler les certificats sur les serveurs hébergeant le logiciel
    Citrix ainsi que tout autre serveur utilisant les certificats
    multi-domaines présents sur les serveurs hébergeants le logiciel
    compromis.

Le CERT-FR recommande également de complètement réinstaller les serveurs
Citrix avant d'appliquer la mise à jour afin de repartir d'une base
saine. Pour ce faire, il est aussi conseillé d'utiliser une sauvegarde
de la configuration antérieure à décembre 2019.

\[Mise à jour du 27 janvier 2020\]

Les correctifs pour toutes les versions supportées sont disponibles. Le
CERT-FR recommande de les installer dans les plus brefs délais.

\[Mise à jour du 23 janvier 2020\]

Le 22 janvier 2020, Citrix a fourni, en collaboration avec FireEye, un
outil qui tente de rechercher des possibles exploitations de la
vulnérabilité CVE-2019-19781. Contrairement à l'outil fourni le 17
janvier qui permet de rechercher des machines vulnérables sur le réseau,
il doit être lancé en local.

FireEye indique que l'outil doit être lancé avec les privilèges
administrateur et ne garantit pas de repérer toutes les compromissions.

L'outil est présenté sur le site de
[FireEye](https://www.fireeye.com/blog/products-and-services/2020/01/fireeye-and-citrix-tool-scans-for-iocs-related-to-vulnerability.html)
et est disponible sur
[GitHub](https://github.com/fireeye/ioc-scanner-CVE-2019-19781/releases/tag/v1.0).

\[Mise à jour du 20 janvier 2020\]

Le 19 janvier 2020, Citrix a publié les correctifs pour les versions
12.0.x et 11.1.x.

La date de disponibilité des correctifs pour les autres versions a
également été avancée au 24 janvier 2020.

Concernant les versions pour lesquelles certaines mesures de
contournement ne fonctionnent pas, Citrix a clarifié sa position. Seule
la version "*12.1 build 50.28*" est affectée. Il est recommandé dans ce
cas de migrer vers la version "*12.1 build 50.28/50.31"* ou une version
ultérieure*.*

\[Mise à jour du 17 janvier 2020\]

Le 16 janvier 2020, Citrix a mis à jour son bulletin de sécurité
concernant la vulnérabilité CVE-2019-19781.

<s>Citrix annonce que la mesure de contournement proposée en attendant
la sortie des correctifs ne fonctionne pas pour les versions 12.1.x
suivantes:</s>

-   <s>Citrix ADC et NetScaler Gateway versions 12.1.51.16 à
    12.1.51.19</s>
-   <s>Citrix ADC et NetScaler Gateway versions 12.1.50.31</s>

Citrix recommande de migrer vers une version sur laquelle il est
possible d'appliquer la mesure de contournement.

Citrix a également annoncé que les modèles Citrix SD-WAN WANOP 4000,
4100, 5000 et 5100 sont également affecté par la vulnérabilité
CVE-2019-19781. Les correctifs seront disponibles le 27 janvier 2020
pour les versions Citrix SD-WAN WANOP 10.2.6 et 11.03.

Enfin, Citrix a fourni un outil en Python afin de tester si son
équipement est vulnérable
: <https://support.citrix.com/article/CTX269180>

De manière générale, le CERT-FR recommande d'étudier la possibilité de
déconnecter les serveurs Citrix concernés en attendant la mise à jour.

\[Mise à jour du 13 janvier 2020\]

Des codes d'exploitation ont été publiés dans la nuit du 10 au 11
janvier 2020. Leur utilisation a été rapportée par plusieurs sources
publiques.

Le 11 janvier 2020, Citrix a publié les dates de disponibilités des
correctifs qui sont les suivantes :

-   le 20 janvier 2020 pour Citrix ADC et Citrix Gateway versions 11.1.x
    et 12.0.x
-   le <s>27 janvier 2020</s> 24 janvier 2020 pour Citrix ADC et Citrix
    Gateway versions 12.1.x et 13.0.x
-   le <s>31 janvier 2020</s> 24 janvier 2020 pour NetScaler ADC et
    NetScaler Gateway versions 10.5.x

\[Version Initiale\]

Le CERT-FR a connaissance de campagnes de détection de la
vulnérabilité CVE-2019-19781 affectant les logiciels Citrix ADC et
Citrix Gateway. Une campagne de détection fait partie de la phase de
reconnaissance qui est préalable à la phase d'exploitation.

Pour rappel, la vulnérabilité CVE-2019-19781 permet une exécution de
code arbitraire à distance. Citrix n'a pas encore publié de correctif de
sécurité mais a proposé des mesures de contournements (cf. section
Documentation).

Dans l'attente de la publication d'un correctif, le CERT-FR recommande
fortement l'application des mesures de contournement.

Vulnérabilité dans les produits Citrix ADC et Citrix Gateway

[1] Bulletin de sécurité Citrix CTX267027 du 17 décembre 2019


Firefox versions antérieures à 72.0.1

Thunderbird versions antérieures à 68.4.1

Firefox versions antérieures à ESR 68.4.1

Avis CERT-FR CERTFR-2020-AVI-019 du 13 janvier 2020 https://www.cert.ssi.gouv.fr/avis/CERTFR-2020-AVI-019/

Avis CERT-FR CERTFR-2020-AVI-016 du 09 janvier 2020

Version initiale

Ajout du bulletin de sécurité Mozilla mfsa2020-04 du 10 janvier 2020

Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le 08 janvier 2020, Mozilla a publié un avis de sécurité (cf. section
Documentation) annonçant que la vulnérabilité CVE-2019-17026 est
activement exploitée dans le cadre d'attaques ciblées.

Cette vulnérabilité permet une exécution de code arbitraire à distance.

Le correctif étant disponible, le CERT-FR recommande l'application de la
mise à jour dans les plus brefs délais.

<strong>\[Mise à jour du 13 janvier 2020\]</strong>

Le 10 janvier 2020, Mozilla a publié un avis de sécurité Thunderbird
indiquant que son client de messagerie électronique était également
affecté par la vulnérabilité CVE-2019-17026 (cf. section Documentation).
Le correctif est disponible et doit être appliqué dès que possible.

Vulnérabilité dans les produits Mozilla

Bulletin de sécurité Mozilla mfsa2020-03 du 08 janvier 2020

Bulletin de sécurité Mozilla mfsa2020-04 du 10 janvier 2020


Windows Server 2019

Microsoft Windows 10

Windows Server 2016

Avis CERT-FR CERTFR-2020-AVI-026 du 14 janvier 2020

Version initiale

Contournement de la politique de sécurité

Summary:
\[Mise à jour du 17 janvier 2020 : informations complémentaires et
clarification sur les impacts\]

Une vulnérabilité affecte la bibliothèque cryptographique *CryptoAPI
(CAPI, crypt32.dll)* de Microsoft Windows 10, Windows Server 2016 et
Windows Server 2019.

Depuis 2015, la bibliothèque *CryptoAPI* sait gérer les algorithmes
cryptographiques basés sur les courbes elliptiques (*ECC*). La
vulnérabilité impacte la fonction de vérification de validité de
certificat numérique lorsque ceux-ci sont signés par une autorité de
certification qui s'appuie sur la cryptographie *ECC*.

La cryptographie *ECC* utilise des algorithmes asymétriques pour
lesquels il est nécessaire d'avoir deux clés, l'une publique et l'autre
privée, afin de pouvoir chiffrer et signer des informations entre deux
correspondants.

La vulnérabilité affecte le contrôle, par la bibliothèque *CryptoAPI*,
des clés publiques ECC présentes dans les certificats. Ce défaut permet
à un attaquant de produire un certificat intermédiaire pour lequel il
disposera donc de la clé privée. Ce certificat sera considéré comme une
nouvelle ancre de confiance valide par la bibliothèque *CryptoAPI*.
L'attaquant sera alors en mesure de signer un second certificat usurpant
l'identité d'un site ou d'un utilisateur.

Pour les systèmes affectés et les applications utilisant cette
bibliothèque *CryptoAPI*, les impacts peuvent être les suivants :

-   possibilité de signer un code logiciel malveillant et de le faire
    reconnaître comme légitime ;
-   possibilité de falsifier l'identité d'un utilisateur ou d'un serveur
    lors de l'établissement d'une connexion TLS ;
-   possibilité de falsifier l'identité de l'émetteur d'un message
    électronique signé.

Le CERT-FR insiste sur l'urgence d'appliquer la mise à jour mensuelle
dans les plus brefs délais. Ce correctif n'a aucun impact sur le
fonctionnement du système d'exploitation et des applications, il vise
uniquement à ajouter les contrôles de sécurité manquants dans la
bibliothèque.

Si le déploiement doit être réalisé en plusieurs vagues, il est suggéré
de procéder par ordre de priorité en privilégiant d'abord :

-   les équipements accessibles sur Internet, basés sur Microsoft
    Windows, et qui mettent en place des services basés sur une
    authentification par certificat X.509 ;
-   les équipements d'infrastructures et de sécurité basé sur Microsoft
    Windows  (notamment les contrôleurs de domaine Active Directory, les
    serveurs centralisant les déploiements de logiciels, les passerelles
    antivirus, etc.) ;
-   les postes de travail basés sur Microsoft Windows 10.

Le navigateur Firefox n'utilise pas la bibliothèque *CryptoAPI* mais la
bibliothèque *NSS* et n'est donc pas affecté par la vulnérabilité.

Vulnérabilité dans Microsoft Windows

Note de publication Microsoft du 14 janvier 2020

Avis de sécurité Microsoft du 14 janvier 2020


Windows Server 2012

Windows Server 2019

Windows Server 2012 R2

Windows Server 2016

## Solution

L'ANSSI recommande d'appliquer les correctifs mis à disposition par
Microsoft dans le cadre de son programme *Patch Tuesday* (en date du 14
janvier) sans délai.

Dans l'éventualité où ces correctifs ne sont pas applicables rapidement,
l'ANSSI suggère de désactiver le transport UDP pour le service *Remote
Desktop Gateway.* Par ailleurs, ce mode de transport est voué à
améliorer l'expérience utilisateur en cas d'utilisation d'un réseau de
faible capacité, par conséquent, si le besoin n'est pas avéré, il est
fortement recommandé de désactiver définitivement ce mode de transport.

La désactivation du transport UDP s'applique en passant par les
propriétés du serveur *RD Gateway* :

-   Dans l'onglet « *Transport Parameters* », « *UDP transport
    parameters* », décocher la case « *enable UDP transport* »
-   Dans l'onglet « *SSL bridging* », décocher « *utiliser le SSL
    bridging* », décocher la case « *HTTPS-HTTP bridging* »

Version initiale

Correction lien CVE-2020-0609

Annonce de la publication du code d'attaque.

Clôture de l'alerte. La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 29 janvier 2020\]

Du code d'attaque est désormais disponible publiquement concernant
l'exploitation des vulnérabilités CVE-2020-0609 et CVE-2020-0610.

Pour l'instant, le code publique ne permet en l'état qu'un déni de
service. Toutefois, il a été annoncé que du code d'attaque permettant
une exécution de code arbitraire à distance sera bientôt publié. Cela
rendra possible l'exploitation de ces vulnérabilités même à des
attaquants d'un faible niveau technique.

Le CERT-FR insiste sur l'importance d'appliquer les correctifs dans les
plus brefs délais.

\[Version Initiale\]

Depuis Microsoft Windows Server 2012, la passerelle d'accès distant
*Microsoft Remote Desktop Gateway* (*RD Gateway*) intègre par défaut de
nouvelles fonctionnalités dénommées *RemoteFX* améliorant la prise en
charge de certains contenus multimédias et également l'optimisation du
trafic réseau sur des liaisons de faible capacité. Dénommée *RemoteFX
for WAN*, cette optimisation réseau permet de mettre en oeuvre le
protocole RDP sur UDP avec chiffrement DTLS.

La fonction principale de la solution *RD Gateway* est de cloisonner les
flux internes nécessaires au fonctionnement des *Remote Desktop
Services* et de ne présenter que des interfaces *HTTPS* et *DTLS* sur
Internet.

Le 14 janvier, Microsoft a émis deux avis de sécurité concernant deux
vulnérabilités qui permettent une exécution de code à distance sans
authentification préalable.

Qu'elle soit exposée sur Internet ou bien située sur une interconnexion
du système d'information, une telle passerelle est de par sa fonction
exposée. Elle constitue un élément critique de l'architecture d'un
réseau et toute vulnérabilité doit donc être corrigée dans les plus
brefs délais.

Multiples vulnérabilités dans le serveur de passerelle RDP de Windows


Internet Explorer 11 sur Windows Server 2012 R2

Internet Explorer 11 sur Windows Server 2019

Internet Explorer 10 sur Windows Server 2012

Internet Explorer 11 sur Windows 7

Internet Explorer 11 sur Windows 8.1

Internet Explorer 11 sur Windows RT 8.1

Internet Explorer 9 sur Windows Server 2008

Internet Explorer 11 sur Windows 10

Internet Explorer 11 sur Windows Server 2016

## Solution

**\[Mise à jour du 11 février 2020\]**

Se référer au bulletin de sécurité de l'éditeur\[1\] pour l'obtention
des correctifs (cf. section Documentation).

## Contournement provisoire

**\[Mise à jour du 11 février 2020\]**

Se référer à la section "Solution"

**\[Version initiale\]**

Dans l'attente de la disponibilité d'un correctif, le CERT-FR recommande
d'utiliser un autre navigateur.

Si cela n'est pas possible, Microsoft (cf. section Documentation)
propose de restreindre l'accès à* JScript.dll* tout en indiquant qu'une
telle action peut affecter le bon fonctionnement de certains composants,
notamment les scripts de configuration automatique de proxy.

Microsoft insiste sur le fait que si cette mesure de contournement est
appliquée, il sera obligatoire d'en inverser les effets avant
d'appliquer le correctif.

Pour les systèmes 32 bits, les commandes à entrer dans un terminal sont
:

\[pastacode lang="bash"
manual="takeown%20%2Ff%20%25windir%25%5Csystem32%5Cjscript.dll%0Acacls%20%25windir%25%5Csystem32%5Cjscript.dll%20%2FE%20%2FP%20everyone%3AN"
message="" highlight="" provider="manual"/\]

Pour les systèmes 64 bits :

\[pastacode lang="bash"
manual="takeown%20%2Ff%20%25windir%25%5Csyswow64%5Cjscript.dll%0Acacls%20%25windir%25%5Csyswow64%5Cjscript.dll%20%2FE%20%2FP%20everyone%3AN%0Atakeown%20%2Ff%20%25windir%25%5Csystem32%5Cjscript.dll%0Acacls%20%25windir%25%5Csystem32%5Cjscript.dll%20%2FE%20%2FP%20everyone%3AN"
message="" highlight="" provider="manual"/\]

Les commandes qui permettent de défaire la restriction d'accès à
*JScript.dll* sont :

Pour les systèmes 32 bits :

\[pastacode lang="bash"
manual="cacls%20%25windir%25%5Csystem32%5Cjscript.dll%20%2FE%20%2FR%20everyone"
message="" highlight="" provider="manual"/\]

Pour les systèmes 64 bits :

\[pastacode lang="bash"
manual="cacls%20%25windir%25%5Csystem32%5Cjscript.dll%20%2FE%20%2FR%20everyone%20%0Acacls%20%25windir%25%5Csyswow64%5Cjscript.dll%20%2FE%20%2FR%20everyone"
message="" highlight="" provider="manual"/\]

[2]Avis du CERT-FR CERTFR-2020-AVI-078

[1]Bulletin de sécurité Microsoft du 10 février 2020

Version initiale

publication du correctif par Microsoft

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 11 février 2020\]

Microsoft a publié le correctif dans le cadre du Patch
Tuesday\[1\]\[2\]. L'application du correctif sans délai est fortement
recommandée. Le CERT-FR rappelle que si la mesure de contournement
proposée par Microsoft a été appliquée, il est impératif d'en inverser
les effets avant d'appliquer le correctif.

\[Version initiale\]

Le 17 janvier 2020, Microsoft a annoncé qu'Internet Explorer est affecté
par une vulnérabilité de type 0 jour qui permet à un attaquant
d'exécuter du code arbitraire à distance avec les privilèges de
l'utilisateur actuel. Cette vulnérabilité, portant l'identifiant
CVE-2020-0674, se situe dans la bibliothèque, intitulée *JScript.dll*.
Cette bibliothèque permet la compatibilité avec une version obsolète de
[JScript](https://fr.wikipedia.org/wiki/JScript).

Microsoft a également annoncé que cette vulnérabilité est activement
exploitée dans le cadre d'attaques ciblées.

Pour l'instant, Microsoft n'a pas annoncé de date de publication d'un
correctif.

Vulnérabilité dans Microsoft Internet Explorer

Bulletin de sécurité Microsoft ADV200001 du 17 janvier 2020


[Précision] Les versions ci-dessous sont les premières à intégrer le correctif pour la vulnérabilité CVE-2020-0688.

Microsoft Exchange Server 2010 Service Pack 3 Update Rollup 30

Microsoft Exchange Server 2013 Cumulative Update 23

Microsoft Exchange Server 2016 Cumulative Update 14

Microsoft Exchange Server 2016 Cumulative Update 15

Microsoft Exchange Server 2019 Cumulative Update 3

Microsoft Exchange Server 2019 Cumulative Update 4

Avis CERT-FR CERTFR-2020-AVI-082 du 11 février 2020

Version initiale

Ajout d'une précision sur les versions vulnérables.

Elevation de la menace

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 18 mars 2020\]

Des rapports publiés en source ouverte font état d'un faible taux de
mise à jour des serveurs *Microsoft Exchange* alors que les codes
d'exploitation sont disponibles.

Le CERT-FR rappelle qu'il suffit à un attaquant de trouver le compte
d'un utilisateur et son mot de passe pour pouvoir compromettre un
serveur *Microsoft Exchange* et ensuite obtenir les droits de
l'administrateur de domaine *Active Directory* du Système d'Information.

Le CERT-FR recommande l'application du correctif dans les plus brefs
délais.

\[Publication initiale\]

Le CERT-FR a connaissance de campagnes de détection de la
vulnérabilité CVE-2020-0688 affectant le serveur Exchange de Microsoft.
Une campagne de détection fait partie de la phase de reconnaissance qui
est préalable à la phase d'exploitation.

Pour rappel, la vulnérabilité CVE-2020-0688 permet une exécution de code
arbitraire à distance. Microsoft a publié un correctif de sécurité pour
cette vulnérabilité dans le cadre de sa mise à jour mensuelle de février
2020.

Si ce n'est déjà fait, le CERT-FR recommande l'application du correctif
dans les plus brefs délais.

Vulnérabilité dans Microsoft Exchange Server

Bulletin de sécurité Microsoft CVE-2020-0688 du 10 février 2020


Windows 10 version 1909

Windows 10 version 1903

Windows Server (Server Core Installation) version 1909

Windows Server (Server Core Installation) version 1903

## Solution

**\[Mise à jour du 12 mars 2020\]**

Microsoft a publié un correctif pour la vulnérabilité CVE-2020-0796. Le
CERT-FR recommande d'appliquer la mise à jour dans les plus brefs
délais. L'application du correctif ne dispense pas de respecter les
bonnes pratiques rappelées ci-après.

**\[Publication initiale\]**

Dans l'attente d'un correctif de l'éditeur, le CERT-FR demande que le
contournement publié par l'éditeur \[1\] soit immédiatement appliqué.

Il est important de souligner que ce contournement protège le service
'serveur' SMB et ne nécessite pas de redémarrage. En revanche, les
**clients SMB restent vulnérables**.

Le CERT-FR rappelle que les règles de bonnes pratiques de sécurisation
des environnements Microsoft doivent être scrupuleusement respectées :

-   Interdire tout flux SMB sur les ports TCP/139 et TCP/445 en entrée
    et en sortie du Système d'Information \[2\] ;
-   Pour le cloisonnement interne : n'autoriser les flux SMB que lorsque
    cela est nécessaire (contrôleurs de domaine, serveurs de fichiers,
    etc.) et bloquer ce flux entre postes de travail ;
-   Pour les postes nomades : interdire tous les flux SMB entrant et
    sortant et n'autoriser ces flux vers des serveurs SMB qu'au travers
    d'un VPN sécurisé \[3\]\[4\]

Ces mesures sont de portée générale et doivent être appliquées
systématiquement au sein d'un Système d'Information.

[4] Recommandations sur le nomadisme numérique

[3] Bulletin d'actualité CERT-FR

Avis CERT-FR CERTFR-2020-AVI-149 https://www.cert.ssi.gouv.fr/avis/CERTFR-2020-AVI-149

[2] Recommandations relatives au blocage de ports de pare-feu spécifiques pour empêcher le trafic SMB de quitter l'environnement d'entreprise

Version initiale

Publication du correctif

Des codes d'exploitation sont disponibles publiquement.

La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 02 juin 2020\]

Des codes d'exploitation ont été publiés publiquement pour la
vulnérabilité CVE-2020-0796. Celle-ci affecte l'implémentation du
protocole SMB par Microsoft et permet une exécution de code arbitraire à
distance. Il est donc urgent d'appliquer les mises à jour si ce n'a pas
encore été fait.

\[Publication initiale\]

Les solutions Microsoft reposent sur un grand nombre de services réseau
dont un service de partage de ressources (fichiers, imprimantes, ...)
dénommé *SMB*. Ce service est présent à la fois sur les postes de
travail et sur les serveurs Windows.

Microsoft a ajouté une extension au protocole SMB V3.1.1 permettant la
compression des flux. Cette extension, activée par défaut, est
implémentée depuis certaines versions de Windows (cf. ci-dessus). Les
serveurs Windows Server 2019, Windows Server 2016 ainsi que les versions
antérieures ne sont pas affectés.

Le 10 mars 2020, l'éditeur a publié un avis concernant une vulnérabilité
affectant la gestion de la compression dans son implémentation du
protocole SMB. Cette vulnérabilité est de type débordement de tampon et
permet à un attaquant de provoquer une exécution de code arbitraire à
distance sans authentification (*preauth*).

La fonction vulnérable est utilisée à la fois par le client et le
serveur qui partage des ressources (fichier, imprimante). Par
conséquent, une personne malveillante pourrait exploiter cette
vulnérabilité pour compromettre un serveur de ressources SMB, puis, par
rebond, toutes les machines qui se connecteraient à ce serveur : la
compromission en chaîne de machines vulnérables est donc possible.

Des informations sur cette vulnérabilité ont été divulguées par des
chercheurs alors que Microsoft n'a pas publié de correctif.

Le CERT-FR estime que des codes d'exploitation sont susceptibles d'être
publiés rapidement.

Vulnérabilité dans l'implémentation du protocole SMB par Microsoft

[1] Bulletin de sécurité Microsoft ADV200005 du 10 mars 2020


Windows 10 Version 1809 for 32-bit Systems

Windows 10 Version 1909 for x64-based Systems

Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1

Windows 10 Version 1709 for x64-based Systems

Windows 10 Version 1709 for ARM64-based Systems

Windows 10 Version 1709 for 32-bit Systems

Windows 10 Version 1803 for x64-based Systems

Windows 10 Version 1903 for x64-based Systems

Windows 10 Version 1803 for ARM64-based Systems

Windows 10 Version 1803 for 32-bit Systems

Windows 10 Version 1903 for ARM64-based Systems

Windows 10 Version 1903 for 32-bit Systems

Windows Server 2008 for Itanium-Based Systems Service Pack 2

Windows 10 for x64-based Systems

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2012

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2016 (Server Core installation)

Windows 8.1 for 32-bit systems

Windows 7 for 32-bit Systems Service Pack 1

Windows RT 8.1

Windows 8.1 for x64-based systems

Windows Server 2019 (Server Core installation)

Windows Server 2012 R2 (Server Core installation)

Windows 10 Version 1607 for x64-based Systems

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2019

Windows 10 Version 1909 for 32-bit Systems

Windows 10 Version 1809 for ARM64-based Systems

Windows 7 for x64-based Systems Service Pack 1

Windows 10 for 32-bit Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1909 for ARM64-based Systems

## Solution

Se référer au bulletin de sécurité de l'éditeur (cf. section
Documentation).

## Contournement provisoire

**\[Mise à jour du 15 avril 2020\]**

Les correctifs de sécurité sont disponibles depuis le 14 avril 2020, le
CERT-FR recommande donc de privilégier leur application par rapport aux
mesure de contournement décrites ci-après.

**\[Publication initiale\]**

Le CERT-FR recommande d'appliquer les contournements proposés par
l'éditeur dans son bulletin de sécurité à savoir :

-   La désactivation du panneau de prévisualisation dans Windows
    Explorer
-   La désactivation du service WebClient
-   Le renommage ou la désactivation de la bibliothèque ATMFD.DLL

Les deux premières mesures permettent de limiter le chargement
automatique de la bibliothèque, mais seul la dernière mesure  permet de
contourner la vulnérabilité.

Avis CERT-FR CERTFR-2020-AVI-224 du 15 avril 2020

Version initiale

Disponibilité des correctifs et ajout des identifiants CVE

Correction CVE-2020-1020 au lieu de CVE-2020-2010

Clôture de l'alerte. La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 15 avril 2020\]

Le 14 avril 2020, Microsoft a publié les correctifs de sécurité pour les
vulnérabilités CVE-2020-1020 et CVE-2020-0938 à l'occasion de sa mise à
jour mensuelle. Le CERT-FR recommande l’application des correctifs dans
les plus brefs délais.

Microsoft a également mis à jour son
avis [ADV200006](https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200006) pour
donner les étapes à suivre pour annuler les effets des mesures de
contournement (voir les paragraphes "How to undo the workaround.").

\[Publication initiale\]

La bibliothèque *Adobe Type Manager Library* utilisée dans *Microsoft
Windows* assure la gestion des polices de caractère pour le format
postscript. Celle-ci est chargée lors de la lecture d'un fichier. La
lecture d'un fichier peut être demandée explicitement par l'utilisateur
(ouverture d'une pièce jointe) comme implicitement réalisée par un
moteur de rendu automatique (prévisualisation de miniatures).

Le 23 mars 2020, l'éditeur a émis un bulletin de sécurité indiquant que
cette bibliothèque ne prenait pas correctement en charge le traitement
des polices de caractère multi-maîtres. Les deux vulnérabilités
associées sont en ce moment exploitées dans la cadre d'un nombre limité
d'attaques ciblées. L'éditeur prévoit d'intégrer le correctif dans son
cycle régulier de mise à jour.

Ces vulnérabilités peuvent être exploitées en demandant à un utilisateur
d'ouvrir un fichier malveillant ou en affichant le document dans
l'espace de prévisualisation de l'explorateur de fichier.

Il est à noter que le panneau de prévisualisation de *Microsoft Outlook*
n'est pas impacté par cette vulnérabilité et que l'impact est limité
pour les versions de *Windows* 10 supérieures ou égales à 1703 pour
lesquelles la gestion des polices de caractère est gérée dans des
conteneurs.

Multiples vulnérabilités dans Microsoft Windows

Bulletin de sécurité Microsoft Windows ADV200006 du 23 mars 2020


Firefox versions antérieures à ESR 68.6.1

Firefox versions antérieures à 74.0.1

Avis CERT-FR CERTFR-2020-AVI-187 https://www.cert.ssi.gouv.fr/avis/CERTFR-2020-AVI-187

Version initiale

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
Le 3 avril 2020, Mozilla a publié des correctifs pour deux
vulnérabilités affectant le navigateur Firefox.

Mozilla annonce que ces deux vulnérabilités, qui permettent une
exécution de code arbitraire à distance, sont activement exploitées dans
le cadre d'attaques ciblées.

Le CERT-FR recommande l’application de la mise à jour dans les plus
brefs délais. Lorsque cela n'est pas possible, le CERT-FR recommande
l'utilisation d'un autre navigateur, à condition que celui-ci dispose
des dernières mises à jour de sécurité.

Multiples vulnérabilités dans Mozilla Firefox

Bulletin de sécurité Mozilla mfsa2020-11 du 03 avril 2020


Office 365 ProPlus pour systèmes 32 bits

Microsoft Office 2019 pour éditions 32 bits

Office 365 ProPlus pour systèmes 64 bits

Microsoft Office 2019 pour éditions 64 bits

Paint 3D

Microsoft Office 2016 Click-to-Run (C2R) pour éditions 64 bits

Microsoft Office 2016 Click-to-Run (C2R) pour éditions 32 bits

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Microsoft annonce qu'il n'existe pas de mesure de contournement pour ces
vulnérabilités.

Version initiale

Correction de la date du bulletin de sécurité Autodesk

Exécution de code arbitraire à distance

Summary:
Le 21 avril 2020, Microsoft a publié un avis de sécurité annonçant la
sortie d'un correctif pour multiples vulnérabilités affectant ses
produits qui utilisent la bibliothèque Autodesk FBX.

Ces vulnérabilités permettent à un attaquant d'exécuter du code
arbitraire à distance si un utilisateur ouvre un fichier spécialement
conçu comprenant du contenu 3D.

Le CERT-FR recommande l'application des correctifs dans les plus brefs
délais.

Multiples vulnérabilités dans les produits Microsoft qui utilisent la bibliothèque Autodesk FBX

Bulletin de sécurité Autodesk adsk-sa-2020-0002 du 15 avril 2020

Bulletin de sécurité Microsoft ADV200004 du 21 avril 2020

Avis CERT-FR CERTFR-2020-AVI-236 du 22 avril 2020


SaltStack versions antérieures à 2019.2.4 et 3000.2

[1] Recommandations relatives à l'administration sécurisée des systèmes d'information

Avis CERT-FR du 04 mai 2020

Version initiale

Ajout des bulletins de sécurité VMware, Debian et SUSE

Ajout du bulletin de sécurité Cisco cisco-sa-salt-2vx545AG du 29 mai 2020

La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire

Contournement de la politique de sécurité

Summary:
De multiples vulnérabilités ont été découvertes dans les deux versions
2019 et 3000 de la solution SaltStack. Elles permettent à un attaquant
de provoquer une exécution de code arbitraire et un contournement de la
politique de sécurité.

Plusieurs incidents de sécurité ont été relayés en source ouverte suite
à des attaques ciblées.

Le CERT-FR recommande l’application de la mise à jour dans les plus
brefs délais selon les recommandations de l'éditeur.

Enfin, le CERT-FR recommande également d'appliquer les bonnes pratiques
de cloisonnement des composants d'administration \[1\] et de renouveler
les secrets d'authentification utilisés par la solution SaltStack. Il
est enfin fortement recommandé de procéder à une vérification de la
sécurité du Système d’Information afin de détecter une attaque
éventuelle.

Multiples vulnérabilités dans  SaltStack

Bulletin de sécurité Debian dsa-4676 du 06 mai 2020

Bulletin de sécurité SUSE suse-su-20201147-1 du 29 avril 2020

Bulletin de sécurité SUSE suse-su-202014351-1 du 29 avril 2020

Bulletin de sécurité VMware VMSA-2020-0009 du 08 mai 2020

Bulletin de sécurité SUSE suse-su-20201150-1 du 29 avril 2020

Bulletin de sécurité SUSE suse-su-202014350-1 du 29 avril 2020

Bulletin de sécurité SUSE suse-su-20201151-1 du 29 avril 2020

Bulletin de sécurité SaltStack du 30 avril 2020

Bulletin de sécurité Cisco cisco-sa-salt-2vx545AG du 29 mai 2020


Windows Server, version 2004 (Server Core installation)

Windows 10 version 1803 pour systèmes ARM64

Windows 10 version 1709 pour systèmes ARM64

Windows 10 version 1709 pour systèmes 32 bits

Windows 10 version 1903 pour systèmes 32 bits

Windows 10 version 1809 pour systèmes 32 bits

Windows 10 version 2004 pour systèmes x64

Windows 10 version 1809 pour systèmes x64

Windows 10 version 1803 pour systèmes x64

Windows Server 2019 (Server Core installation)

Windows Server 2019

Windows Server, version 1909 (Server Core installation)

Windows 10 version 1909 pour systèmes 32 bits

Windows Server, version 1709 (Server Core Installation)

Windows 10 version 2004 pour systèmes 32 bits

Windows 10 version 1709 pour systèmes x64

Windows 10 version 1903 pour systèmes x64

Windows 10 version 1909 pour systèmes ARM64

Windows 10 version 2004 pour systèmes ARM64

Windows Server, version 1803 (Server Core Installation)

Windows 10 version 1803 pour systèmes 32 bits

Windows 10 version 1909 pour systèmes x64

Windows 10 version 1809 pour systèmes ARM64

Windows 10 version 1903 pour systèmes ARM64

Windows Server, version 1903 (Server Core installation)

Version initiale

Mise à jour pour refléter les changements apportés par Microsoft à ses avis.

Clôture de l'alerte. La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
<strong>\[Mise à jour du 03 juillet 2020\] </strong>

Microsoft a mis à jour ses avis pour indiquer que les versions Server de
Windows ne sont pas vulnérables.

De même, comme les composants vulnérables sont uniquement disponibles
par le Windows Store, tout système bloquant celui-ci n'est pas
vulnérable.

<strong>\[Publication initiale\]</strong>

Le 30 juin 2020 Microsoft a publié un correctif de sécurité en avance de
phase sur son cycle mensuel.

Ce correctif concerne deux vulnérabilités, identifiées par CVE-2020-1425
et CVE-2020-1457. Celles-ci se situent dans la bibliothèque de Codecs de
Windows et permettent une exécution de code arbitraire à distance.

Ces vulnérabilités s'exploitent lorsqu'un attaquant arrive à faire
charger une image piégée par un système affecté<s>, que ce soit un poste
client ou un serveur</s>.

Microsoft indique qu'il n'existe pas de mesure de contournement pour ces
deux vulnérabilités et que les systèmes vulnérables seront mis à jour de
manière automatisée.

Il est possible de mettre à jour manuellement en passant par
le Microsoft Store.

Multiples vulnérabilités dans Microsoft Windows

Bulletin de sécurité Microsoft CVE-2020-1425 du 30 juin 2020

Bulletin de sécurité Microsoft CVE-2020-1457 du 30 juin 2020

Avis CERT-FR CERTFR-2019-AVI-640 du 01 juillet 2020


PAN-OS versions 9.0.x antérieures à 9.0.9

PAN-OS versions 8.x antérieures à 8.1.15

PAN-OS versions 9.1.x antérieures à 9.1.3

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Si le mode d'authentification *SAML* n'est pas activé, la vulnérabilité
ne peut être exploitée.

Si l'option de vérification de certificats est activée ("*Validate
Identity Provider Certificate*"), la vulnérabilité ne peut être
exploitée mais cela requiert que le fournisseur d'identité dispose d'un
certificat signé par une autorité de certification. La vérification de
certificats n'est pas une obligation dans le protocole *SAML*,
d'ailleurs tous les fournisseurs ne prévoient pas cette possibilité.

Le CERT-FR recommande donc l'application des mises à jour dans les plus
brefs délais.

Version initiale

La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Contournement de la politique de sécurité

Summary:
Le 29 juin 2020, Palo Alto Networks a publié un avis de sécurité
concernant la vulnérabilité CVE-2020-2021.

Cette vulnérabilité permet de contourner le système d’authentification
sur plusieurs de ses produits lorsque le mode
d’authentification *Security Assertion Markup Language (SAML)* est
activé.

Dans le protocole *SAML*, on rencontre trois types d'entités:

1.  l'utilisateur, ou le commettant (*principal*) ;
2.  le service (*service provider*) ;
3.  le fournisseur d'identité (*identity provider*)

Le fournisseur d'identité sert de tiers de confiance entre l'utilisateur
et le service et permet de vérifier les identités et les autorisations
de chacun.

L'autorisation délivrée par le fournisseur d'identité est communiquée au
service sous la forme d'un document *XML* signé par le fournisseur
d'identité.

Ici, la vulnérabilité se trouve dans le mécanisme de vérification de la
signature par le service (Palo Alto Networks). Un attaquant
non-authentifié peut forger une autorisation que le service acceptera
comme ayant été validée par le fournisseur d'identité. Il pourra ainsi
s'authentifier de manière frauduleuse et obtenir les mêmes droits que la
personne pour laquelle il se fait passer.

Vulnérabilité dans Palo Alto Networks PAN-OS

Bulletin de sécurité Palo Alto Networks CVE-2020-2021 du 29 juin 2020

Avis CERT-FR CERTFR-2020-AVI-398 du 29 juin 2020


BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 15.x antérieures à 15.1.0.4

BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 11.5.x et 11.6.x antérieures à 11.6.5.2

BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 13.1.x antérieures à 13.1.3.4

BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 12.1.x antérieures à 12.1.5.2

BIG-IP (LTM, AAM, AFM, Analytics, APM, ASM, DNS, FPS, GTM, Link Controller, PEM) versions 14.1.x antérieures à 14.1.2.6

## Solution

**\[Mise à jour du 28 juillet 2020\]**

Le 22 juillet 2020, F5 a publié un outil qui tente de détecter des
traces de compromission : https://github.com/f5devcentral/cve-2020-5902-ioc-bigip-checker/.

Le 27 juillet 2020, l'US-CERT a publié une alerte contenant une règle de
détection au format Snort
: https://us-cert.cisa.gov/ncas/alerts/aa20-206a.

**\[Publication initiale\]**

Il est impératif d'**appliquer les correctifs de sécurité** publiés par
l'éditeur. Se référer au bulletin de sécurité de l'éditeur pour
l'obtention des correctifs \[1\] (cf. section Documentation).

**En cas de suspicion d'accès non autorisé à l'interface
d'administration tmui**, si cette interface était accessible depuis un
réseau non sûr, le CERT-FR recommande fortement de :

-   renouveler les mots de passe des comptes techniques et des comptes
    utilisateurs déclarés sur les équipements BIG-IP ;
-   révoquer et renouveler les certificats x509 déclarés sur les
    équipements BIG-IP ainsi que sur les éventuels autres équipements
    utilisant ces mêmes certificats x509 s'il s'agit de certificats
    multi-domaines (*wildcard*).

Le CERT-FR rappelle également que l'éditeur a publié des bonnes
pratiques afin de **sécuriser l'administration de ses équipements**
\[2\]. Il convient notamment de :

-   connecter le port d'administration sur un **réseau d'administration
    sécurisé** ;
-   **interdire** l'accès à l'interface d'administration tmui via les
    adresses IP "*Self IP*" ;

------------------------------------------------------------------------

La mise à jour d'un
produit ou d'un logiciel est une opération délicate qui doit être menée
avec prudence. Il est notamment recommander d'effectuer des tests autant
que possible. Des dispositions doivent également être prises pour
garantir la continuité de service en cas de difficultés lors de
l'application des mises à jour comme des
correctifs ou des changements de version.

## Contournement provisoire

**\[Mise à jour du 08 juillet 2020\]**

Le 07 juillet 2020, F5 a mis à jour son avis de sécurité. La mesure de
contournement initialement préconisée s'avère incomplète. Le CERT-FR
recommande l'application du correctif. Dans les cas où ce n'est pas
possible, il est impératif de mettre à jour les propriétés *httpd* avec
les changements indiqués dans l'avis F5 (cf. section Documentation).

**\[Publication initiale\]**

Dans la mesure où les solutions peuvent nécessiter des modifications
importantes, l'éditeur préconise un **contournement permettant de se
prémunir contre un accès non autorisé par un attaquant non
authentifié**. L'éditeur indique que ce contournement ne devrait pas
avoir de conséquence sur le fonctionnement de l'équipement. Il s'agit
d'éditer les propriétés du serveur web et ajouter une nouvelle règle
dans la section 'include' afin d'interdire des requêtes HTTP utilisant
une syntaxe particulière pour l'URL. Ces recommandations sont indiquées
dans l'avis de l'éditeur :
<https://support.f5.com/csp/article/K52145254#all>

L'éditeur précise que ce contournement n'empêche pas un utilisateur
authentifié d'exploiter la vulnérabilité.

[2] Bulletin F5 Networks pour la sécurisation de l'administration des équipements BIG-IP

Outil de détection F5

Alerte US-CERT AA20-206A

Version initiale

Mise à jour des recommandations F5.

Ajout de l'outil F5 et du lien vers l'alerte de l'US-CERT

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
Le 1er juillet 2020, F5 Networks a publié un avis de sécurité \[1\]
concernant la vulnérabilité CVE-2020-5902. Cette vulnérabilité permet à
un attaquant non authentifié (ou un utilisateur authentifié) ayant un
accès réseau à l'interface d'administration tmui, d'exécuter un code
arbitraire à distance. Cette vulnérabilité a un score CVSS de 10. Cette
interface est accessible depuis le port d'administration ainsi que via
les adresses IP "*Self IP*" éventuellement configurées sur l'équipement
BIG-IP.

Note importante : Des campagnes de détection sont rapportées
publiquement et des preuves de concept ont été publiées depuis le 04
juillet. Ces preuves de concept permettent notamment d'accéder à des
fichiers de configuration.

Le CERT-FR considère qu'il est impératif d'appliquer sans délai les
règles de configuration afin d'interdire l'accès à l'interface
d'administration depuis un réseau non sécurisé ainsi que d'appliquer les
correctifs publiés par l'éditeur.

Vulnérabilité dans F5 BIG-IP

Avis CERT-FR CERTFR-2020-AVI-399 du 01 juillet 2020

[1] Bulletin de sécurité F5 K52145254 du 01 juillet 2020


Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2012

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server, version 1903 (Server Core installation)

Windows Server 2016 (Server Core installation)

Windows Server 2019 (Server Core installation)

Windows Server 2012 R2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2016

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2019

Windows Server, version 2004 (Server Core installation)

Windows Server, version 1909 (Server Core installation)

## Solution

**Les correctifs ont été publiés par
Microsoft le 14/07/2020 et doivent être appliqués au plus
vite.**

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

------------------------------------------------------------------------

La mise à jour d'un produit ou d'un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommander
d'effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l'application des mises à jour comme des correctifs
ou des changements de version.

## Contournement provisoire

Les correctifs ont été publiés par
Microsoft le 14/07/2020 et doivent être appliqués au plus vite.
Cependant, un contournement temporaire peut être appliqué.

L’attaque consiste à répondre à une
requête avec une réponse dépassant la taille de 65535 octets. Au-delà de
4096 octets, les services DNS utilisent le protocole TCP pour échanger
les messages.

Le contournement proposé par
l'éditeur \[1\] consiste à limiter la taille des messages acceptés par
le service. Cette modification consiste à ajouter une clé de registre et
à redémarrer le service DNS :

``` EnlighterJSRAW
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters" /v "TcpReceivePacketSize" /t REG_DWORD /d 0xFF00 /f
net stop DNS && net start DNS
```

Cette opération doit être réalisée
sur l’ensemble des machines portant le service Microsoft DNS
Server

[1] Bulletin du support technique Microsoft sur la vulnérabilité CVE-2020-1350

Version initiale

Rappel de l'urgence d'appliquer le correctif.

Clôture de l'alerte. La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[mise à jour du 17 juillet 2020\]

Une première preuve de concept permettant de provoquer un déni de
service a été publiée le 16 juillet 2020.

Le CERT-FR rappelle qu'il est urgent d'appliquer le correctif publié par
l'éditeur sans délai.

\[version initiale\]

Une vulnérabilité a été découverte dans le service Microsoft Domain Name
System (*DNS*) Server. Cette vulnérabilité se situe dans le code qui
analyse les réponses à des requêtes *DNS*. Elle peut être exploitée par
un attaquant qui aurait le contrôle d'un serveur *DNS* ayant autorité
sur un nom de domaine Internet. En construisant une réponse, dans un
format particulier, à une requête légitime émise par un serveur
Microsoft *DNS* Server, l'attaquant peut provoquer un dépassement de
tampon (*buffer overflow*) au niveau du service Microsoft *DNS* Server.

L'exploitation de cette vulnérabilité peut résulter en une exécution de
code arbitraire avec les privilèges SYSTEM.

Le service Microsoft *DNS* Server étant généralement activé sur les
contrôleurs de domaines *Active Directory*, l'attaquant est alors
capable de compromettre les contrôleurs de domaines *Active Directory*
du système d'information.

Vulnérabilité dans Microsoft Domain Name System (DNS) Server

Bulletin de sécurité Microsoft CVE-2020-1350 du 14 juillet 2020

Avis CERT-FR CERTFR-2020-AVI-429 du 15 juillet 2020


LM Configuration Wizard de SAP NetWeaver AS JAVA version 7.50

LM Configuration Wizard de SAP NetWeaver AS JAVA version 7.30

LM Configuration Wizard de SAP NetWeaver AS JAVA version 7.40

LM Configuration Wizard de SAP NetWeaver AS JAVA version 7.31

## Solution

L'exposition de Netweaver AS requiert l'application des correctifs sans
délai. Se référer au bulletin de sécurité de l'éditeur pour l'obtention
des correctifs (cf. section Documentation).

Le CERT-FR recommande également d'appliquer les mesures de sécurisation
des applications accessibles en nomadisme \[1\].

------------------------------------------------------------------------

La mise à jour d'un produit ou d'un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommander
d'effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l'application des mises à jour comme des correctifs
ou des changements de version.

Bulletin de sécurité SAP du 14 juillet 2020

[1] Guide ANSSI sur le nomadisme numérique

Version initiale

Des codes d'attaques sont disponibles publiquement.

Atteinte à la confidentialité des données

Atteinte à l'intégrité des données

Contournement de la politique de sécurité

Summary:
\[Mise à jour du 22 juillet 2020\]

Le CERT-FR a connaissance de codes d'attaques disponibles publiquement.

Le CERT-FR renouvelle sa recommandation d'appliquer les correctifs de
sécurité dans les plus brefs délais.

SAP fournit plus de renseignements à ses clients dans sa note 2934135
(<https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html>)

\[Publication initiale\]

De multiples vulnérabilités ont été découvertes dans le composant LM
Configuration Wizard de SAP Netweaver AS JAVA. Un attaquant non
authentifié peut contourner la politique de sécurité pour exécuter
différentes actions d'administration. En particulier, l'attaquant est en
mesure de créer un compte avec les droits administrateurs pour se
maintenir sur le système.

Multiples vulnérabilités dans SAP Netweaver AS JAVA

Bulletin CERT-FR CERTFR-2020-AVI-432 du 15 juillet 2020


Cisco Adaptive Security Appliance (ASA) versions 9.12.x antérieures à 9.12.3.12

Cisco Adaptive Security Appliance (ASA) versions antérieures à 9.6.4.42

Cisco Firepower Threat Defense (FTD) versions 6.5.x antérieures à 6.5.0.4 avec les correctifs de sécurité temporaires qui seront disponibles en août 2020 ou 6.5.0.5 (disponible automne 2020)

Cisco Firepower Threat Defense (FTD) versions 6.2.x antérieures à 6.2.3.16

Cisco Adaptive Security Appliance (ASA) versions 9.9.x antérieures à 9.9.2.74

Cisco Firepower Threat Defense (FTD) versions antérieures à 6.6.0.1

Cisco Adaptive Security Appliance (ASA) versions 9.7.x et 9.8.x antérieures à 9.8.4.20

Cisco Firepower Threat Defense (FTD) versions 6.4.x antérieures à 6.4.0.9 avec les correctifs de sécurité temporaires ou 6.4.0.10 (disponible août 2020)

Cisco Adaptive Security Appliance (ASA) versions 9.10.x antérieures à 9.10.1.42

Cisco Adaptive Security Appliance (ASA) versions 9.13.x antérieures à 9.13.1.10

Cisco Firepower Threat Defense (FTD) versions 6.3.x antérieures à 6.3.0.5 avec les correctifs de sécurité temporaires qui seront disponibles en août 2020 ou 6.3.0.6 (disponible automne 2020)

Cisco Adaptive Security Appliance (ASA) versions 9.14.x antérieures à 9.14.1.10

## Solution

Un correctif n'est pas encore disponible pour toutes les versions.

Le CERT-FR recommande de migrer vers une version non vulnérable dans les
plus brefs délais.

Dans tous les cas, le CERT-FR recommande de vérifier les journaux à la
recherche de requêtes suspectes. Si celles-ci sont détectées, il faut en
tirer les conséquences et modifier tous les secrets qui auront pu être
compromis.

Version initiale

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Summary:
Le 22 juillet 2020, Cisco a publié des correctifs pour la vulnérabilité
CVE-2020-3452.

Cette vulnérabilité affecte les équipements Adaptive Security Appliance
(ASA) Software et Firepower Threat Defense (FTD) lorsque les
fonctionnalités WebVPN ou AnyConnect sont activées.

Cette vulnérabilité permet à un attaquant de récupérer le contenu de
n'importe quel fichier appartenant au système de fichiers des services
web. Ce système de fichiers, monté en mémoire, est différent de celui du
système d'exploitation de l'équipement. Il contient néanmoins
potentiellement des informations sensibles sur la machine et sur le
réseau que celle-ci est censée protéger.

Le jour où Cisco a publié ses mises à jour, un chercheur a publié des
preuves de concept permettant d'exploiter cette vulnérabilité.

Le CERT-FR a connaissance de campagnes tentant d'exploiter cette
vulnérabilité.

Vulnérabilité dans Cisco ASA et FTD

Bulletin de sécurité Cisco cisco-sa-asaftd-ro-path-KJuQhB86 du 22 juillet 2020

Avis CERTFR CERTFR-2020-AVI-461 du 23 juillet 2020


[mise à jour du 22 septembre 2020]

L'ensemble des échantillons obtenus par l'ANSSI jusqu'à maintenant a permis de comparer ces derniers avec les listes de marqueurs en sources ouvertes référencés dans la section "Moyens de détection relatifs à Emotet".

La fiabilité de ces flux a été assurée et nous vous encourageons à les intégrer dans vos systèmes de détection.

Contrairement aux recommandations indiquées dans la version précédente de cette alerte, il n'est donc plus nécessaire de nous faire parvenir vos échantillons.

[version initiale]

Depuis quelques jours, l’ANSSI constate un ciblage d’entreprises et administrations françaises par le code malveillant Emotet. Il convient d’y apporter une attention particulière car Emotet est désormais utilisé pour déposer d’autres codes malveillants susceptibles d’impacter fortement l’activité des victimes.

Caractéristiques du cheval de Troie Emotet

Observé pour la première fois mi-2014 en tant que cheval de Troie bancaire, Emotet a évolué pour devenir un cheval de Troie modulaire. Ses différents modules actuels lui permettent :

de récupérer les mots de passe stockés sur un système ainsi que sur plusieurs navigateurs (Internet Explorer, Mozilla Firefox, Google Chrome, Safari, Opera) et boîtes courriel (Microsoft Outlook, Windows Mail, Mozilla Thunderbird, Hotmail, Yahoo! Mail et Gmail) ;

de dérober la liste de contacts, le contenu et les pièces jointes attachées à des courriels ;

de se propager au sein du réseau infecté en tirant parti de vulnérabilités SMB ainsi que des mots de passe récupérés.

Le code malveillant est distribué par le botnet éponyme (lui-même composé de trois groupements de serveurs différents Epoch 1, Epoch 2, Epoch 3, opérés par le groupe cybercriminel TA542) au travers de campagnes massives de courriels d’hameçonnage, souvent parmi les plus volumineuses répertoriées. Ces courriels d’hameçonnage contiennent généralement des pièces jointes Word ou PDF malveillantes, et plus rarement des URL pointant vers des sites compromis ou vers des documents Word contenant des macros.

Ces campagnes d’attaques touchent tous types de secteurs d’activités à travers le monde.

Emotet : loader de codes malveillants tiers

Depuis 2017, Emotet n’est plus utilisé en tant que cheval de Troie bancaire mais distribue, fréquemment au sein des systèmes d’information qu’il infecte, des codes malveillants opérés par des groupes d’attaquants qui sont clients de TA542. Par exemple, les chevaux de Troie bancaires Qbot, Trickbot, IcedID, GootKit, BokBot, Dridex et DoppelDridex peuvent être distribués en tant que seconde charge utile, avec une prédominance en 2020 de Qbot et TrickBot.

En outre, ces derniers peuvent télécharger des rançongiciels au sein du système d’information compromis. C’est par exemple le cas de TrickBot auquel il arrive de télécharger les rançongiciels Ryuk ou Conti.

Ainsi, la détection et le traitement au plus tôt d’un évènement de sécurité lié à Emotet peut prévenir de nombreux types d’attaques, dont celles par rançongiciel avant le chiffrement.

Recrudescence des campagnes d’attaque durant le second semestre 2020

Après une absence de cinq mois, Emotet a refait surface en juillet 2020. Depuis, nombre de ses campagnes d’hameçonnage exploitent une technique de détournement des fils de discussion des courriels (email thread hijacking technique).

Une fois la boîte courriel d’un employé de l’entité victime (ou la boîte courriel générique de l’entité elle-même) compromise, le code malveillant Emotet exfiltre le contenu de certains de ses courriels. Sur la base de ces derniers, les attaquants produisent des courriels d’hameçonnage prenant la forme d’une réponse à une chaîne de courriels échangés entre l’employé et des partenaires de l’entité pour laquelle il travaille. L’objet légitime du courriel d’hameçonnage est alors précédé d’un ou plusieurs « Re : », et le courriel lui-même contient l’historique d’une discussion, voire même des pièces jointes légitimes.

Ces courriels, d’apparence légitime, sont envoyés à des contacts de la victime, et plus particulièrement aux tierces parties de l’entité (clients et prestataires notamment) ayant participé au fil de discussion originel, afin d’accroître leur crédibilité auprès des destinataires.

Outre cette technique, TA542 construit également des courriels d’hameçonnage sur la base d’informations récupérées lors de la compromission des boîtes courriel, qu’il envoie aux listes de contact exfiltrées, ou usurpent plus simplement l’image d’entités, victimes préalables d’Emotet ou non (sociétés de transport, de télécommunication ou encore institutions financières).

Dans tous les cas, il apparaît que les boîtes courriel compromises ne sont pas utilisées pour envoyer des courriels d’hameçonnage mais que ces derniers sont envoyés depuis l’infrastructure des attaquants sur la base d’adresses courriel expéditrices souvent typosquattées.

La France représente une cible des campagnes récentes d’Emotet.

 SOLUTION

Moyens de détection relatifs à Emotet

Plusieurs flux existent contenant des indicateurs de compromission actualisés relatifs à Emotet, ce code faisant l’objet de nombreuses investigations dans les secteurs public et privé. Parmi ces flux, https://paste.cryptolaemus.com/ et https://feodotracker.abuse.ch/browse/ représentent des sources fiables qu’il est recommandé d’intégrer dans ses moyens de détection et de blocage.

A noter aussi :

Les chercheurs de Cryptolaemus fournissent notamment des expressions régulières permettant de détecter des liens utilisés dans les courriels malveillants. Ils sont disponibles dans les bulletins quotidiens de l’équipe de chercheurs, dans le paragraphe « Link Regex Report ».

Des règles de détection YARA d’Emotet ont été produites par ReversingLabs : https://github.com/reversinglabs/reversinglabs-yara-rules/blob/develop/yara/trojan/Win32.Trojan.Emotet.yara.

Emocheck, un outil créé par le CERT japonais, permet de détecter la présence du trojan Emotet sur une machine Windows. Emotet utilisant un dictionnaire prédéfini pour le nom de ses processus, ce programme vérifie si un programme en cours d’exécution correspond à ce dictionnaire précis. L’outil est disponible en source ouverte : https://github.com/JPCERTCC/EmoCheck.

Recommandations

Sensibiliser les utilisateurs à ne pas activer les macros dans les pièces jointes et à être particulièrement attentifs aux courriels qu’ils reçoivent et réduire l’exécution des macros.

Limiter les accès Internet pour l’ensemble des agents à une liste blanche contrôlée.

Déconnecter les machines compromises du réseau sans en supprimer les données.

De manière générale, une suppression / un nettoyage par l’antivirus n’est pas une garantie suffisante. Seule la réinstallation de la machine permet d’assurer l’effacement de l’implant.

Malwarebytes – 2019

Bleeping Computer – juillet 2020

Cofense – avril 2019

Proofpoint – août 2020

US-CERT – janvier 2020

JP CERT – décembre 2019

Version initiale

Mise à jour

retrait de la mention sur la transmission des échantillons

Clôture de l'alerte.

Exécution de code arbitraire à distance

Recrudescence d'activité Emotet en France

Article Proofpoint


Windows Server, version 1903 (Server Core installation)

Windows Server, version 2004 (Server Core installation)

Windows Server, version 1909 (Server Core installation)

Windows Server 2012

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2016 (Server Core installation)

Windows Server 2019 (Server Core installation)

Windows Server 2012 R2 (Server Core installation)

Windows Server 2016

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2019

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation) et suivre les informations
communiquées par l'éditeur concernant le déploiement progressif de la
sécurisation du protocole Netlogon \[1\].

------------------------------------------------------------------------

La mise à jour d'un produit ou d'un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommander
d'effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l'application des mises à jour comme des correctifs
ou des changements de version.

[5] Billet de Microsoft

[4] Alerte CERT-FR concernant Samba configuré comme contrôleur de domaine

[2] Guide technique Microsoft concernant la mise en place de l'audit sur la gestion des comptes

Version initiale

ajout des règles de prudence dans la section ad hoc

modification du score CVSS en cohérence avec le score de base indiqué par Microsoft

ajout d'informations d'aide à la détection

Complément d'information sur l'exploitation active de la vulnérabilité

Mise à jour des informations de détection

Rappel de la dernière étape de correction prévue pour le 09 février 2021

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Élévation de privilèges

Summary:
\[Mise à jour du 20 janvier 2021\]

L'éditeur rappelle dans un billet de blog que la dernière étape de
correction pour la vulnérabilité CVE-2020-1472 aura lieu lors du *Patch
Tuesday* du 9 février 2021 \[5\].

Il est donc impératif d'avoir réalisé l'ensemble des étapes préalables
avant cette date, conformément au guide de l'éditeur (\[1\]).

\[Mise à jour du 25 septembre 2020\]

L'évolution actuelle des méthodes d'attaques diminue fortement les
capacités de détection à l'aide des journaux d'évènements de Microsoft
Windows. La section "Informations d'aide à la détection" a été mise à
jour.

\[Mise à jour du 24 septembre 2020\]

Microsoft confirme l'exploitation de cette vulnérabilité par des
attaquants.

Le CERT-FR rappelle qu'il est impératif d'appliquer le correctif de
l'éditeur sans délai sur tous les contrôleurs de domaine (DC, RODC),
ainsi que de suivre les recommandations de l'éditeur concernant les
évolutions à venir pour renforcer la sécurité du protocole Microsoft
Netlogon \[1\].

Microsoft Security Intelligence a par ailleurs publié des marqueurs
techniques de codes d'exploitation (voir ci-dessous, section
"Information d'aide à la détection").

Le CERT-FR rappelle également que Samba, configuré en contrôleur de
domaine, est potentiellement vulnérable et qu'il convient de le
sécuriser également sans délai \[4\].

\[Mise à jour du 21 septembre 2020\]

Des informations d'aide à la détection sont consultables ci-dessous.

\[version initiale\]

Le 11 août 2020, Microsoft a publié un avis de sécurité concernant
la correction d'une vulnérabilité affectant le protocole Netlogon Remote
Protocol.

Le CERT-FR a émis un avis le 12 août 2020 ainsi que des bulletins
informant de la situation. Cette vulnérabilité, jugée critique (score
CVSS3 de 10 sur 10), concerne les différentes versions de Microsoft
Windows Server où le rôle ADDS (Active Directory Domain Services) est
installé et où le serveur joue le rôle de contrôleur de domaine. Cette
vulnérabilité peut aisément être exploitée par un acteur mal intentionné
ayant un accès aux ports TCP ouverts par le service Netlogon.

L'exploitation de cette vulnérabilité peut entraîner une élévation de
privilèges sur les contrôleurs de domaine ayant pour conséquence l'accès
à l'ensemble des ressources gérées par les domaines Active Directory. La
mise à jour de cette vulnérabilité doit être complétée par plusieurs
modifications du système détaillées dans un article publié par Microsoft
\[1\].

Des codes d'exploitation ont été publiés récemment sur Internet. Si
vous n'avez pas déployé les correctifs mis à disposition par l'éditeur
le 11 août 2020, il est nécessaire de les appliquer sans délai et
d'effectuer des contrôles du système d'information afin de détecter une
éventuelle compromission, notamment en investiguant vos journaux
systèmes et réseaux afin d’identifier les éventuelles connexions
illégitimes et les possibles latéralisation par un ou plusieurs
attaquants sur votre infrastructure.

Par ailleurs, le CERT-FR rappelle que les contrôleurs de domaines, en
tant que systèmes névralgiques, ne doivent, en aucun cas, être
accessibles directement depuis internet.

Pour rappel :

-   Les bons réflexes en cas d’intrusion sur un système d’information :
    </information/CERTA-2002-INF-002/>
-   Le guide d’hygiène informatique :
    <https://www.ssi.gouv.fr/uploads/2017/01/guide_hygiene_informatique_anssi.pdf>

------------------------------------------------------------------------

#### Informations d'aide à la détection

\[25 septembre 2020\] IMPORTANT : Les informations ci-dessous
permettent de détecter la méthode d'attaque décrite initialement par les
chercheurs, qui consiste à modifier le mot de passe du compte d'une
machine contrôleur de domaine. D'autres chemins d'attaque existent
désormais qui ne produiront donc pas les mêmes évènements.

Il est possible, dans certaines conditions, de détecter une tentative
d'exploitation qui aurait pu subvenir avant application du correctif de
Microsoft, grâce aux journaux générés par Windows.

Pour cela, la politique d'audit "Gestion du compte \> Auditer la gestion
des comptes d'ordinateur" \[2\] doit être activée sur les contrôleurs de
domaine. Les événements "Un compte d'ordinateur a été modifié", dont
l'identifiant est 4742, sont ainsi générés dans le journal de
sécurité.

De tels événements sont générés de manière légitime lorsqu'un compte
d'ordinateur renouvelle son mot de passe. Néanmoins, l'attaque Zerologon
conduit aux spécificités suivantes :

-   le champ SubjectUserName est "ANONYMOUS LOGON" ;
-   le champ TargetUserName est le compte machine d'un contrôleur de
    domaine.

Sur certains SI, des événements 4742 pourraient être générés avec le
champ SubjectUserName égal à « ANONYMOUS LOGON ». Bien que ce ne soit
pas le fonctionnement normal d'un SI, il n'est toutefois pas forcément
révélateur d'une attaque mais pourrait provenir d'un défaut de
configuration.

Lors des analyses du CERT-FR, des événements avec l'identifiant 5805
indiquant un accès refusé de Netlogon ont également été identifiés en
combinaison avec l'événement 4742 pré-cité mais uniquement lors de la
première attaque. Ces événements se trouvent dans le journal "système".

Il est fort probable que suite à une attaque réussie, un attaquant
cherche à réaliser les actions suivantes qui peuvent également être
identifiées grâce aux journaux :

-   l'attaquant pourrait utiliser le compte machine compromis pour mener
    d'autres actions telles que DCSync. Un événement d'authentification
    distante réussi (4624) avec le compte machine compromis pourrait
    avoir lieu ;
-   l'attaquant pourrait changer une seconde fois le mot de passe du
    compte machine, générant ainsi un second événement 4742 pour
    cette machine. En effet, le changement du mot de passe du compte
    machine du contrôleur de domaine conduit généralement à
    l'impossibilité pour d'autres services de s'authentifier auprès de
    lui. Cet effet de bord est expliqué ici \[3\]. Dans un
    fonctionnement normal, le mot de passe d'un compte machine n'est par
    renouvelé plusieurs fois en quelques heures.

Après application du correctif publié le 11 août par Microsoft, de
nouveaux évènements sont disponibles afin de  journaliser les demandes
de connexion de machines via un Secure Channel vulnérable \[1\].

Le 24 septembre2020, Microsoft Security Intelligence a publié des
marqueurs techniques de codes d'exploitation (SHA-256) :

>     b9088bea916e1d2137805edeb0b6a549f876746999fbb1b4890fb66288a59f9d
>     24d425448e4a09e1e1f8daf56a1d893791347d029a7ba32ed8c43e88a2d06439
>     c4a97815d2167df4bdf9bfb8a9351f4ca9a175c3ef7c36993407c766b57c805b
>
>

[MàJ] Vulnérabilité dans Microsoft Netlogon

Bulletin de sécurité Microsoft du 11 août 2020

Bulletin CERT-FR CERTFR-2020-ACT-005 du 14 septembre 2020

avis CERT-FR CERTFR-2020-AVI-501 du 12 août 2020

Bulletin CERT-FR CERTFR-2020-ACT-003 du 17 août 2020

[1] Publication du Support Technique Microsoft du 14 août 2020


[mise à jour du 18 septembre 17h00]

Samba 4.12.x configuré en tant que contrôleur de domaine versions antérieures à 4.12.6

Samba 4.11.x configuré en tant que contrôleur de domaine versions antérieures à 4.11.12

Samba 4.10.x configuré en tant que contrôleur de domaine versions antérieures à 4.10.17

Samba 4.9, 4.8 configuré en tant que contrôleur de domaine si la configuration du protocole Netlogon a été modifiée

toutes versions antérieures à 4.8

## Solution

**Les codes d'exploitation déjà publiés suite à la publication de la
vulnérabilité Netlogon peuvent être utilisés pour attaquer un serveur
Samba configuré en tant que contrôleur de domaine.**

**\[version du 18 septembre, 17h00\]**

L'éditeur a publié un correctif qui peut être appliqué lorsque
l'installation de Samba a été réalisée à l'aide du code source de
l'éditeur. Ce correctif n'a pas encore été repris par les différents
éditeurs de distribution Linux. Il est donc primordial de respecter la
configuration indiquée par l'éditeur et reprise dans la présente alerte.

**\[version initiale\]**

Les correctifs n'étant pas encore disponible, il est impératif de
modifier la configuration de Samba pour imposer l'utilisation des Secure
Channel afin de prévenir l'exploitation. Cette modification se fait en
spécifiant le paramètre :

>     server schannel = yes

dans le fichier smb.conf.

Pour les versions 4.8 et ultérieures, ce paramètre est par défaut à
'yes'.

Version initiale

correction versions affectées

compléments

correction typographique CVE-2020-1472

Élévation de privilèges

Summary:
\[mise à jour du 18 septembre 17h00\]

L'éditeur du logiciel Samba a publié un avis et des correctifs (cf.
section 'Solution').

\[version initiale\]

La vulnérabilité CVE-2020-1472 pour laquelle Microsoft a publié un
premier correctif le 11 août est une vulnérabilité du protocole
Netlogon. L'éditeur du logiciel Samba confirme donc qu'un serveur
Samba configuré en tant que contrôleur de domaine est également
vulnérable. Cette vulnérabilité permet à un attaquant de réaliser une
élévation de privilège sur le serveur Samba.

Vulnérabilité dans Samba

Avis CERT-FR CERTFR-2020-AVI-579 du 18 septembre 2020

Avis de sécurité Samba du 18 septembre 2020


Oracle Weblogic Server versions 12.1.3.0.0 sans le dernier correctif de sécurité

Oracle Weblogic Server versions 12.2.1.3.0 sans le dernier correctif de sécurité

Oracle Weblogic Server versions 10.3.6.0.0 sans le dernier correctif de sécurité

Oracle Weblogic Server versions 12.2.1.4.0 sans le dernier correctif de sécurité

Oracle Weblogic Server versions 14.1.1.0.0 sans le dernier correctif de sécurité

[1] Alerte de sécurité Oracle du 1er novembre 2020

Version initiale

Nouveau correctif disponible par l'éditeur.

Exécution de code arbitraire à distance

Summary:
\[version du 02 novembre 2020\]

L'éditeur a émis une alerte de sécurité afin de signaler que le
correctif mis à disposition le 20 octobre ne corrige pas complétement la
vulnérabilité CVE-2020-14882. Des patches sont mis à disposition, se
référer à l'alerte de l'éditeur pour obtenir les correctifs \[1\].

L'éditeur souligne que les versions qui ne sont plus supportées peuvent
être affectées par ces vulnérabilités, il est donc primordial de
déployer une version maintenue d'Oracle Weblogic.

Dans le cas où le dernier correctif ne peut pas être déployé rapidement,
il est vivement recommandé d'envisager de désactiver temporairement la
console Weblogic. Se référer à la documentation de l'éditeur.

\[version initiale\]

Le 20 octobre 2020, Oracle a publié plusieurs correctifs de sécurité
concernant Oracle Weblogic. Parmi les vulnérabilités corrigées, la
CVE-2020-14882 permet à un attaquant non authentifié de provoquer une
exécution de code arbitraire à distance.

Déclarée comme très simple à exploiter, des codes d'attaque ont été
publiés le lendemain et des rapports publiés en source ouverte font état
de campagne d'attaques.

Si vous n'avez pas déployé les correctifs mis à disposition par
l'éditeur le 20 octobre 2020, il est nécessaire de les appliquer sans
délai et d'effectuer des contrôles du système d'information afin de
détecter une éventuelle compromission, notamment en investiguant vos
journaux systèmes et réseaux afin d’identifier les éventuelles
connexions illégitimes et les possibles latéralisation par un ou
plusieurs attaquants sur votre infrastructure.

-   Les bons réflexes en cas d’intrusion sur un système d’information :
    </information/CERTA-2002-INF-002/>
-   Le guide d'hygiène informatique :
    <https://www.ssi.gouv.fr/uploads/2017/01/guide_hygiene_informatique_anssi.pdf>

------------------------------------------------------------------------

La mise à jour d’un produit ou d’un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommander
d’effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l’application des mises à jour comme des correctifs
ou des changements de version.

[MàJ] Vulnérabilité dans Oracle Weblogic

bulletin CERT-FR CERTFR-2020-ACT-009 du 27 octobre 2020

avis CERT-FR CERTFR-2020-AVI-667 du 21 octobre 2020

Bulletin de sécurité Oracle du 20 octobre 2020


Google Chrome versions antérieures à 86.0.4240.198

Avis du CERT-FR - CERTFR-2020-AVI-732 du 12 novembre 2020

Avis du CERT-FR - CERTFR-2020-AVI-703 du 03 novembre 2020

Version initiale

Contournement de la politique de sécurité

Exécution de code arbitraire à distance

Summary:
De multiples vulnérabilités ont été découvertes dans Google Chrome.
Elles permettent à un attaquant de provoquer une exécution de code
arbitraire à distance et un contournement de la politique de sécurité.

Plusieurs sources, dont Google, confirment que ces vulnérabilités sont
actuellement utilisées dans le cadre d'attaques ciblées *via* des codes
Javascript intégrés dans des sites Web déjà compromis. Pour certains
d'entre elles, des preuves de concept sont disponibles publiquement.

Multiples vulnérabilités dans Google  Chrome

Bulletin de sécurité Google du 11 novembre 2020

Bulletin de sécurité Google du 02 novembre 2020


VMware vIDM Connector version 3.3.3 pour Windows

VMware vIDM version 3.3.2 pour Linux

VMware vIDM Connector version 3.3.1 pour Windows et Linux

VMware vIDM version 3.3.1 pour Linux

VMware vIDM Connector version 3.3.2 pour Windows et Linux

VMware Access version 20.10 pour Linux

VMware vIDM version 3.3.3 pour Linux

VMware Access version 20.01 pour Linux

VMware Cloud Foundation (vIDM) version 4.x

vRealize Suite Lifecycle Manager (vIDM) version 8.x

## Solution

**\[version du 07 décembre 2020\]** L'éditeur a publié le correctif pour
l'ensemble des versions **\[3\]**.

**\[version initiale\]** A l'heure de rédaction de cette alerte,
l'éditeur n'a pas mis de correctif à disposition. Nous mettrons à jour
cette alerte dès qu'un correctif sera annoncé.

Le CERT-FR recommande fortement :

-   d'appliquer sans délai le contournement publié par l'éditeur
    **\[2\]** tant que le correctif n'est pas déployé. Ce contournement
    permet de désactiver l'interface d'administration et de la réactiver
    uniquement lorsque cela est nécessaire.
-   de ne pas exposer cette interface d'administration (TCP/8443 par
    défaut) en dehors du réseau d'administration \[1\].

------------------------------------------------------------------------

La mise à jour d’un produit ou d’un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommandé
d’effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l’application des mises à jour comme des correctifs
ou des changements de version.

avis CERT-FR CERTFR-2020-AVI-771 du 24 novembre 2020

[3] Correctif officiel publié par VMware

[1] Recommandations de l'ANSSI relatives à l’administration sécurisée des systèmes d’information

[2] Contournement officiel publié par VMware

Version initiale

Publication du correctif par l'éditeur

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans l'interface d'administration des
produits Workspace One Access, Workspace One Access Connector, Identity
Manager et Identity Manager Connector qui regroupent plusieurs
fonctionnalités de sécurité centralisées : contrôleur d'accès à l'espace
de travail, authentification sur les applications (SaaS, webs et
mobiles).

La vulnérabilité nécessite d'avoir connaissance d'un mot de passe
d'administrateur valide et d'avoir un accès réseau à cette interface.
Néanmoins, son exploitation permettrait à un attaquant de prendre le
contrôle du système et de pouvoir ainsi potentiellement se latéraliser
sur d'autres équipements du système d'information avec des privilèges
élevés.

[MaJ] Vulnérabilité dans les produits VMware

Bulletin de sécurité VMware VMSA-2020-0027 du 24 novembre 2020


FortiOS 6.0 versions 6.0.0 à 6.0.4

FortiOS 5.6 versions 5.6.3 à 5.6.7

FortiOS 5.4 versions 5.4.6 à 5.4.12

## Solution

Le CERT-FR recommande fortement d'appliquer les dispositions suivantes :

-   Procéder sans attendre à la mise à jour des équipements Fortinet
    vers les versions les plus récentes en respectant la procédure de
    l'éditeur ;
-   Modifier les mots de passe des comptes utilisateurs du service VPN ;
-   Modifier les mots de passe des comptes d'administration et des
    comptes techniques des équipements ;
-   Révoquer et renouveler les certificats x509 déployés sur les
    équipements ;
-   Dans la mesure du possible, analyser les fichiers journaux afin de
    détecter une éventuelle compromission des équipements Fortinet ;
-   Investiguer toute suspicion de compromission au niveau de votre
    système d'information \[1\].

------------------------------------------------------------------------

La mise à jour d’un produit ou d’un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommander
d’effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l’application des mises à jour comme des correctifs
ou des changements de version.

[1] Les bons réflexes en cas d’intrusion sur un système d’information

Version initiale

Atteinte à la confidentialité des données

Summary:
Le 24 mai 2019, l'éditeur Fortinet avait publié un avis de sécurité
corrigeant la vulnérabilité CVE-2018-13379 qui affecte les systèmes
FortiOS lorsque le service VPN SSL est activé. Cette vulnérabilité
permet à des attaquants non authentifiés d'accéder aux fichiers systèmes
via des requêtes HTTP spécialement conçues, leur donnant notamment accès
à des informations sensibles tels que les comptes et mots de passe des
utilisateurs.

Le CERT-FR a communiqué à différentes reprises sur cette vulnérabilité :
avis CERTFR-2019-AVI-239 du 27 mai 2019 et bulletin d'actualité
CERTFR-2019-ACT-008 du 28 août 2019. Cependant, cette vulnérabilité a
été un vecteur d'attaque dans différents incidents.

Le CERT-FR a été averti de la diffusion sur Internet d'une liste
d'équipements Fortinet potentiellement vulnérables, parmi laquelle se
trouvent des équipements appartenant à des entités Françaises. Des codes
d'exploitation ont été publiés et utilisés pour compromettre des
serveurs VPN SSL Fortinet non protégés. Il semble que des accès aux
systèmes d'information de victimes obtenus grâce à cette vulnérabilité
sont déjà en vente sur des forums cybercriminels.

Vulnérabilité dans Fortinet FortiOS SSL-VPN

Bulletin de sécurité Fortinet FG-IR-18-384 du 24 mai 2019

Avis CERT-FR CERTFR-2019-AVI-239 du 27 mai 2019

Bulletin CERT-FR CERTFR-2019-ACT-008 du 28 août 2019


[Mise à jour du 06 janvier 2021]

Plateforme Orion de SolarWinds versions antérieures à 2019.4 HF 6 et 2020.2.1 HF 2

Important : le code malveillant SUNBURST n'est présent que dans les versions citées ci-dessous, cependant l'éditeur considère que la vulnérabilité CVE-2020-10148 [12][13] permettant notamment l'installation du webshell SUPERNOVA est présente dans toutes les versions antérieures.

[Mise à jour du 17 décembre 2020]

Plateforme Orion de SolarWinds versions 2019.4 HF 5 à 2020 2.1 HF 1

## Solution

**\[Version du 06 janvier 2021 - mise à jour de la recommandation sur la
version logicielle à privilégier\]**

Le CERT-FR recommande fortement :

-   de vérifier si la version utilisée est affectée. Si c'est le cas,
    l'éditeur recommande de déconnecter les serveurs et considérer que
    le système d'information a pu être compromis dans son
    ensemble. En effet, il s'agit ici d'un logiciel légitime
    contenant une porte dérobée malveillante.
-   de réaliser, dans la mesure du possible, une image des disques et de
    la mémoire des serveurs hébergeant le produit Orion, cela à titre
    conservatoire pour recherche postérieure.
-   de prendre connaissance des marqueurs tenus à jour par l’US-CERT
    concernant SUNBURST \[8\].
-   de prendre connaissance des marqueurs concernant SUPERNOVA \[6\].
-   d’inventorier toutes les machines supervisées par SolarWinds Orion
    afin de les analyser en priorité.
-   de procéder à des recherches de compromissions au sein du système
    d'information en privilégiant les marqueurs réseau puis les
    indicateurs de compromission ‘système’. Microsoft a notamment
    centralisé la documentation sur les aspects techniques liés à cette
    compromission \[9\].
-   de contrôler les potentielles modifications au niveau des annuaires
    Active Directory et notamment l’ajout de privilèges élevés à des
    comptes \[10\] ou l’ajout d’approbations entre domaines ou forêts
    \[11\].
-   de contrôler l’utilisation anormale de jetons SAML notamment avec
    les plates-formes Office365/Azure AD.
-   **de mettre à jour la solution Orion vers la version 2020.2.1 HF2 ou
    à défaut vers la version 2019.4 HF 6
    **

Pour rappel, le CERT-FR a publié un guide à suivre en cas d’intrusion
\[5\].

------------------------------------------------------------------------

La mise à jour d’un produit ou d’un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommandé
d’effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l’application des mises à jour comme des correctifs
ou des changements de version.

[6] Rapport Palo Alto

[5] Les bons réflexes en cas d’intrusion sur un système d’information

[8] Alerte US-CERT et liste des marqueurs

[13] avis CERT-FR CERTFR-2020-AVI-845 du 28 décembre 2020

[2] Avis de sécurité de l'éditeur

[9] Référence documentaire Microsoft

[4] Article de MSRC

[11] Outil de détection Microsoft

[10] Outil de détection Microsoft

[7] Rapport Microsoft du 18 décembre 2020

[3] Signature de détection proposée par FireEye

[1] Papier de recherche de FireEye

[12] CVE-2020-10148

Version initiale

Correction d'une coquille.

Mise à jour des informations concernant les versions affectées et la publication des versions correctives.

Mise à jour de l'alerte pour mentionner la découverte de Supernova et ajout de références documentaires

Mise à jour de l'alerte pour ajouter les précisions de SolarWinds sur Supernova.

Mise à jour de l'alerte pour ajouter les précisions de SolarWinds sur Supernova en date du 31 décembre 2020.

correction d'une erreur dans l'identifiant de la CVE.

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application des mesures correctives permet d'éliminer la compromission.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 28 décembre 2020\]

Le 27 décembre 2020, l'avis SolarWinds a été mis à jour pour apporter
des précisions sur SUPERNOVA, un "code encoquillé" (*webshell*) déposé
et exécuté *via* l'exploitation d'une vulnérabilité corrigée dans les
dernières versions d'Orion.

\[Mise à jour du 23 décembre 2020\]

Le 17 décembre, Palo Alto a publié un rapport \[6\] dans lequel ils
indiquent qu’un *webshell* a été identifié dans une autre bibliothèque
présente dans le serveur Web de la solution Orion. Ce *webshell*,
dénommé SUPERNOVA, a la particularité de ne pas requérir la transmission
d’un code exécutable par l’attaquant mais un code source en .NET qui
sera exécuté en mémoire sur le serveur sans laisser de traces sur le
disque.

\[Version initiale\]

Le 8 décembre 2020, FireEye a annoncé avoir découvert une campagne
d'intrusion par le biais d'une compromission de mise à jour de la
plateforme de gestion et de supervision Orion de SolarWinds. Cette
plate-forme a servi de vecteur pour une attaque par la chaîne
d'approvisionnement (*supply chain attack)*. Les mises à jour ont été
altérées afin d'inclure un maliciel appelé SUNBURST \[1\]. Le code
malveillant permet à l'attaquant d'exécuter du code à distance et
d'exfiltrer des données.

L'éditeur confirme que certaines versions de son produit ont été
altérées et a publié un avis afin de fournir toutes les informations
pour que les utilisateurs puissent sécuriser leurs installations \[2\].

D'après FireEye, la campagne aurait commencé au printemps 2020 et
continuerait actuellement. FireEye a mis à disposition des signatures de
détection (cf \[3\]) pour ce maliciel.

[MaJ] Présence de code malveillant dans SolarWinds Orion