Processeurs Intel

La liste des processeurs vulnérables est fournie dans la section documentation.

Processeurs AMD

AMD est vulnérable à Spectre, mais pas à Meltdown.

Processeurs ARM :

ARM Cortex-R7

ARM Cortex-R8

ARM Cortex-A8

ARM Cortex-A9

ARM Cortex-A15

ARM Cortex-A17

ARM Cortex-A57

ARM Cortex-A72

ARM Cortex-A73

ARM Cortex-A75

## Solution

### Correctifs disponibles

Plusieurs éditeurs ont publiés des correctifs partiels pour les
vulnérabilités Meltdown et Spectre. Le CERT-FR recommande l'application
des correctifs disponibles dès que possible.

#### Apple

Apple indique dans une communication du 4 janvier 2017 que les systèmes
iOS 11.2, macOS 10.13.2 et tvOS 11.2 profitent de correctifs contre la
vulnérabilité Meltdown \[9\].

Le 8 janvier 2018, Apple a publié des correctifs pour ses produits iOS,
Safari et macOS High Sierra \[26\].

#### Mozilla

Mozilla a publié une communication annonçant que la version 57.0.4 de
Firefox intègre deux correctifs de sécurité liés aux vulnérabilités
décrites dans cette alerte \[25\].

#### Microsoft

Microsoft a annoncé dans un communiqué \[10\] que ses navigateurs
Internet Explorer et Edge avaient bénéficié d'un correctif contre la
vulnérabilité Spectre sur les systèmes Windows 10 et Windows Server 2016
\[11\]\[12\]. Les correctifs de sécurité fournis par Microsoft sont
néanmoins dépendants des logiciels anti-virus installés sur le système.
Pour tous détails sur l'application de ces correctifs le CERT-FR
recommande de se reporter au site de l'éditeur. Pour les systèmes 32
bits des versions antérieures à Windows 10 et Windows Server 2016, un
correctif sera déployé à l'occasion de la mise à jour mensuelle, le 9
janvier 2018. Pour Windows Server, une simple mise à jour ne suffit par
pour se prémunir du problème. Microsoft a publié une série de mesures à
mettre en oeuvre pour se protéger \[22\]. Dans tous les cas, Microsoft
conseille de mettre à jour le micrologiciel de son processeur lorsque
des correctifs seront disponibles.

#### SUSE

Des correctifs pour les vulnérabilités Spectre et Meltdown ont été
distribués par SUSE \[13\].

Le 11 janvier 2018, SUSE a publié des correctifs pour le noyau Linux
ainsi que pour le microgiciel Intel utilisés par ses produits
\[29\]\[30\].

#### Red Hat

Des correctifs pour les vulnérabilités Spectre et Meltdown ont été
distribués par Red Hat \[23\].

#### Ubuntu

Le mardi 9 janvier 2018, Ubuntu a publié plusieurs bulletins de sécurité
concernant des correctifs pour la vulnérabilité Meltdown \[27\]. Le 11
janvier 2018, Ubuntu a publié un bulletin de sécurité annonçant la mise
à disposition d'un correctif pour le microgiciel Intel \[31\].

#### VMware

Des correctifs contre la vulnérabilité Spectre ont été apportés par
VMware pour leurs produits ESXi, Workstation et Fusion sous OS X. Il est
à noter que les plateformes ESXi en version 5.5 reçoivent un correctif
seulement pour la variante CVE-2017-5715 de Spectre \[14\].

#### Android

Dans leur bulletin de sécurité pour les correctifs du mois de janvier
2018 \[16\], Android annonce ne pas détenir d'informations sur une
reproduction des vulnérabilités Spectre et Meltdown sur leurs appareils.
Cependant, les correctifs disponibles pour ce mois de janvier 2018
intègrent des mesures permettant de limiter le risque de tels attaques
\[15\].

#### Google

Dans un communiqué sur l'état de ses produits face aux vulnérabilités
Meltdown et Spectre, Google annonce que Chrome OS sous Intel profite de
la fonctionnalité KPTI (correctif limitant les effets de la
vulnérabilité Meltdown) pour les noyaux en versions 3.18 et 4.4 à partir
de la version 63 du système d'exploitation \[17\].

#### Citrix

Dans un avis de sécurité daté du 4 janvier 2018 Citrix annonce apporter
un correctif de sécurité pour les produits Citrix XenServer 7.1 LTSR CU1
\[19\].

#### Amazon AWS

Dans un communiqué du 4 janvier 2018 \[20\], Amazon indique que les
instances disposant d'une configuration par défaut (Amazon Linux AMI)
vont bénéficier d'une mise à jour du noyau Linux pour adresser les
effets de la vulnérabilité CVE-2017-5754 (Meltdown) \[21\].

#### Debian

Le 10 janvier 2018, un bulletin de sécurité publié par Debian propose un
correctif pour la vulnérabilité Meltdown \[28\].

Pour la semaine du 15 au 21 janvier 2018, les éditeurs suivants ont
publiés des correctifs pour Meldown et Spectre:

-   SUSE \[33\]
-   Oracle \[34\] \[35\]
-   Red Hat \[36\]
-   Moxa \[37\] (l'éditeur annonce que d'autres correctifs sont à venir)

**Le 22 janvier 2018, Intel a publié un communiqué \[38\] pour annoncer
qu'ils avaient trouvé la cause des dysfonctionnements liés à leur
correctif. Dans certains cas, le correctif apporté à leur microgiciel
provoquait des redémarrages intempestifs. La situation n'est toutefois
pas encore résolue. Intel conseille donc de retarder l'installation du
correctif pour le microprocesseur.**

**Le CERT-FR rappelle qu'il est important d'installer les correctifs de
sécurité dans les plus brefs délais. Concernant Spectre et Meldown, il
est nécessaire de mettre à jour en priorité les navigateurs puis les
systèmes d'exploitation. Toutefois, il est également important de tester
ces correctifs dans des environnements contrôlés avant de les pousser en
production. Concernant les microgiciels d'Intel, le CERT-FR recommande
une prudence accrue dans leurs déploiements voir d'attendre la version
finale de ces mises à jour. En matière de risques, l'exploitation de la
vulnérabilité Spectre est particulièrement complexe et est la seule à
être couverte par la mise à jour du micrologiciel.**

Les 8 et 9 février 2018, plusieurs éditeurs ont publiés des correctifs
supplémentaires:

-   VMware \[39\]
-   Red Hat \[40\]
-   SUSE \[41\]

Le 20 février 2018, Intel a annoncé que les mises à jour de sécurité des
micrologiciels pour certaines familles de processeurs étaient
disponibles. Sont concernés les processeurs de type Kaby Lake, Coffee
Lake ainsi que certains Skylake (
cf. <https://newsroom.intel.com/news/latest-intel-security-news-updated-firmware-available/>).
Intel a également mis à jour son calendrier prévisionnel des sorties
futures (cf.
<https://newsroom.intel.com/wp-content/uploads/sites/11/2018/02/microcode-update-guidance.pdf>).

Les éditeurs suivants ont également publiés de nouveaux correctifs :

-   Ubuntu
    (cf. </avis/CERTFR-2018-AVI-094/>)
-   SUSE (cf. </avis/CERTFR-2018-AVI-080/>,
    </avis/CERTFR-2018-AVI-083/> et
    </avis/CERTFR-2018-AVI-091/>)
-   Siemens (cf.
    </avis/CERTFR-2018-AVI-095/>)

## Contournement provisoire

Dans leur article sur la vulnérabilité Meltdown, les auteurs de la
publication indiquent que la fonctionnalité de sécurité KAISER \[5\]
permet de limiter les implications dues à l'exploitation de Meltdown. Ce
mécanisme a été intégré dans les dernières versions du noyau Linux sous
le nom de Kernel page-table isolation (KPTI) \[6\] et est en cours
d'intégration dans les versions précédentes du noyau.

Cette fonctionnalité renforce la séparation entre les zones mémoires
accessibles en mode utilisateur et celles accessibles en mode noyau. De
ce fait il n'est donc plus possible de d'accéder lors de l'utilisation
de la vulnérabilité Meltdown aux informations noyau.

### Systèmes de virtualisation

Les systèmes virtualisés de type Xen sont vulnérables aux failles
présentés dans cette alerte. Concernant Meltdown un contournement
pouvant être mis en œuvre est d'utiliser une virtualisation matérielle.
En effet, d'après un avis de sécurité de l'éditeur \[18\], la
CVE-2017-5754 n'affecte que les systèmes Xen en architecture Intel 64
bits utilisant la para-virtualisation.

D'une façon globale, l'ANSSI a émis un guide relatif à la virtualisation
précisant que « les systèmes invités
présents sur une même machine physique \[doivent manipuler\] des données
qui ont une sensibilité
similaire » \[7\].

### Vérifications des correctifs disponibles

#### Windows

Microsoft a mis à disposition un script PowerShell qui permet de
vérifier si un correctif pour les vulnérabilités a été appliqué sur un
système Windows \[4\].

#### Linux

Afin de s'assurer de la présence du mécanisme de sécurité KPTI sur un
système utilisant un noyau Linux il est possible d'exécuter la commande
suivante :

\[pastacode lang="bash"
manual="dmesg%20%7C%20grep%20'Kernel%2FUser%20page%20tables%20isolation'"
message="" highlight="" provider="manual"/\]

Dans le cas où KPTI est activé un message sera affiché en sortie.

Avis CERT-FR CERTFR-2018-AVI-005 Multiples vulnérabilités dans le noyau Linux de SUSE

Billet de blogue de Microsoft du 3 janvier 2018 sur un correctif pour Internet Explorer et Edge

Bulletin de sécurité de Microsoft KB4056890 du 3 janvier 2018

Avis CERT-FR CERTFR-2018-AVI-032 Multiples vulnérabilités dans le noyau Linux de SUSE

Bulletin de sécurité Apple HT208394 du 4 janvier 2018

Communiqué Ubuntu

CERT KB

Bulletin de sécurité de Microsoft KB4056892 du 3 janvier 2018

Avis de sécurité Amazon ALAS-2018-939 du 4 janvier 2018

Article ARM détaillant les vulnérabilités ainsi que les contre-mesures envisagées

Bulletin de sécurité Schneider Electric

Avis de sécurité ARM du 3 janvier 2017

Avis CERT-FR CERTFR-2018-AVI-006 Multiples vulnérabilités dans les produits VMware

Bulletin de sécurité Microsoft ADV180002

Avis de vulnérabilité d'Intel et liste des processeurs vulnérables

Security Advisory 115 Intel

Bulletin de sécurité Microsoft concernant les vulnérabilités d'attaques par canaux auxiliaires d'exécution spéculative

Billet de blogue Mozilla

Bulletin de sécurité Microsoft ADV180013 du 21 mai 2018

Bulletin de sécurité Microsoft ADV180012 du 21 mai 2018

Site détaillant le principe de la vulnérabilité

Avis CERT-FR CERTFR-2018-AVI-028 Vulnérabilité dans le microgiciel Intel pour SUSE

Commentaires d'AMD sur une éventuelle vulnérabilité de leurs processeurs

Bulletin de sécurité Juniper

Bulletin de sécurité Xen XSA-254 du 3 janvier 2018

Avis CERT-FR CERTFR-2018-AVI-017 Multiples vulnérabilités dans le noyau Linux d'Ubuntu

Bulletin de sécurité Android du 2 janvier 2018

Avis CERT-FR CERTFR-2018-AVI-008 Multiples vulnérabilités dans Mozilla Firefox

Avis CERT-FR CERTFR-2018-AVI-013 Multiples vulnérabilités dans les produits Apple

Avis CERT-FR CERTFR-2018-AVI-030 Vulnérabilité dans le microgiciel Intel pour Ubuntu

Avis CERT-FR CERTFR-2018-AVI-079 Multiples vulnérabilités dans le noyau Linux de RedHat

Bulletin de sécurité Cisco

Avis CERT-FR CERTFR-2018-AVI-039 Multiples vulnérabilités dans Oracle Virtualization

Communiqué Intel

Billet de blogue Google Project Zero

Avis CERT-FR CERTFR-2018-AVI-077 Multiples vulnérabilités dans les produits VMware

Communiqué de la BSI

Avis CERT-FR CERTFR-2018-AVI-038 Multiples vulnérabilités dans Oracle Sun Systems Products Suite

Article du 15 novembre 2017 sur le mécanisme de sécurité KAISER

Bulletin de sécurité Citrix CTX231390 du 4 janvier 2018

Avis CERT-FR CERTFR-2018-AVI-080 Multiples vulnérabilités dans le noyau Linux de SUSE

Guide relatif à la sécurité des systèmes de virtualisation

Article de blog publié par Microsoft au sujet de CVE-2018-3639

Bulletin de sécurité Fortinet FG-IR-18-002

Mise à jour du microgiciel Intel pour Linux relatif à la CVE-2017-5715

Avis CERT-FR CERTFR-2018-AVI-018 Multiples vulnérabilités dans le noyau Linux de Debian

Communication de Microsoft sur les dépendances entre la mise à jour et les logiciels anti-virus

Avis CERT-FR CERTFR-2018-AVI-029 Multiples vulnérabilités dans le noyau Linux de SUSE

Bulletin de sécurité Xen

Article Intel détaillant les vulnérabilités ainsi que les contre-mesures envisagées

Article du 30 décembre 2017 sur l'intégration du correctif KPTI dans le noyau Linux

Mesures à mettre en oeuvre pour protéger son Windows Server

Avis CERT-FR CERTFR-2018-AVI-004 Multiples vulnérabilités dans le noyau Linux de RedHat

Avis CERT-FR CERTFR-2018-AVI-002 Multiples vulnérabilités dans Google Android

Communiqué de Google sur les attaques utilisant une méthode d'exécution spéculative

Communiqué d'Amazon AWS-2018-013 en lien avec les vulnérabilités d'exécution spéculative

Avis CERT-FR CERTFR-2018-AVI-040 Vulnérabilité dans le micrologiciel processeur pour Red Hat

Bulletin de sécurité Microsoft pour les professionnels concernant les vulnérabilités d'attaques par canaux auxiliaires d'exécution spéculative

Avis CERT-FR CERTFR-2018-AVI-044 Multiples vulnérabilités dans les produits Moxa

Version initiale

Ajout et correction de liens

Ajout de liens

Ajout de détails sur les correctifs disponibles et sur les contournements possibles

Ajout de liens et de recommandations pour Windows Server

Ajout de liens et ajout de la section Preuve de concept

Ajout de règles Yara

Mise à jour des correctifs disponibles

Mise à jour des correctifs disponibles

Ajout de la section Campagne de pourriel

Ajout de correctifs disponibles en semaine 03

Ajout de l'annonce d'Intel sur la sortie des derniers correctifs de sécurité.

Ajout des vulnérabilités 3a et 4

Correction mise en page et ajout de liens

Ajout de bulletins Microsoft

Clôture de l'alerte.

Atteinte à la confidentialité des données

Summary:
\[Mise à jour du 25/05/2018 : ajout de bulletins Microsoft (cf.
section Documentation)\]

\[Mise à jour du 22/05/2018 : publications de nouvelles variantes\]

\[Mise à jour du 23/02/2018 : annonce d'Intel sur la sortie des mises
à jour des micrologiciels (cf. section Solution)\]

\[Mise à jour du 12/02/2018 : ajout des bulletins de sécurité VMware,
RedHat et SUSE (cf. section Solution)\]

\[Mise à jour du 23/01/2018 : modification des recommandations suite
au communiqué d'Intel (cf. section Solution)\]

Le 4 janvier 2018, deux vulnérabilités affectant plusieurs familles de
processeurs et pouvant conduire à des fuites d'informations ont été
rendues publiques \[1\]\[2\]. Intitulées Spectre et Meltdown, ces deux
vulnérabilités ont reçu les identifiants CVE-2017-5715, CVE-2017-5753
pour Spectre et CVE-2017-5754 pour Meltdown. Le 21 mai 2018, deux
nouvelles vulnérabilités identifiées CVE-2018-3639 et CVE-2018-3640,
reposant sur des principes similaires, ont également été publiées
\[42\].

### Vulnérabilité Meltdown

Les processeurs modernes intègrent plusieurs fonctionnalités visant à
améliorer leurs performances. Parmi celles-ci, l'exécution dite
*out-of-order* permet d'exécuter les instructions d'un programme en
fonction de la disponibilité des ressources de calculs et plus
nécessairement de façon séquentielle. Une faiblesse de ce mécanisme peut
cependant conduire à l'exécution d'une instruction sans que le niveau de
privilèges requis par celle-ci ne soit correctement vérifié. Bien que le
résultat de l'exécution d'une telle instruction ne soit pas validé par
la suite, il peut être possible de récupérer l'information en utilisant
une attaque par canaux cachés.

La vulnérabilité CVE-2017-5754 exploite l’exécution *out-of-order* sur
des instructions requérant un haut niveau de privilège pour permettre
l'accès en lecture à des zones mémoires propres au système
d’exploitation depuis du code s’exécutant de façon non-privilégiée. En
particulier, l'exploitation de cette vulnérabilité permet d'accéder
depuis un programme utilisateur à la mémoire du système d'exploitation.
Cela peut conduire à des fuites de données sensibles présentes en
mémoire et peut inclure des informations d'autres programmes ou encore
des clés de chiffrement. Cette fuite d'informations peut aussi être mise
en œuvre pour faciliter la compromission d'un système.

La vulnérabilité CVE-2018-3640 exploite l’exécution *out-of-order* sur
des instructions requérant un haut niveau de privilège pour permettre
l'accès en lecture à des registres propres au système d’exploitation
depuis du code s’exécutant de façon non-privilégiée. En particulier,
l'exploitation de cette vulnérabilité permet d'accéder depuis un
programme utilisateur à des paramètres de configuration du processeur.
Cette fuite d'informations peut aussi être mise en œuvre pour faciliter
la compromission d'un système.

### Vulnérabilité Spectre

L'exécution spéculative est une seconde technique d'optimisation
utilisée par les processeurs modernes. Les dépendances entre les
instructions limitent les possibilités d'exécution *out-of-order*. Pour
remédier à cette limitation, le processeur émet des hypothèses
concernant les résultats non encore disponibles. Ceci lui permet de
poursuivre l’exécution *out-of-order* en utilisant ces hypothèses en
remplacement des résultats attendus. On parle alors d'exécution
spéculative. Ces hypothèses sont vérifiées par le processeur dès que les
résultats auxquels elles se rapportent deviennent disponibles. Si elles
se révèlent correctes, le processeur valide l'exécution spéculative.
Mais inversement, si elles se révèlent erronées, les effets de
l'exécution spéculative doivent être annulés et l'exécution doit
reprendre au point on les hypothèses erronées avaient été émises, c'est
à dire là où l'exécution spéculative avait débutée.

Cependant les effets d'une exécution spéculative erronée sur le cache
perdurent. Or, en mesurant des temps d'accès à des zones mémoires, il
est possible de connaître l'état du cache. Par conséquent, un attaquant
sera capable de déterminer les résultats intermédiaires d'une exécution
spéculative erronée si ceux-ci influent sur l'état du cache. Cette
utilisation du cache pour mener à bien l'exploitation est commune aux
trois variantes de Spectre.

#### Variante 1 (CVE-2017-5753)

Le prédicteur de branches est un composant du processeur utilisé pour
émettre des hypothèses concernant l'adresse de la prochaine instruction
à exécuter. En particulier, il est utilisé pour prédire l'issue des
sauts conditionnels. D'autre part, ce composant est partagé entre des
codes s'exécutant dans des cloisonnements de sécurité différents
(processus, niveaux de privilège).

Dans la variante 1 de Spectre, un attaquant influe sur les heuristiques
du prédicteur de branches pour fausser la prédiction d'un saut
conditionnel s’exécutant dans un autre cloisonnement de sécurité, ce qui
a pour effet de déclencher une exécution spéculative erronée. Un code
est vulnérable si cette exécution spéculative erronée modifie le cache
de façon qui dépende d'une valeur secrète (c'est à dire non directement
accessible depuis le cloisonnement dans lequel se situe l'attaquant).

Exemple de code vulnérable fourni dans l'article:

\[pastacode lang="c"
manual="if%20(x%20%3C%20array1_size)%0Ay%20%3D%20array2%5Barray1%5Bx%5D%20\*%20256%5D%3B"
message="" highlight="" provider="manual"/\]

Un attaquant maîtrisant la valeur de x peut obtenir une lecture
arbitraire dans l'espace d'adressage du processus exécutant le code
ci-dessus. Pour cela, l'attaquant commence par soumettre un grand nombre
de x valides (c'est à dire vérifiant la condition de la ligne 1) pour
faire croire au prédicteur de branches que la condition ligne 1 est
toujours vraie. Puis il soumet un x pointant à une adresse arbitraire.
Le prédicteur de branches estime néanmoins que la condition est vraie,
ce qui déclenche l'exécution spéculative de la ligne 2. La valeur
secrète pointée par x est récupérée puis utilisée pour former l'adresse
d'une seconde lecture mémoire. Cette seconde lecture aura un effet sur
le cache décelable par l'attaquant qui sera alors en mesure de retrouver
la valeur secrète.

#### Variante 2 (CVE-2017-5715)

Le prédicteur de branches est également utilisé pour prédire l'issue des
sauts indirects. Dans la variante 2 de Spectre, un attaquant influe sur
les heuristiques du prédicteur de branches pour fausser la prédiction
d'un saut indirect s’exécutant dans un autre cloisonnement de sécurité,
ce qui a pour effet de déclencher une exécution spéculative erronée à
une adresse arbitraire maîtrisée par l'attaquant. En choisissant
correctement le code exécuté spéculativement, l'attaquant est alors
capable d'obtenir une lecture arbitraire dans l'espace d'adressage du
processus victime.

#### Variante 3 (CVE-2018-3639)

Les processeurs émettent également des hypothèses concernant l'adresse
de certains accès mémoire. Pour bénéficier de plus de libertés dans
l'ordre d'exécution d'opérations de lecture mémoire, le processeur va
devoir prédire si celles-ci chevauchent des opérations d'écriture en
attente d'exécution. Si une opération de lecture ne chevauche aucune
opération d'écriture en attente d'exécution, rien ne s'oppose à qu'elle
puisse être exécutée de façon anticipée.

Dans la variante 3 de Spectre, un attaquant influe sur les heuristiques
du processeur utilisées pour la prédiction d'adresses, ce qui a pour
effet de déclencher une exécution spéculative erronée d'une opération de
lecture mémoire et des instructions qui en dépendent. Un code est
vulnérable si cette exécution spéculative erronée manipule une valeur
secrète et la laisse fuir à travers un état observable du cache

Microsoft (une des parties ayant découvert la vulnérabilité) \[43\]
affirme ne pas avoir identifié de code vulnérable dans leurs produits,
ce qui laisse penser que les codes vulnérables sont peu fréquents.

### Impact

Les vulnérabilités décrites dans cette alerte peuvent impacter tous les
systèmes utilisant un processeur vulnérable et donc de façon
indépendante du système d'exploitation. Selon les chercheurs à l'origine
de la découverte de ces failles, il est ainsi possible d'accéder à
l'intégralité de la mémoire physique sur des systèmes Linux et OSX et à
une part importante de la mémoire sur un système Windows.

On notera que l'impact peut être plus particulièrement important dans
des systèmes de ressources partagés de type conteneur (Docker, LXC) où
il serait possible depuis un environnement restreint d'accéder à toutes
les données présentes sur la machine physique dans lequel s'exécute le
conteneur ou encore dans des environnements virtualisés utilisant la
para-virtualisation de type Xen.

### Preuve de concept

Le CERT-FR constate que des preuves de concept fonctionnelles pour
Meltdown sont désormais publiques. Les règles Yara suivantes servent à
détecter les binaires liés à la bibliothèque publiée par l'Institute of
Applied Information Processing and Communications (IAIK) :

\[pastacode lang="c"
manual="rule%20meltdown_iaik_libkdump_meltdown_nonull%20%7B%0A%0Ameta%3A%0A%0Aauthor%20%3D%20%22ANSSI%22%0A%0ATLP_level%20%3D%20%22White%22%0A%0Adescription%20%3D%20%22Detects%20Meltdown%20PoC%20libkdump%20meltdown_nonull%20method%22%0A%0Aversion%20%3D%20%221.0%22%0A%0Alast_modified%20%3D%20%222018-01-09%22%0A%0Astrings%3A%0A%0A%2F\*%0A%0A.text%3A00000000000018A6%2048%2031%20C0%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20xor%20%20%20%20%20%20rax%2C%20rax%20%20%20.text%3A00000000000018A9%0A%0A.text%3A00000000000018A9%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20loc_18A9%3A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3B%20CODE%20XREF%3A%20libkdump_read_tsx%2B48j%0A%0A.text%3A00000000000018A9%208A%2001%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20mov%20%20%20%20al%2C%20%5Brcx%5D%0A%0A.text%3A00000000000018AB%2048%20C1%20E0%200C%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20shl%20%20%20%20%20%20rax%2C%200Ch%0A%0A.text%3A00000000000018AF%2074%20F8%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20jz%20%20%20%20%20%20%20%20short%20loc_18A9%0A%0A.text%3A00000000000018B1%2048%208B%201C%2003%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20mov%20%20%20%20rbx%2C%20%5Brbx%2Brax%5D%0A%0A\*%2F%0A%0A%24asm%3D%7B%0A%0A48%2031%20C0%0A%0A8A%2001%0A%0A48%20C1%20E0%200C%0A%0A74%20F8%0A%0A48%208B%201C%2003%0A%0A%7D%0A%0Acondition%3A%20%24asm%0A%0A%7D%0A%0A%0Arule%20meltdown_iaik_libkdump_meltdown_fast%20%7B%0A%0Ameta%3A%0A%0Aauthor%20%3D%20%22ANSSI%22%0A%0ATLP_level%20%3D%20%22White%22%0A%0Adescription%20%3D%20%22Detects%20Meltdown%20PoC%20libkdump%20meltdown_fast%20method%22%0A%0Aversion%20%3D%20%221.0%22%0A%0Alast_modified%20%3D%20%222018-01-09%22%0A%0Astrings%3A%0A%0A%20%20%20%20%2F\*%0A%0A.text%3A000000000000184F%2048%2031%20C0%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20xor%20%20%20%20%20%20%20rax%2C%20rax%0A%0A.text%3A0000000000001852%208A%2001%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20mov%20%20%20%20%20al%2C%20%5Brcx%5D%0A%0A.text%3A0000000000001854%2048%20C1%20E0%200C%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20shl%20%20%20%20%20%20%20rax%2C%200Ch%0A%0A.text%3A0000000000001858%2048%208B%201C%2003%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20mov%20%20%20%20rbx%2C%20%5Brbx%2Brax%5D%0A%0A\*%2F%0A%0A%24asm%20%3D%20%7B%0A%0A48%2031%20C0%0A%0A8A%2001%0A%0A48%20C1%20E0%200C%0A%0A48%208B%201C%2003%0A%0A%7D%0A%0Acondition%3A%0A%0A%24asm%0A%0A%7D%0A%0A%0Arule%20meltdown_iaik_libkdump_meltdown%20%7B%0A%0Ameta%3A%0A%0Aauthor%20%3D%20%22ANSSI%22%0A%0ATLP_level%20%3D%20%22White%22%0A%0Adescription%20%3D%20%22Detects%20Meltdown%20PoC%20libkdump%20meltdown%20method%22%0A%0Aversion%20%3D%20%221.0%22%0A%0Alast_modified%20%3D%20%222018-01-09%22%0A%0Astrings%3A%0A%0A%2F\*%0A%0A.text%3A00000000000018A8%2048%2031%20C0%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20xor%20%20%20%20%20rax%2C%20rax%20%20%20.text%3A00000000000018AB%0A%0A.text%3A00000000000018AB%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20loc_18AB%3A%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%3B%20CODE%20XREF%3A%20libkdump_read_tsx%2B4Dj%0A%0A.text%3A00000000000018AB%2048%208B%2036%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20mov%20%20%20%20%20rsi%2C%20%5Brsi%5D%0A%0A.text%3A00000000000018AE%208A%2001%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20mov%20%20%20%20%20al%2C%20%5Brcx%5D%0A%0A.text%3A00000000000018B0%2048%20C1%20E0%200C%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20shl%20%20%20%20%20%20%20rax%2C%200Ch%0A%0A.text%3A00000000000018B4%2074%20F5%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20jz%20%20%20%20%20%20%20%20short%20loc_18AB%0A%0A.text%3A00000000000018B6%2048%208B%201C%2003%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20mov%20%20%20%20rbx%2C%20%5Brbx%2Brax%5D%0A%0A\*%2F%0A%0A%24asm%3D%7B%0A%0A48%2031%20C0%0A%0A48%208B%2036%0A%0A8A%2001%0A%0A48%20C1%20E0%200C%0A%0A74%20F5%0A%0A48%208B%201C%2003%0A%0A%7D%0A%0Acondition%3A%0A%0A%24asm%0A%0A%7D"
message="" highlight="" provider="manual"/\]

### Campagne de pourriels

Le CERT-FR constate qu'une campagne de pourriels visant à distribuer des
logiciels malveillants a été lancée afin de profiter de la situation
autour des vulnérabilité Spectre et Meltdown \[32\]. Des attaquants se
faisant passer pour la *Bundesamt für Sicherheit in der
Informationstechnik *(BSI), l'équivalent allemand
de l'ANSSI, ont envoyé des courriers électroniques invitant leurs
destinataires à se rendre sur une copie du site de la BSI. La différence
avec le site officiel était une modification de l'alerte concernant les
vulnérabilités: l'utilisateur était invité à installer un correctif qui
se trouvait être un logiciel malveillant.

Le CERT-FR rappelle de faire preuve de la plus grande vigilance quand à
l'ouverture des courriers électroniques ainsi que d'installer les
correctifs de sécurité dans les plus brefs délais, et ce uniquement
depuis les sources officielles des éditeurs.

Multiples vulnérabilités de fuite d'informations dans des processeurs

Sites détaillant le principe de la vulnérabilité


Firepower 9300 ASA Security Module

Firepower 4140 Security Appliance

Firepower 2100 Series Security Appliance

ASA Services Module pour les commutateurs Cisco Catalyst série 6500 et les routeurs Cisco série 7600

Firepower 4150 Security Appliance

ASA 5500 Series Adaptive Security Appliances

ASA 5500-X Series Next-Generation Firewalls

Adaptive Security Virtual Appliance (ASAv)

Firepower 4110 Security Appliance

ASA 1000V Cloud Firewall

Firepower Threat Defense Software (FTD)

3000 Series Industrial Security Appliance (ISA)

Firepower 4120 Security Appliance

FTD Virtual

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

En cas d'usage des équipements concernés, le CERT-FR recommande :

-   de désactiver la fonction VPN SSL si elle n'est pas utilisée et de
    planifier la mise à jour des équipements ;
-   d'appliquer les correctifs immédiatement sur l'ensemble des
    équipements concernés.

Avis CERT-FR CERTFR-2018-AVI-063 Vulnérabilité dans Cisco Adaptive Security Appliance

Publication de blogue Cisco sur la CVE-2018-0101 du 5 février 2018

REcon Bruxelles 2018

Version initiale

Mise à jour du périmètre de la vulnérabilité et des systèmes affectés

Clôture de l'alerte

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Un chercheur du NCC Group a trouvé une vulnérabilité dans le
logiciel *Adaptive Security Appliance* (ASA) de Cisco. En envoyant des
paquets contenant du XML malformé sur une interface configurée pour
accepter des communications *webvpn*, un attaquant peut provoquer un
déni de service ou pire obtenir une exécution de code à distance.

Cette vulnérabilité est jugée critique, avec un score CVSS de 10. Elle
impacte de nombreux produits de bordure de réseau, à savoir des routeurs
ainsi que des pare-feux et autres produits de sécurité (cf. section
Systèmes affectés). Cette vulnérabilité touche également les équipements
utilisant le logiciel *Firepower Threat Defense* (FTD) à partir de sa
version 6.0.0.

Le 29 janvier 2018, Cisco a publié un correctif pour cette vulnérabilité
(cf. section Documentation).

Le 2 février 2018, le chercheur ayant trouvé cette vulnérabilité
présentera ses travaux à l'occasion de la conférence de sécurité REcon à
Bruxelles (cf. section Documentation).

Le 5 février 2018, Cisco a mis a jour le bulletin de sécurité relatif à
cette vulnérabilité.
Après une analyse approfondie, le constructeur a identifié de nouveaux
services vulnérables. La vulnérabilité reposant sur une faiblesse de
l'analyseur XML, il est possible de tirer parti de cette faille depuis
plusieurs composants faisant appel à cet analyseur. La liste des
systèmes et versions impactés à ainsi été mise à jour en conséquence par
l'éditeur.
Le CERT-FR recommande de se reporter au bulletin de sécurité de
l'éditeur (cf. section Documentation) pour obtenir une liste des
composants et des configurations vulnérables.
De plus, le premier correctif mis à disposition par Cisco pour cette
vulnérabilité ne corrigeant que partiellement la faille, de nouvelles
mises à jour de sécurité sont disponibles pour les systèmes concernés.

Une publication de blogue Cisco complétant les informations disponibles
sur cette failles a également été publiée le 5 février 2018 (cf. section
Documentation).

Bulletin de sécurité Cisco cisco-sa-20180129-asa1 du 29 janvier 2018


Adobe Flash Player Desktop Runtime versions 28.0.0.137 et antérieures sur Linux

Adobe Flash Player Desktop Runtime versions 28.0.0.137 et antérieures sur Windows et Macintosh

Adobe Flash Player pour Google Chrome versions 28.0.0.137 et antérieures sur Windows, Macintosh, Linux et Chrome OS

Adobe Flash Player for Microsoft Edge et Internet Explorer 11 versions 28.0.0.137 et antérieures sur Windows 10 et 8.1

## Solution

Le 6 février 2018, Adobe a publié un bulletin annonçant un correctif
pour les systèmes affectés par les vulnérabilités CVE-2018-4878 et
CVE-2018-4877.

À la même date, Microsoft annonce l'intégration de ce correctif pour ses
systèmes Windows utilisant Adobe Flash Player dans un bulletin de
sécurité hors de son cycle de mises à jour mensuelles (cf. section
Documentation).

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Dans l'attente des correctifs prévus pour la semaine du 5 février 2018,
le CERT-FR recommande :

-   de s'assurer que le mode protégé d'Office est bien activé car il
    empêche l'exécution automatique, entre autres, de Flash pour les
    documents téléchargés sur internet (cf. section Documentation) ;
-   que les utilisateurs respectent le guide des bonnes pratiques de
    l'informatique de l'ANSSI (cf. section Documentation) ;
-   de désactiver, voire de désinstaller les greffons Flash Player ; à
    ce titre, des conseils sont disponibles dans le bulletin
    d'actualité CERTFR-2016-ACT-052 (cf. section Documentation).

Bulletin d'actualité CERT-FR CERTFR-2016-ACT-052

Guide des bonnes pratiques de l'informatique

Avis CERT-FR CERTFR-2018-AVI-072 Multiples vulnérabilités dans les produits Microsoft Windows utilisant le composant Adobe Flash Player

Office mode protégé

Avis CERT-FR CERTFR-2018-AVI-071 Multiples vulnérabilité dans Adobe Flash Player

Version initiale

Pas de nouveau contenu

Mise à jour suite à la publication d'un correctif par Adobe. Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le 01 février 2018, Adobe a publié un avis de sécurité concernant une
vulnérabilité de type 0-jour affectant Flash Player.

Cette vulnérabilité, portant l'identifiant CVE-2018-4878, permet une
exécution de code arbitraire à distance.

Adobe indique que cette vulnérabilité est activement exploitée dans le
cadre d'attaques ciblées.

Le vecteur de distribution constaté jusqu'à présent est un courriel
d'hameçonnage ciblé avec un fichier Office contenant la charge
malveillante.

Toutefois, l'exploitation de cette vulnérabilité dans le contexte d'un
navigateur est possible dès lors qu'un greffon Flash Player est activé.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe apsa18-03 du 06 février 2018

Bulletin de sécurité Adobe apsa18-01 du 01 février 2018


Exim toutes versions antérieures à 4.90.1

## Solution

La version 4.90.1, disponible depuis le 10 février 2018, intègre le
correctif de sécurité pour la vulnérabilité CVE-2018-6789.

Le CERT-FR recommande la mise à jour immédiate d'Exim.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Publication de blogue DEVCORE du 6 mars 2018 sur la vulnérabilité CVE-2018-6789

Version initiale

Version initiale

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Le 5 février 2018, la société de sécurité Devcore a informé l'éditeur du
serveur de messagerie Exim d'une vulnérabilité dans leur produit. Cette
vulnérabilité identifiée en tant que CVE-2018-6789 permet à un attaquant
de provoquer une exécution de code arbitraire à distance sur un serveur
Exim vulnérable.

La CVE-2018-6789 exploite une faille de type <span class="st">
débordement de mémoire sur un seul octet ("off-by-one") présente dans
toutes les versions du serveur de messagerie pour compromettre
l'application. Les détails techniques sur la vulnérabilité ont par
ailleurs fait l'objet d'une publication le 6 mars 2018 par le chercheur
en sécurité à l'origine de cette découverte (cf. section
Documentation).
</span>

Vulnérabilité dans le serveur de messagerie Exim

Bulletin de sécurité Exim CVE-2018-6789 du 10 février 2018


Drupal versions 8.5.x antérieures à 8.5.3

Drupal versions 7.x antérieures à 7.59

Drupal versions 8.4.x antérieures à 8.4.8

Drupal version 6

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2018-AVI-158 Vulnérabilité dans Drupal

Billet de blogue Checkpoint

Billet de blogue SANS

Avis CERT-FR CERTFR-2018-AVI-204 Vulnérabilité dans Drupal

Version initiale

Modification d'un lien

Clôture de l'alerte

Rouverture de l'alerte suite à la publication du PoC, ajout de liens

Ajout de la CVE-2018-7602

Modification du titre de l'alerte

Clôture de l'alerte

Exécution de code arbitraire à distance

Atteinte à la confidentialité des données

Atteinte à l'intégrité des données

Summary:
Le 28 mars 2018, l'éditeur du système de gestion de contenu Drupal a
publié un avis de sécurité concernant une vulnérabilité critique dans
Drupal core. L'avis SA-CORE-2018-002 indique que les systèmes Drupal en
versions 7.x, 8.5.x, mais également les systèmes n'étant plus supportés
(version 8.3.x, 8.4.x et 6), sont affectés par une vulnérabilité
hautement critique pouvant mener à la compromission complète d'un site
web basé sur Drupal.

Cette vulnérabilité, identifiée en tant que CVE-2018-7600, permettrait à
un visiteur d'un site vulnérable d'accéder à toutes les données
contenues sur le site, de les modifier et de les supprimer, et ce sans
authentification.

Le CERT-FR recommande d'appliquer au plus tôt les correctifs de sécurité
mis à disposition par Drupal.

\[ Mise à jour du 16 avril 2018\]

Le 12 avril 2018, une preuve de concept exploitant la vulnérabilité
CVE-2018-7600 a été publiée publiquement sur Github. Depuis, le CERT-FR
constate des tentatives d'exploitation.

Au vu de la facilité d'exploitation et de la criticité de cette
vulnérabilité, le CERT-FR a décidé de rouvrir
l'alerte CERTFR-2018-ALE-005 et rappelle qu'il est nécessaire
d'appliquer les correctifs déjà disponibles immédiatement.

\[ Mise à jour du 26 avril 2018\]

Le 25 avril, l'éditeur de Drupal a publié un nouveau bulletin d'alerte
concernant une vulnérabilité similaire à la CVE-2018-7600, la
CVE-2018-7602. Cette vulnérabilité permet une exécution de code
arbitraire à distance et a été signalée comme exploitée très peu de
temps après sa publication. Le CERT-FR conseille l'application immédiate
des correctifs fournis par l'éditeur. Il est à noter que l'application
des correctifs de la vulnérabilité CVE-2018-7602 nécessite
l'installation préalable de ceux de la CVE-2018-7600.

Multiples vulnérabilités dans Drupal

Bulletin de sécurité Drupal SA-CORE-2018-004 du 25 avril 2018

Bulletin de sécurité Drupal SA-CORE-2018-002 du 28 mars 2018

Foire aux questions Drupal pour l'avis de sécurité SA-CORE-2018-002


Cisco IOS et IOS XE utilisant la fonctionnalité Smart Install

## Solution

Le CERT-FR recommande l'installation de la mise à jour fournie par Cisco
dans les plus brefs délais.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Outil permettant de vérifier si un équipement est vulnérable à la CVE-2018-0171

Documentation Cisco sur la fonctionnalité Smart Install

Bulletin de sécurité Cisco d'information cisco-sa-20180409-smi du 9 avril 2018 sur la sécurisation de Smart Install

Avis CERT-FR CERTFR-2018-AVI-156 Multiples vulnérabilités dans les produits Cisco

Publication de blogue Cisco Talos du 27 février 2018 relatif à Smart Install Client

Publication de blogue Embedi du 29 mars 2018 détaillant les principes de la vulnérabilité CVE-2018-0171

Publication de blogue Cisco du 27 février 2018 relatif à Smart Install Client

Version initiale

Ajout d'un bulletin Cisco sur les moyens à mettre en œuvre pour sécuriser Smart Install

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Le 28 mars 2018, Cisco a publié une mise à jour de sécurité pour ses
logiciels IOS et IOS XE bénéficiant de la fonctionnalité *Smart
Install*. Ce correctif concerne une faille de sécurité pouvant conduire
à une exécution de code arbitraire à distance sur un équipement mettant
en œuvre un client *Smart Install*.
Le 5 avril 2018, le blogue de Cisco Talos alerte sur la forte
probabilité d'exploitation de cette vulnérabilité au regard de
l'existence d'une preuve de concept et d'une recrudescence anormale du
traffic internet vers les services *Smart Install*.

Cette technologie a été développée afin de permettre le déploiement et
la configuration automatique d'un commutateur selon un principe "prêt à
l'emploi" (*plug and play*). Lors de la mise en service d'un appareil,
ce dernier pourra ainsi récupérer sa configuration auprès d'un directeur
*Smart Install*. Le rôle de directeur est tenu par un équipement réseau
de niveau 3 qui délivre une image et une configuration à déployer aux
différents produits exécutant le client *Smart Install* et venant
l'interroger.

La vulnérabilité corrigée par Cisco, identifiée en tant que
CVE-2018-0171, touche la partie cliente de *Smart Install*. Un
commutateur configuré pour utiliser *Smart Install* démarre un serveur
en écoute sur le port 4786 en TCP. Un paquet de type
ibd_init_discovery_msg spécifiquement forgé et transmis au client
peut alors causer un dépassement de tampon sur la pile et conduire à la
compromission de l'équipement.

Le CERT-FR recommande la mise en œuvre des actions suivantes afin de
détecter tout appareil vulnérable présent au sein du réseau.

-   Vérifier dans le réseau si des ports TCP 4786 sont actifs. Cela peut
    être réalisé à l'aide d'un outil de scan de type Nmap.
-   Contrôler l'état des interfaces réseau au niveau d'un équipement en
    utilisant la commande show tcp brief all et identifier si le
    port 4786 est en écoute.
-   Vérifier si la fonctionnalité *Smart Install* est active avec le
    rôle de client en exécutant la commande show vstack config.
-   Identifier si la version du logiciel IOS exécutée par l'équipement
    est vulnérable avec la commande show version. Se référer au
    bulletin de sécurité de l'éditeur pour obtenir une liste des
    versions concernées par la vulnérabilité
-   Un script mis à disposition par Cisco permet également de scanner un
    appareil pour identifier s'il est vulnérable (cf. section
    Documentation).

Vulnérabilité dans Cisco IOS et IOS XE Smart Install Client

Bulletin de sécurité Cisco du 28 mars 2018


De multiples clients de messagerie ont été identifiés comme étant vulnérables.

Une liste établie par les chercheurs à l'origine de la découverte de cette vulnérabilité est disponibles dans l'article tel que référencé dans la section documentation.

## Contournement provisoire

Le CERT-FR recommande d'appliquer les correctifs fournis par les
éditeurs de client de messagerie.

Suivant le délai de mise à disposition de correctifs par les éditeurs,
le CERT-FR recommande également l'application des mesures temporaires
suivantes.

-   Désactiver l'utilisation du contenu actif dans le client de
    messagerie (HTML, CSS).
-   Utiliser une application indépendante du client de messagerie pour
    pratiquer les opérations de chiffrement et de déchiffrement des
    courriels. Ces actions peuvent par ailleurs être réalisées dans un
    environnement distinct et déconnecté du réseau.

Désactivation du contenu actif dans Outlook

Article de recherche présentant les travaux sur la vulnérabilité EFAIL

Site détaillant le principe de la vulnérabilité du 14 mai 2018

Désactivation du contenu actif dans Thunderbird

Version initiale

Version initiale

Version initiale

Version initiale

Ajout de détails sur la vulnérabilité

Clôture de l'alerte.

Summary:
Le 14 mai 2018, un site internet rendait disponible les détails d'une
attaque baptisée EFAIL permettant de compromettre les échanges de
courriels sécurisés par les mécanismes S/MIME et OpenPGP.

L'attaque permet à un acteur malveillant d'obtenir la version déchiffrée
d'un message protégé par l'un des systèmes de chiffrement S/MIME ou
OpenPGP. Pour cela l'attaquant doit être en position *d'homme du milieu*
c'est à dire être capable de lire les échanges courriels entre un
expéditeur et un destinataire.

#### Fuite de données et contenu actif

Une variante de l'attaque EFAIL tire parti des fonctionnalités des
clients de messageries qui permettent d'enrichir le contenu textuel d'un
courriel en intégrant du HTML ou encore du CSS. Ces éléments
additionnels sont désignés comme contenu actif.
Un attaquant en mesure d'intercepter un courriel chiffré pourra ainsi y
concaténer certains éléments de ces langages, sans modifier la partie
chiffrée. Lors du déchiffrement du message par le client de messagerie
le contenu actif sera exécuté et le message clair exfiltré. Cette
variante fonctionne sur une minorité des clients de messagerie
vulnérables à EFAIL.

#### Attaque cryptographique

L'autre variante de l'attaque EFAIL exploite les propriétés de
malléabilité des chiffrements utilisés par S/MIME et OpenPGP afin de
directement modifier le chiffré d'un message sans avoir besoin de
disposer des clés cryptographiques. Ces manipulations auront pour
objectif d'y ajouter directement le contenu actif malveillant qui, une
fois déchiffré, permettra de transmettre les données vers l'extérieur.
Cette variante est plus complexe à exploiter mais concerne la majorité
des clients de messagerie vulnérables à EFAIL.

#### Limitations

Bien que l'attaque EFAIL mette à mal le paradigme d'une communication
sécurisée de bout-en-bout, les cas d'exploitation ne sont pas triviaux.

L'attaquant doit accéder aux mails chiffrés soit lors d'une interception
d'un trafic réseau local, soit via Internet en disposant d'accès à un
serveur de relais de messagerie. En fonction du scénario l'attaquant
pourra dans certains cas bloquer temporairement le mail et le modifier,
ou le copier lors de son transit et rejouer la copie vers la victime une
fois altéré.

Il est à noter que la surface d'attaque est corrélée avec le nombre de
destinataires d'une communication chiffrée. En effet, chaque
destinataire d'un même courriel peut être la cible d'une attaque suivant
le principe d'EFAIL.

Multiples vulnérabilités dans  S/MIME et OpenPGP

Site détaillant le principe de la vulnérabilité EFAIL


Tous les systèmes d'exploitations Windows peuvent être victimes de ce logiciel malveillant.

## Solution

### Mesures préventives

Le CERT-FR recommande de sensibiliser les utilisateurs aux risques
associés aux messages électroniques pour éviter l'ouverture de pièces
jointes. Il convient en effet de ne pas cliquer sans vérification
préalable sur les liens de messages et les pièces jointes. Les
utilisateurs ne doivent pas ouvrir des messages électroniques de
provenance inconnue, d'apparence inhabituelle ou frauduleuse. Plus
généralement, il convient de mettre à jour les postes utilisateurs,
notamment le système d'exploitation et les applications exposées sur
Internet (lecteur PDF, lecteur messagerie, navigateurs et greffons) dans
le cas où le code malveillant (ou une variante) exploiterait une
vulnérabilité logicielle.

Le CERT-FR recommande également de mettre à jour les logiciels antivirus
du parc informatique (postes utilisateurs, passerelle de messagerie,
etc.). Le code malveillant étant polymorphe, les éditeurs antivirus ont
besoin de publier des signatures en constante évolution. Par ailleurs,
il convient d'envoyer dès que possible un exemplaire du code malveillant
à votre éditeur de logiciel antivirus si la variante n'est pas détectée
par ce dernier.

Enfin, le CERT-FR recommande d'effectuer des sauvegardes saines et
régulières des systèmes et des données (postes de travail, serveurs)
puis de vérifier qu'elles se sont correctement déroulées. Les
sauvegardes antérieures ne doivent pas être écrasées (cas où une version
chiffrée aurait été sauvegardée). Les sauvegardes doivent être réalisées
en priorité sur les serveurs hébergeant des données critiques pour le
fonctionnement de l'entité. Celles-ci doivent être stockées sur des
supports de données isolés du réseau en production.

### Mesures réactives

Si le code malveillant est découvert sur vos systèmes, le CERT-FR
recommande de déconnecter immédiatement du réseau les machines
identifiées comme compromises. L'objectif est de bloquer la poursuite du
chiffrement et la destruction des documents partagés. Le CERT-FR
recommande aussi d'alerter le responsable sécurité ou le service
informatique au plus tôt. Le temps de revenir à une situation normale,
le CERT-FR recommande également de positionner les permissions des
dossiers partagés en LECTURE SEULE afin d'empêcher la destruction des
fichiers sur les partages. Les personnels pourront continuer de
travailler localement et mettre à jour ultérieurement le partage. Aussi,
le CERT-FR recommande de prendre le temps de sauvegarder les fichiers
importants sur des supports de données isolés. Ces fichiers peuvent être
altérés ou encore être infectés. Il convient donc de les traiter comme
tels. De plus, les sauvegardes antérieures doivent être préservées
d'écrasement par des sauvegardes plus récentes.

Le CERT-FR recommande également de bloquer sur le serveur mandataire
l'accès aux domaines ou URLs identifiés dans le message malveillant.
L'objectif est de prévenir toute nouvelle compromission sur le même
site. En complément, le CERT-FR recommande de rechercher et supprimer
les messages malveillants similaires dans les boîtes de messagerie des
utilisateurs. Par ailleurs, le CERT-FR recommande la réinstallation
complète du poste et la restauration d'une sauvegarde réputée saine des
données de l'utilisateur. De plus, dans le cadre de l'utilisation de
profils itinérants, il convient de supprimer la copie serveur du profil
afin de prévenir la propagation des codes malveillants par ce biais.

Enfin, les fichiers chiffrés peuvent être conservés par la victime au
cas où dans le futur, un moyen de recouvrement des données originales
serait découvert.

Version initiale

Correction d'inexactitudes dans l'objet du courriel de hameçonnage et dans le protocole de l'url contenant savigneuxcom.securesitefr[.]com

Clôture de l'alerte.

Installation d'un logiciel malveillant de type locky

Summary:
Depuis la fin juillet 2018, le CERT-FR constate une nouvelle campagne de
courriels distribuant le rançongiciel Locky touchant actuellement la
France. Les messages sont accompagnés d'un lien hypertexte encourageant
à télécharger la facture d'une commande. Le taux de blocage par les
passerelles anti-pourriel est relativement faible.

Un rançongiciel est un programme malveillant qui chiffre les données du
poste compromis. Il va également cibler les partages de fichiers
accessibles depuis le compte utilisateur dont la session est compromise.
Celui-ci est exécuté, dans le cas présent, par une action de
l'utilisateur. La victime est ensuite invitée à verser de l'argent afin
que l'attaquant déchiffre les fichiers ciblés.

Dans le cadre de cette campagne, et d'après les échantillons que le
CERT-FR a observés, la diffusion de Locky Locker s'effectue par
l'intermédiaire d'un pourriel dans lequel se trouve un lien pour
télécharger une facture. La facture téléchargée est une archive zip dans
une autre archive zip contenant un exécutable.

Dans les échantillions que le CERT-FR a pu observé, l'objet du message
est "Nous avons reçu votre paiement.".

Le corps du message se présente sous la forme suivante:

\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*
Madame, Monsieur,

Nous vous notifions que votre commande du XX/XX/2018 d'un montant de
XXX€ a bien été enregistrée.
Le contenu de votre commande est détaillé dans la facture
téléchargeable
en cliquant ici

Tout changement sur l'état de votre commande (préparation, expédition,
etc.) vous sera automatiquement et immédiatement notifié par email.

L'expédition du produit aura lieu 24 heures au plus après le passage à
l'état "validé" de votre demande.
Toute commande qui nous parvient incomplète demande des délais de
traitement supplémentaires dont nous ne saurions être tenus
responsables.
\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*

Noms de domaines liés au téléchargement de Locky Locker:

hxxp://centredentairenantes\[.\]fr_BAD/wp-system.php
hxxps://savigneuxcom.securesitefr\[.\]com_BAD/client.php?fac=001838274191030

Campagne de messages électroniques non sollicités de type Locky Locker


Microsoft Windows toutes versions

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Dans l'attente d'un correctif de la part de Microsoft, le CERT-FR
propose de bloquer l'accès en écriture au répertoire
*C:\\Windows\\Tasks* par le biais d'une *Access Control Entry* (ACE).

Cette mesure est restrictive mais permet d'éviter la création du lien
matériel. Cela bloque donc de fait l'utilisation de la vulnérabilité
pour acquérir des privilèges *System*.

Cette mesure est réversible et peut être désactivée le temps de créer un
nouvelle tâche légitime.

Avec l'interface graphique, positionner une ACE sur le répertoire
*C:\\Windows\\Tasks* avec les propriétés suivantes :

-   Type : Deny
-   Principal : EveryOne
-   Apply to: This folder, subfolders and files
-   Rights : 'Create files / write data' et 'Create folders / append
    data'

En ligne de commande :

\[pastacode lang="c"
manual="cacls%20c%3A%5CWindows%5CTasks%20%2FS%3A%22D%3APAI(D%3BOICI%3BDCLC%3B%3B%3BWD)(A%3B%3B0x1200ab%3B%3B%3BAU)(A%3B%3BFA%3B%3B%3BBA)(A%3BOICIIO%3BGA%3B%3B%3BBA)(A%3B%3BFA%3B%3B%3BSY)(A%3BOICIIO%3BGA%3B%3B%3BSY)(A%3BOICIIO%3BGA%3B%3B%3BCO)%22"
message="" highlight="" provider="manual"/\]

La désactivation de la mesure de contournement consiste à enlever l'ACE
d'interdiction ou en remettant les droits d'origine sur le répertoire
*C:\\Windows\\Tasks*

\[pastacode lang="c"
manual="cacls%20c%3A%5CWindows%5CTasks%20%2FS%3A%22D%3APAI(A%3B%3B0x1200ab%3B%3B%3BAU)(A%3B%3BFA%3B%3B%3BBA)(A%3BOICIIO%3BGA%3B%3B%3BBA)(A%3B%3BFA%3B%3B%3BSY)(A%3BOICIIO%3BGA%3B%3B%3BSY)(A%3BOICIIO%3BGA%3B%3B%3BCO)%22"
message="" highlight="" provider="manual"/\]

Vulnerability Note VU#906424

Avis CERT-FR CERTFR-2018-AVI-436

Recommandations pour la mise en œuvre d’une politique de restrictions logicielles sous Windows

MSDN Discretionary Access Control Lists (DACLs) and Access Control Entries (ACEs)

Version initiale

clôture de l'alerte

Élévation de privilèges

Summary:
Le 27 août 2018, un utilisateur a publié sur Twitter l'existence d'une
vulnérabilité de type élévation de privilèges ainsi qu'un lien vers un
dépôt GitHub contenant le code d'attaque exploitant cette vulnérabilité.
Ce code est stable et facilement adaptable.

Si la preuve de concept ne fonctionne en l'état que sur les versions 64
bits de Windows, la vulnérabilité est présente dans toutes les versions
de Windows (de Windows 7 à Windows 10, Windows Server 2008 R2 à Windows
Server 2016).

Cette vulnérabilité provient du planificateur de tâches, plus
précisément de l'interface *RPC ITaskSchedulerService.*

Parmi les fonctions exportées par cette interface RPC, la fonction
*SchRpcSetSecurity* permet de fixer arbitrairement un descripteur de
sécurité (*Discretionary access control lists* ou DACLs) pour un fichier
contenu dans le répertoire *C:\\Windows\\Tasks*.

Comme tout le monde peut écrire dans le répertoire *C:\\Windows\\Tasks*,
il est possible de créer un lien non brisable (*hard link*) vers
n'importe quel autre fichier sur lequel on possède les droits en
lecture. Lorsque la fonction *SchRpcSetSecurity* est appelée, la DACL du
fichier pointé par le lien est remplacée par celle spécifiée lors de
l'appel à la fonction *SchRpcSetSecurity*. Cette action est réalisée
avec le niveau de privilège *System*.

Cette vulnérabilité ne s'exploite que localement, elle peut toutefois
être combinée avec une vulnérabilité d'exécution de code à distance.

Le CERT-FR rappelle ici l'importance d'installer les correctifs de
sécurité dans les plus bref délais lorsque ceux-ci sont disponibles.

Jusqu'à ce que cette vulnérabilité soit corrigée, on peut considérer que
si un attaquant arrive à exécuter du code sur une machine, il sera en
mesure d'obtenir une compromission totale à moindre coût.

Vulnérabilité dans Microsoft Windows

Alerte de sécurité CERT/CC VU#906424 du 27 août 2018


Branche 2.3 de Struts jusqu'à la version 2.3.34

Les versions antérieures sont potentiellement vulnérables mais non soutenues par l'éditeur

Branche 2.5 de Struts jusqu'à la version 2.5.16

Avis de vulnérabilité publié par le CERT-FR

Bulletin de sécurité de la fondation Apache sur la vulnérabilité

Publication de la société Veloxity relative à l'exploitation de la vulnérabilité CVE-2018-11776 incluant des marqueurs de compromission

Version initiale

Modification du titre

Correction d'une erreur dans le titre d'un lien

Clôture de l'alerte.

Exécution de code arbitraire à distance

Atteinte à l'intégrité des données

Summary:
Le 22 août 2018, la fondation Apache a publié un correctif de sécurité
pour le framework d'application web Struts. Celui-ci concerne la
vulnérabilité CVE-2018-11776 permettant d'exécuter du code à distance
sans authentification. L'exploitation ne nécessite pas l'installation de
modules complémentaires à Struts.

Le 23 et le 24 août plusieurs codes d'exploitation fonctionnels sont
apparus en source ouverte. La société Volexity a peu après constaté des
tentatives d'exploitation en masse de ces vulnérabilités. En cas de
réussite, un mineur de cryptomonnaie est installée par l'attaquant.

Des indicateurs de compromission sont présents dans la publication de la
société Veloxity.

Vulnérabilité activement exploitée dans le framework STRUTS 2

Bulletin de sécurité STRUTS S2-057 du 22 août 2018


Git de la branche 2.15 jusqu'à 2.15.3 (exclue)

Git de la branche 2.18 jusqu'à 2.18.1 (exclue)

Git de la branche 2.16 jusqu'à 2.16.5 (exclue)

Git de la branche 2.19 jusqu'à 2.19.1 (exclue)

Client tierces (Github, Atom...) : voir les sites des développeurs

Git branche antérieure à 2.14.5

Git de la branche 2.17 jusqu'à 2.17.2 (exclue)

## Solution

Le CERT-FR recommande de mettre à jour son client Git sans attendre.

Version initiale

Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le 5 octobre 2018, le projet Git a publié un correctif de sécurité
concernant le client Git. Celui-ci concerne la vulnérabilité
CVE-2018-17456 qui permet à un attaquant d'exécuter du code arbitraire à
distance.

La cinématique d'exploitation de cette vulnérabilité est la suivante :

-   L'attaquant crée un fichier ".gitmodules" malveillant dans un projet
-   Lors de la réplication d'un projet via la commande "git clone
    --recurse-modules", le client Git analyse le fichier ".gitmodules"
-   Si le champ "URL" est une chaîne de caractère commençant par un
    tiret ("-"), le sous-processus "git clone" exécutera la chaîne comme
    une option

Cela conduit à une exécution de code arbitraire à distance sur la
machine d'un utilisateur ayant lancé une simple commande "git clone". La
facilité d'exploitation de cette vulnérabilité constitue un risque
majeur.

Il est par ailleurs possible d'avoir un comportement non-voulu (chemin
brisé) en définissant le champ "PATH" comme une chaîne de caractère
commençant par un tiret ("-"). Ce champ ne semble pas être affecté par
la vulnérabilité au sens de l'exécution de code mais peut provoquer des
dysfonctionnements lors du clonage de projets.

Vulnérabilité dans le client Git

Soumission Git a124133e

Soumission Git 1a7fd1fb

Annonce Git du 05 octobre 2018


Wallix AdminBastion versions antérieures

Wallix AdminBastion version 6 jusqu'à la version "HotFix 12"

Wallix AdminBastion version 5 jusqu'à la version "HotFix 24"

## Solution

Le CERT-FR recommande de mettre à jour ce produit sans attendre. En cas
d'impossibilité de mise à jour de manière rapide, il est nécessaire de
filtrer l'accès à ce service aux seuls administrateurs, de changer le
mode d'authentification ssh et d'archiver les clés publiques des comptes
utilisateurs. Une évaluation des risque doit être conduite pour
envisager une désactivation immédiate du bastion et l'utilisation de
moyens dégradés pour l'administration.

Afin de rechercher une exploitation éventuelle de la vulnérabilité, les
événements suivants peuvent être observés dans les journaux produits par
le bastion :

<img src="/uploads/wallix-2.png"
class="alignnone size-full wp-image-169831" width="906" height="451" />

Version initiale

Clôture de l'alerte

Contournement de la politique de sécurité

Summary:
Le 26 octobre 2018, l'éditeur Wallix a publié une note de sécurité
concernant son produit AdminBastion qui inclut la bibliothèque libssh.
Celle-ci est affectée par la vulnérabilité CVE-2018-10933 dont
l'exploitation permet de contourner de manière triviale
l'authentification par clé ssh.

Les produits Wallix AdminBastion ont pour objectif de sécuriser et
surveiller l'activité des administrateurs. Ces derniers se connectent
sur le bastion de manière non privilégiée, ce qui leur permet de
rebondir sur un compte privilégié au sein du système administré sans en
connaître les secrets.

Vulnérabilité dans Wallix AdminBastion

Bulletin de sécurité Wallix du 26 octobre 2018


Internet Explorer 9

Internet Explorer 10

Internet Explorer 11

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Des solutions de contournement provisoires sont proposées par Microsoft.
Le détail de ces mesures est disponible dans le bulletin de sécurité de
l'éditeur (cf. section Documentation).

Avis CERT-FR CERTFR-2018-AVI-606 Vulnérabilité dans Microsoft Internet Explorer

Version initiale

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Le 19 décembre 2018, Microsoft a publié un correctif de sécurité hors du
cycle de correctif mensuel de l'entreprise. La vulnérabilité corrigée
affecte le moteur de script utilisé par le navigateur Internet Explorer.
Elle permet à un attaquant de provoquer une exécution de code arbitraire
à distance.

D'après les informations fournies par l'éditeur, la vulnérabilité a été
observée comme étant exploitée.

Le CERT-FR recommande l'application des correctifs de sécurité de
l'éditeur dans les plus brefs délais (cf. section Documentation).

Bulletin de sécurité Microsoft CVE-2018-8653 du 19 décembre 2018


APT versions antérieures à 1.4.9 sur Debian

APT sans le dernier correctif de sécurité sur Ubuntu 12.04 ESM, 14.04 LTS, 16.04 LTS, 18.04 LTS et 18.10

Les distributions Linux utilisant APT comme gestionnaire de paquets

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

## Contournement provisoire

Uniquement dans le cadre de cette mise à jour, Debian recommande de
désactiver les redirections par les commandes suivantes :

\[pastacode lang="bash"
manual="apt%20-o%20Acquire%3A%3Ahttp%3A%3AAllowRedirect%3Dfalse%20update%3B%0Aapt%20-o%20Acquire%3A%3Ahttp%3A%3AAllowRedirect%3Dfalse%20upgrade"
message="" highlight="" provider="manual"/\]

Toutefois, cela peut ne pas fonctionner lorsque l'on est placé derrière
un proxy et que l'on cherche à atteindre le miroir security.debian.org.

Dans ce cas, il est possible d'utiliser la source suivante
: <http://security-cdn.debian.org/debian-security/>

Si la mise à jour d'APT sans la désactivation des redirections est
impossible, il est alors recommandé de télécharger manuellement le
paquet. Il convient ensuite d'effectuer la vérification d'intégrité
avant de l'installer.

Avis du CERT-FR CERTFR-2019-AVI-030 du 22 janvier 2019

Bulletin de sécurité Ubuntu usn-3863-1 du 22 janvier 2019

Bulletin de sécurité Ubuntu usn-3863-2 du 22 janvier 2019

Version initiale

Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le 22 janvier 2019, Debian a publié un avis de sécurité indiquant que
leur gestionnaire de paquets était vulnérable à une injection de code.

Par défaut, les mises à jour sont récupérées en HTTP. Toutefois des
vérifications sont effectuées en local afin de vérifier l'intégrité des
fichiers récupérés.

Un attaquant en position d'intercepteur actif (*Man In The Middle*) peut
injecter un paquet malveillant qui sera considéré comme valide. Cette
vulnérabilité n'est présente que dans le cadre de l'utilisation de
redirections par APT.

Le logiciel APT s'exécute avec un niveau de privilège élevé, une attaque
réussie garanti donc à l'attaquant une compromission totale du système.

Il s'agit donc d'une vulnérabilité sérieuse, d'autant plus qu'elle
impacte directement le mécanisme de mise à jour. Il est nécessaire
d'appliquer le correctif tout en minimisant les risques d'exploitation.

Vulnérabilité dans le gestionnaire de paquets APT

Bulletin de sécurité Debian du 22 janvier 2019


Microsoft Exchange Server versions 2010 et ultérieures déployées en utilisant un modèle d'autorisation de type RBAC (le modèle d’autorisation de type AD Split n'est pas impacté).

## Solution

Le 12 février 2019, Microsoft a publié un correctif de sécurité intégré
dans une mise à jour cumulative et en a détaillé les modalités
d'installation dans un billet de blogue \[5\].

Microsoft indique avoir effectué des changements profonds dans
l’authentification des *Exchange Web Services (EWS) Push
Notifications*.  Ces changements ont été testés sur des applicatifs
courants sans qu'aucun effet de bord n'ait été constaté. Les précautions
d'usage sont à respecter avant une mise en production. Cette mise à jour
est considérée critique et devrait être appliquée dans les plus brefs
délais.

Il est ensuite recommandé de réinitialiser les identifiants des serveurs
Exchange qui sont stockés dans l'Active Directory, soit par le biais de
la
cmdlet [Reset-ComputerMachinePassword](https://docs.microsoft.com/powershell/module/microsoft.powershell.management/reset-computermachinepassword?view=powershell-5.1),
soit par [netdom ou Active Directory Users and
Computers](https://support.microsoft.com/help/216393/resetting-computer-accounts-in-windows)
si Powershell n'est pas disponible.

Les droits d'Exchange dans l'Active Directory ont également été réduits
en modifiant les descripteurs de sécurité à la racine du domaine. Se
référer au billet de Microsoft pour le séquencement ainsi que les
paramètres à utiliser pour appliquer la mise à jour.

Le 13 février 2019, le CERT-FR a publié l'avis de
sécurité CERTFR-2019-AVI-065 \[6\].

## Contournement provisoire

Afin de limiter les risques d'escalade de privilège selon le scénario
décrit ci-dessus, le CERT-FR recommande d'appliquer les mesures
suivantes:

1.  Filtrer les flux initiés par les serveurs *Microsoft Exchange*.
    Il convient de filtrer les flux initiés depuis les serveurs Exchange
    vers les autres machines du réseau, notamment vers les postes de
    travail des utilisateurs. De manière générale, seuls les flux
    nécessaires au bon fonctionnement doivent être autorisés (DC,
    Exchanges, etc.).
2.  Modifier le descripteur de sécurité à la racine du domaine *Active
    Directory*, en ajoutant l'attribut "*Inherit_only*" sur les access
    control entities (ACE) dangereuses \[2\]. Ces ACE permettent la
    modification du descripteur de sécurité *(WRITE_DAC)* du domaine.
    Cette modification bien que simple et réversible n'est toutefois pas
    supportée par Microsoft.

Il est également possible de vérifier une éventuelle tentative
d'exploitation en consultant les journaux EWS \[3\].

Comme tout élément de contournement, il est important d'être prudent
lors de la mise en œuvre. Il est à noter que l'ensemble des éléments
recommandés à ce jour est réversible.

Le 5 février 2019, Microsoft a publié un bulletin de sécurité relatif à
la vulnérabilité d'élévation de privilèges dans *Microsoft Exchange.* Ce
bulletin présente une méthode de contournement provisoire basée sur la
définition d'une politique limitant le processus de notifications EWS
\[4\].

[5] Billet de blogue Microsoft du 12 février 2019

[6] Avis CERT-FR CERTFR-2019-AVI-065 Multiples vulnérabilités dans Microsoft Exchange

[1] Billet de blogue de M. Mollema

[2] Script pour modifier la DACL et ajouter l'attribut "Inherit_only"

[3] Journaux EWS

Version initiale

Publication d'une mise à jour de sécurité et ajout de l'avis CERTFR-2019-AVI-065

Clôture de l'alerte.

Élévation de privilèges

Summary:
\[Mise à jour du 13/02/2019 : publication d'un correctif de sécurité
et de recommandations de la part de Microsoft, ainsi que d'un avis de
sécurité du CERT-FR (cf. section Documentation)\]

\[Mise à jour du 06/02/2019 : mise à jour des contournements
provisoires et ajout d'un bulletin Microsoft (cf. section
Documentation)\]

Le 21 janvier, un chercheur a révélé publiquement une vulnérabilité de
type élévation de privilèges sur l'écosystème *Microsoft Exchange* et
*Active Directory*\[1\].

Un ensemble de faiblesses connues ont été combinées afin de permettre à
un "utilisateur standard" du domaine d'élever ses privilèges jusqu'au
niveau "administrateur de domaine". L'auteur de ce blogue fournit à la
fois les éléments techniques et les codes d'exploitation.

Trois faiblesses sont utilisées :

1.  *Microsoft Exchange* supporte l'API *Exchange Web Services* (EWS),
    dont l'une des fonctions est *PushSubscription.* Celle-ci
    permet à un "utilisateur standard" de demander au serveur *Microsoft
    Exchange* d'initier des communications authentifiées à destination
    d'une ressource qu'il maîtrise ;
2.  par conception, l'authentification NTLM permet des attaques de type
    relai ;
3.  les comptes machines des serveurs *Microsoft Exchange* disposent
    d'un haut niveau de privilège sur l'*Active Directory \[2\]*.

L'attaquant peut obtenir, depuis sa ressource maîtrisée, une
authentification valide d'un compte machine d'un serveur *Microsoft
Exchange* (1.).

Une fois cette étape franchie, il peut relayer cette authentification
auprès d'un contrôleur de domaine *Active Directory* (2.).

Les droits d'accès de ce compte permet ensuite de modifier les
permissions appliquées au domaine et d'obtenir les droits
"administrateur de domaine" du domaine *Active Directory* (3.).

Vulnérabilités affectant l'écosystème Microsoft Exchange et Active Directory

[4] Bulletin de sécurité Microsoft ADV190007 du 5 février 2019


## Solution

L'ANSSI recommande de se conformer aux mesures énoncées dans la note
d'information suivante :
/information/CERTFR-2017-INF-001/

## Contournement provisoire

### Indicateurs de compromission

|            |                             |                                  |                                          |                                                                  |
|:----------:|:---------------------------:|:--------------------------------:|:----------------------------------------:|:----------------------------------------------------------------:|
|  famille   | taille du fichier en octets |               md5                |                   sha1                   |                              sha256                              |
| LockerGoga |           1267728           | 52340664fe59e030790c48b66924b5bd | 73171ffa6dfee5f9264e3d20a1b6926ec1b60897 | bdf36127817413f625d2625d3133760af724d6ad2410bea7297ddc116abc268f |
| LockerGoga |           1284112           | 9cad8641ac79688e09c5fa350aef2094 | 3da0a217bbda09561780f52f163a6aafeb721d60 | 5b0b972713cd8611b04e4673676cdff70345ac7301b2c23173cdfeaff564225c |
| LockerGoga |           1282576           | 164f72dfb729ca1e15f99d456b7cf811 | f92339e73c7e901c0c852d8e65615cfb588a4ff6 | 8cfbd38855d2d6033847142fdfa74710b796daf465ab94216fbbbe85971aee29 |
| LockerGoga |           1267728           | 3ebca21b1d4e2f482b3eda6634e89211 | 37cdd1e3225f8da596dc13779e902d8d13637360 | 6e69548b1ae61d951452b65db15716a5ee2f9373be05011e897c61118c239a77 |
| LockerGoga |           1267728           | a1d732aa27e1ca2ae45a189451419ed5 | 50f5a5ec13d21d4df119140547d63bc40f93b079 | c3d334cb7f6007c9ebee1a68c4f3f72eac9b3c102461d39f2a0a4b32a053843a |
| LockerGoga |           2097664           | 174e3d9c7b0380dd7576187c715c4681 | 31fbfe814628db3b459ddc87bf5ed538700db17a | c7a69dcfb6a3fe433a52a71d85a7e90df25b1db1bc843a541eb08ea2fd1052a4 |
| LockerGoga |           8129536           | ba53d8910ec3e46864c3c86ebd628796 | d1c2dfedc602f5d5f2036b0ba5541cac8f8b4b95 | a84171501074bac584348f2942964c8550374c39247ec6af0f4a69756ea9fc7a |
| LockerGoga |           833024            | a52f26575556d3c4eccd3b51265cb4e6 | 61fdebb3c9dfa880b54e82579256acfcd4d6d406 | 97a2ab7a94148d605f3c0a1146a70ba5c436a438b23298a1f02f71866f420c43 |
|    Ryuk    |           155648            | 32cbc69f85cc47d8e35dc20dfbda6948 | 35dd5239977c2922a06389061cca846ec09453bb | 795db7bdad1befdd3ad942be79715f6b0c5083d859901b81657b590c9628790f |
|    Ryuk    |           155648            | 7a7b1300e8b5a10424e08958a6fc15c1 | 9db96b1a4bff1ffc6b945360cc5cc363642ffc94 | 501e925e5de6c824b5eeccb3ccc5111cf6e312258c0877634935df06b9d0f8b9 |
|    Ryuk    |           156160            | 40492c178079e65dfd5449bf899413b6 | f3fa5d5942e5085586d7fcc496d3fad7804abcc2 | fe909d18cf0fde089594689f9a69fbc6d57b69291a09f3b9df1e9b1fb724222b |
|  GandCrab  |            1188             | 37795ac41c9b35035457a927978fcdd3 | 89b8b889449241f0ae1982c0db33afaa76a5d9b5 | 9d932a98c37b9a5454d3ba32596ef0292f55d3f7b3f9831a39df526ad1e686aa |
|  GandCrab  |           212992            | 5f36c4861f8d90c5e5011603738c4aa6 | 23f6c73678c1ac1794a36237e51675be4cfc180d | 8163602357b51402b8e34b385b0228ac4a603e19c6c8006e1c7a7a8099450742 |
|  GandCrab  |           136274            | 8e5f4903cad2b129eef0beb7001db3d7 | 8202f983fec9e4589598966232059ff33bb226d4 | f6013b930287d6fdb7d1d403396e4362e34a8d70192ba97b1f35ad97f99552c0 |
|  GandCrab  |           257024            | ae81f3a400cf631aafc46758e32756dd | 3b42ae50f7f83840e24b27fc30c2bfa158131039 | f85ffff8c83a93a2ab0c8ef050f25499c0aebca38f55fb58f313881da502cde7 |
|  Anatova   |           352256            | 366770ebfd096b69e5017a3e33577a94 | 711f9985ba5a1933351f017022c3ed9ec92cb6da | ab8a76b64448b943dc96a3e993b6e6b37af27c93738d27ffd1f4c9f96a1b7e69 |
|  Anatova   |            49664            | 2a0da563f5b88c4d630aefbcd212a35e | fec79b74bb6cc4ddf0bf0655a9ef73b0aff09bbc | 97fb79ca6fc5d24384bf5ae3d01bf5e77f1d2c0716968681e79c097a7d95fb93 |
|  Anatova   |           597504            | 9d844d5480eec1715b18e3f6472618aa | 9ccc09beca90983815c63bed939673b2d421fc2c | bd422f912affcf6d0830c13834251634c8b55b5a161c1084deae1f9b5d6830ce |
|  Anatova   |           314368            | 596ebe227dcd03863e0a740b6c605924 | 37fadc40d6dc787cb13ef11663a9bc97c79b8f48 | 170fb7438316f7335f34fa1a431afc1676a786f1ad9dee63d78c3f5efd3a0ac0 |
|  Anatova   |           314368            | 61139db0bbe4937cd1afc0b818049891 | 200800368f75146320545095661fed0c3e75d025 | 75371ff38823885b47aa21d2883792a5470e9bf1f3d2dc93f512725f35491820 |
|   Shade    |           1222408           | f67045329a5e10b9329d4de8c7c15d92 | 9023b108989b61223c9dc23a8fb1ef7cd82ea66b | a877748c5a561feb45f946d30223e1a309902b5a05c8574a0c3e906f6cf2ccb1 |
|   Shade    |           1086216           | 8a714ad99ae5dbd5fd8432efafb5b8e6 | d8418df846e93da657312acd64a671887e8d0fa7 | e43fb62c12fcf1be9f9982e81a59350a8f9dd2389198c0b332cef832a63aac0f |
|   Shade    |           1072392           | 751af1bd3e398cb7f3c95bdc162f5817 | feb458152108f81b3525b9aed2f6eb0f22af0866 | 6090a3b86cbec1e81983fcaf450dd20ec6bcfb942ae759bf7ccbda699378a28c |
|   Shade    |           1228040           | 1f7a4f1c2ee11b91cb03055bc36ea540 | 441cfa1600e771aa8a78482963ebf278c297f81a | cff0ba8b9bde4bf5e562e2db5ec5e6a0cba331410d8b93cbcf00e08f4cfe9630 |
|   Shade    |           1256712           | 546debd903c57f82c97c1d875ab1c8ef | 7ab40cd49b54427c607327fff7ad879f926f685f | 0ddcd4073c567f011477e54c4632e3ae44ed41608c109e01b7f829b82701c694 |
|   Shade    |           1354752           | 2d754117c7a8f24a646e03723a8d2095 | 9e8319015c28ff41d6a0e21dfa7a18044fb58682 | e6e0c121addfe84619582dd1c7a21b848042d6cd75c8a21117acb462b42b63dd |
|   Shade    |           1071880           | 3a29dd9147865b2c35f92a2aef0aba8d | 0df31f125cc125463dd230ae8980dcaae7f80617 | 35809b55e77a750ff6d07100d5de321e513e3f33feb200d3b4323aab235f7fdd |
|   SamSam   |             276             | 46602c08bc8a96b55d7998cd695dabaa | 6b21aec23a844e6a5af1879c41b9632a0e705bb7 | 9c8ad4147f5cbdda51317a857d75720c84bddb16338dabe374a3e60c64c2f0de |
|   SamSam   |                             |                                  | 713973f14ae8ff88a63a1491e82e48f362e3aed7 |                                                                  |
|   SamSam   |           239104            | 9101fef217778423266988ce92a2e595 | 3cbddf5f027b19e55366ecc0fd287f31379175a0 | 0bbb34b3cb16f24fbb3189e9c02ae9c7e6bfb806e89a9622007ac0ec6b5e16d9 |
|   SamSam   |            6144             | b96620d8a08fa436ea22ef480dd883ce | a1ab74d2f06a542e77ea2c6d641aae4ed163a2da | 738c95f5bfe63a530b200a0d73f363d46c5671c1fcbb69c217e15a3516501a86 |
|   SamSam   |            5632             | f702153b68628eff973abb2912af0d22 | 138c3aae51e67db0c4134affae428fe91c0d1686 | da9c2ecc88e092e3b8c13c6d1a71b968aa6f705eb5966370f21e306c26cd4fb5 |
|   SamSam   |            5120             | 76bd79f774ae892fd6a30b6463050a91 | 4d7a60bd1fb3677a553f26d95430c107c8485129 | 9b23bfc35b18ed80104c496b2aa722b3e56ff9ceb9dae60d1aff7230321c1d12 |

LockerGoga (Adresses courriel de contact) :

-   CottleAkela@protonmail.com<mailto:CottleAkela@protonmail.com>
-   QyavauZehyco1994@o2.pl<mailto:QyavauZehyco1994@o2.pl>
-   IjuqodiSunovib98@o2.pl<mailto:IjuqodiSunovib98@o2.pl>
-   AbbsChevis@protonmail.com<mailto:AbbsChevis@protonmail.com>

De nombreux articles de presse spécialisée et rapports d'éditeurs donnent des informations supplémentaires :

Version initiale

Correction d'une coquille sur le nom LockerGoga

Correction bogue de mise en page

Ajout d'un lien vers un bulletin d'actualité dédié à la menace des rançongiciels

Clôture de l'alerte

S'exécuter avec des privilèges de compte administrateur (samsam)

D'utiliser des certificats d'authentification signés par une autorité de certification (c'est le cas de lockergoga par exemple)

De contourner des solutions antivirales (notamment samsam et ryuk)

Summary:
Voir la rubrique Contournement Provisoire pour les indicateurs de
compromission.

Campagnes de rançongiciels


Microsoft Internet Explorer

Microsoft Edge

## Contournement provisoire

Le CERT-FR n'a pas encore analysé ces vulnérabilités mais recommande
cependant de faire preuve de prudence lors de la navigation sur internet
ainsi que le respect des bonnes pratiques.

Dans l'attente d'un correctif de la part de Microsoft, le CERT-FR
recommande également de privilégier l'utilisation de navigateurs non
touchés par cette vulnérabilité, par exemple Chrome ou Firefox.

Version initiale

Clôture de l'alerte.

Injection de code indirecte à distance (XSS)

Summary:
Le 30 mars 2019, le
site [thehackernews.com](https://thehackernews.com/2019/03/microsoft-edge-ie-zero-days.html) a
publié un billet dans lequel un chercheur en sécurité annonce avoir
trouvé deux vulnérabilités de type 0 jour dans Microsoft Edge et
Internet Explorer.

Ces vulnérabilités permettent de contourner la fonctionnalité de
sécurité *Same Origin Policy* (SOP). Cette fonctionnalité empêche un
script d’interagir avec des ressources chargées depuis une source
différente, ceci dans le but de limiter les informations qu'un site peut
obtenir du navigateur de l'utilisateur.

Ici, si un utilisateur se rend sur un site malveillant ou un site
légitime compromis, l'attaquant pourrait être en mesure de récupérer des
informations et secrets de navigation, tels que l'historique ou des
cookies de connexion.

Multiples vulnérabilités dans Microsoft Edge et Internet Explorer


Oracle WebLogic Server version 12.1.3.0.0

Oracle WebLogic Server version 10.3.6.0.0

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

L'application des correctifs de sécurité est toujours préférable aux
mesures de contournement.

Une évaluation des risques doit être conduite avant d'envisager les
mesures de contournement suivantes :

1.  Bloquer l’accès aux chemins contenant les motifs */\_async/\** et
    */wls-wsat/\* ;
    *
2.  Supprimer les fichiers *wls9_async_response.war* et *wls-wsat.war*,
    puis redémarrer le service.

Avis CERT-FR CERTFR-2019-AVI-189 du 29 avril 2019

Version initiale

Ajout du bulletin de sécurité Oracle cve-2019-2725 du 26 avril 2019

Modification des versions vulnérables par Oracle le 30 avril 2019.

Passage de la mesure de contournement dans la section Solution.

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
<strong>\[Mise à jour du 29 avril 2019\]</strong> Oracle a publié un correctif de
sécurité le 26 avril 2019. Le CERT-FR recommande son application dans
les plus brefs délais (cf. section Documentation).

Le 21 avril 2019, l'équipe de chercheurs Knownsec 404 Team a annoncé
avoir trouvé une vulnérabilité affectant toutes les versions d’Oracle
WebLogic :
<https://medium.com/@knownseczoomeye/knownsec-404-team-oracle-weblogic-deserialization-rce-vulnerability-0day-alert-90dd9a79ae93>

Par une requête HTTP(S) spécialement forgée, un attaquant non
authentifié pourrait exécuter du code arbitraire à distance. La
vulnérabilité serait déclenchée lors de la dé-sérialisation de la
requête dans les composants *wls9_async_response.war* et *wls-wsat.war*,
qui sont installés par défaut. Le premier composant permet la gestion
d'opérations asynchrones par le serveur tandis que le second est un
module de gestion de la sécurité.

Aucun correctif n’est disponible pour l’instant et Oracle n’a pas
communiqué sur le sujet. Le CERT-FR n'a pu vérifier l’existence de ces
vulnérabilités et n'a pas identifié de code d'exploitation sur Internet.
De nombreux scans sur les urls vulnérables ont néanmoins été identifiés.

Selon le chercheur, cette vulnérabilité n’a pas encore été exploitée
pour exécuter des charges malveillantes.

Vulnérabilité dans Oracle WebLogic

Bulletin de sécurité Oracle cve-2019-2725 du 26 avril 2019


Windows XP

Windows Server 2008 R2

Windows Server 2008

Windows 7

Windows 2003

Windows Vista

## Solution

Le CERT-FR recommande l'application des correctifs disponibles dans les
plus brefs délais. Se référer au bulletin de sécurité de l'éditeur pour
l'obtention des correctifs (cf. section Documentation).

## Contournement provisoire

L'activation de NLA ne permet pas de corriger la vulnérabilité mais
impose une authentification avant l'exécution de la section vulnérable
du code. Elle pourra se faire à l'aide de la GPO suivante (version
française puis version anglaise):

\[pastacode lang="bash"
manual="GPO%20%3E%20Configuration%20ordinateur%20%3E%20Mod%C3%A8les%20d%E2%80%99administration%20%3E%20Composants%20Windows%20%3E%20%0AService%20Bureau%20%C3%A0%20distance%20%3E%20H%C3%B4te%20de%20la%20session%20Bureau%20%C3%A0%20distance%20%3E%20S%C3%A9curit%C3%A9"
message="" highlight="" provider="manual"/\]

\[pastacode lang="bash"
manual="GPO%20%3E%20Computer%20Configuration%20%3E%20Administrative%20Templates%20%3E%20Windows%20Components%20%3E%20%0ARemote%20Desktop%20Services%20%3E%20Remote%20Desktop%20Session%20Host%20%3E%20Security"
message="" highlight="" provider="manual"/\]

[3] Règle de détection réseau Suricata de NCC Group pour la CVE-2019-0708

[4] Instructions pour les clients concernant la CVE-2019-0708 de Microsoft

Avis CERT-FR CERTFR-2019-AVI-223

[2] Publication de blogue de Microsoft sur la vulnérabilité CVE-2019-0708

Version initiale

Informations complémentaires sur les systèmes impactés, les recommandations et les contournements provisoires

Mise en forme

Ajout des informations sur le correctif pour Windows Vista

Correction syntaxique

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
\[Mise à jour du 22 mai 2019 : Informations complémentaires et
situation\]

\[Mise à jour du 23 mai 2019 : Informations sur la publication d'un
correctif pour Windows Vista\]

Le 14 mai 2019, lors de sa mise à jour mensuelle, Microsoft a publié un
correctif pour une vulnérabilité identifiée comme CVE-2019-0708 \[1\].
Cette vulnérabilité impacte les services de bureau à distance (*Remote
Desktop Services*, RDS), basé sur le protocole de bureau à distance
(*Remote Desktop Protocol*, RDP) et régulièrement utilisé dans le cadre
de l'administration à distance. Cette vulnérabilité permet l'exécution
de code arbitraire sur un système vulnérable, et ce sans
authentification ni interaction d'un utilisateur.

De par le risque particulièrement important qui découlerait d'une
exploitation de cette faille, elle a fait l'objet d'un traitement
spécifique de la part de l'éditeur. En effet, en plus des correctifs
pour les systèmes actuellement maintenus par Microsoft, des mises à
jours exceptionnelles ont également été rendues disponibles pour
certains des anciens systèmes n'étant plus pris en charge. Cela comprend
les systèmes Windows 2003 ainsi que Windows XP.

Le 23 mai 2019, Microsoft a rendu disponible un correctif pour le
système Windows Vista \[4\].

De plus, une publication de l'éditeur alertant sur le caractère
singulier de cette faille et mettant en garde contre un risque d'attaque
par un ver informatique exploitant la CVE-2019-0708 a été mise en ligne
sur le blog de Microsoft \[2\].

À la date du 22 mai 2019, aucun code d’exploitation public n’est
disponible. Cependant, plusieurs sources fiables sur Internet se font
l'écho de l’existence de tels codes, rendant alors crédible le risque de
divulgation des détails techniques et l’exploitation automatisée qui
pourrait suivre.

Une proposition de règle de détection s'appuyant sur certaines
caractéristiques de la vulnérabilité a été rendue publique par NCC Group
\[3\]. Il est ainsi possible dans certains cas de détecter une tentative
d'exploitation. Cependant, dans le cas général les communications
passent par un canal chiffré ce qui empêche les détections au niveau du
réseau.

### NLA (*Network Level Authentication*)

Pour éviter l’exploitation en pré-authentification, il est possible
d'utiliser la fonctionnalité NLA qui force une authentification du
client lors de l’initialisation de la connexion RDP.
La fonctionnalité NLA est implémentée depuis Windows Vista et Windows
Server 2008 mais n’est pas forcément imposée par la configuration du
service RDS. Il n’existe pas de configuration par défaut relative à
l’activation de cette fonctionnalité et l’administrateur définit ces
paramètres lors de l’installation.

### Recommandations

Le CERT-FR recommande en premier lieu l'application des correctifs
disponibles dans les plus brefs délais.

Les systèmes vulnérables doivent être identifiés et les mesures
suivantes doivent être appliquées au plus vite :

<colgroup>
<col style="width: 50%" />
<col style="width: 50%" />
</colgroup>

Systèmes d'exploitation
Mesures

Windows 7

Windows Server 2008
En fonction de la configuration de NLA,
les machines sont vulnérables en pré-authentification ou en post
authentification. Pour que la vulnérabilité ne soit pas exploitable en
pré-authentification, NLA doit être activé (cf. section
Contournement provisoire)

Le CERT-FR recommande donc de déployer, par GPO si applicable,
l’activation de NLA pour le service RDS.

Quelle que soit la configuration, les correctifs doivent être appliqués
sur ces systèmes.

Il est rappelé que la fin du support de ces systèmes d’exploitation
étant proche (14 janvier 2020), il est nécessaire de migrer vers des
versions supportées.

Windows Vista
Ce système n'est plus supporté par
l’éditeur. L'utilisation de la fonctionnalité NLA permet d'éviter
l'exploitation de la vulnérabilité en pré-authentification et peut être
utilisé comme solution de contournement provisoire.

Bien qu'un correctif soit disponible pour cette version de Windows, la
mise à niveau vers des systèmes soutenus par l’éditeur doit être
réalisée en urgence.

Windows XP

Windows Server

2003
Ces systèmes ne sont plus supportés par
l’éditeur et aucun mécanisme de défense en profondeur n’est disponible
pour réduire la gravité de cette vulnérabilité.

Aucune machine avec ces versions de Windows ne doit être connectée à
Internet ou à un réseau local ni administrée par ce vecteur.

Bien que des correctifs soient disponibles pour ces versions de Windows,
le remplacement vers des systèmes soutenus par l’éditeur doit être
réalisé en urgence.

Vulnérabilité dans Microsoft Remote Desktop Services

[1] Bulletin de sécurité Microsoft CVE-2019-0708 du 14 mai 2019


Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2012 R2

Windows Server, version 1903 (Server Core installation)

Windows Server 2016 (Server Core installation)

Windows Server, version 1803 (Server Core Installation)

Windows Server 2008 R2 pour systèmes Itanium Service Pack 1

Windows Server 2019 (Server Core installation)

Windows Server 2012 R2 (Server Core installation)

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (Server Core installation)

Windows Server 2016

Windows Server 2019

Avis CERT-FR CERTFR-2019-AVI-223

Version initiale

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Le 14 mai 2019, lors de sa mise à jour mensuelle, Microsoft a publié un
correctif pour une vulnérabilité identifiée comme CVE-2019-0725 \[1\].

Cette vulnérabilité permet à un attaquant, non authentifié, d'exécuter
du code arbitraire à distance après avoir envoyé un paquet spécialement
conçu au serveur DHCP.

Le CERT-FR recommande l'application des correctifs disponibles dans les
plus brefs délais.

Vulnérabilité dans le serveur DHCP de Windows

[1] Bulletin de sécurité Microsoft CVE-2019-0725 du 14 mai 2019


Microsoft SharePoint Enterprise Server 2016

Microsoft SharePoint Foundation 2013 Service Pack 1

Microsoft SharePoint Server 2013 Service Pack 1

Microsoft SharePoint Server 2010 Service Pack 2

Microsoft SharePoint Foundation 2010 Service Pack 2

Microsoft SharePoint Server 2019

[2] Avis CERT-FR CERTFR-2019-AVI-061

[4] Billet de blogue AlienVault du 10 mai 2019

[3] Billet de blogue ZDI du 13 mars 2019

[6] Alerte Canadian Centre for Cyber Security du 23 avril 2019

[7] Alerte NCSC saoudien

[5] Billet Cloudflare du 28 mai 2019

Version initiale

Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Depuis début mai 2019, des campagnes d'attaques ciblées exploitant la
vulnérabilité CVE-2019-0604 sont rapportées publiquement.

Cette vulnérabilité permet à un attaquant d'exécuter du code arbitraire
à distance en exploitant une faille de dé-sérialisation dans les
serveurs SharePoint par l'envoi d'une requête malveillante spécialement
conçue. Cloudflare indique dans son analyse que la vulnérabilité est
exploitable sans authentification \[5\], ce qui n'a pas été confirmé pas
Microsoft.

Microsoft a publié un premier correctif à l'occasion de sa mise à jour
mensuelle de février 2019 \[1\]\[2\]. De nouveaux correctifs ont été
publiés en mars et avril 2019 pour couvrir d'autres versions vulnérables
de SharePoint et certains cas d'exploitations qui n'avaient pas été pris
en charge.

Cette vulnérabilité a été découverte par le chercheur Markus Wulftange
qui a publié ses travaux en mars 2019 \[3\].

Du code d'attaque exploitant cette vulnérabilité est disponible sur
internet. Il n'est toutefois pas utilisable sans modification, ce qui
explique que cette vulnérabilité n'est pas encore massivement exploitée.

Cependant, devant l'augmentation des cas d'exploitation, plusieurs
entreprises de sécurité informatique, ainsi que certains CERT nationaux,
ont communiqué sur le sujet (cf. section Documentation). Des règles de
détection réseau et système \[4\] et des indicateurs de compromissions
\[5\]\[6\]\[7\] ont été publiés. Ces derniers doivent être recherchés
sur les serveurs SharePoint si les journaux de connexion indiquent des
tentatives d'accès aux URLs vulnérables.

Si ce n'est pas encore fait, le CERT-FR recommande l'application des
correctifs dans les plus brefs délais.

Vulnérabilité dans Microsoft SharePoint Server

[1] Bulletin de sécurité Microsoft CVE-2019-0604 du 12 février 2019


Exim versions antérieures à 4.92

Avis CERT-FR CERTFR-2019-AVI-252 du 06 juin 2019

Version initiale

Ajout de la commande de recherche dans les journaux.

Clôture de l'alerte.

Exécution de commande arbitraire à distance

Summary:
Le CERT-FR a connaissance de cas d'exploitation de la
vulnérabilité CVE-2019-10149 qui affecte Exim et permet une exécution de
commande arbitraire à distance.

Cette vulnérabilité est triviale à exploiter, d'autant plus que du code
d'attaque est disponible publiquement sur internet.

Le CERT-FR recommande donc fortement l'application du correctif sorti le
05 juin 2019, et ce dans les plus brefs délais.

La commande suivante peut servir à détecter des tentatives
d'exploitation en cherchant dans les journaux d'activités. Elle a été
testée sur un système Debian avec une configuration par défaut.

\[pastacode lang="bash"
manual="grep%20'%24%7Brun'%20%2Fvar%2Flog%2Fexim4%2Fmainlog" message=""
highlight="" provider="manual"/\]

Exemples de sortie:

\[pastacode lang="bash"
manual="2019-06-11%2014%3A01%3A29%201hal5N-0001Hx-3T%20\*\*%20%24%7Brun%3C%5BCOMMANDE%20EXECUTEE%5D%3E%7D%40localhost%3A%20Too%20many%20%22Received%22%20headers%20-%20suspected%20mail%20loop%0A2019-06-11%2014%3A02%3A14%201hal66-0001I7-MN%20\*\*%20%24%7Brun%3C%5BCOMMANDE%20EXECUTEE%5D%3E%7D%40localhost%3A%20Too%20many%20%22Received%22%20headers%20-%20suspected%20mail%20loop%0A2019-06-11%2014%3A03%3A11%201hal70-0001IH-VN%20\*\*%20%24%7Brun%3C%5BCOMMANDE%20EXECUTEE%5D%3E%7D%40localhost%3A%20Too%20many%20%22Received%22%20headers%20-%20suspected%20mail%20loop%0A2019-06-11%2014%3A07%3A44%201halBQ-0001Ij-2D%20\*\*%20%24%7Brun%3C%5BCOMMANDE%20EXECUTEE%5D%3E%7D%40localhost%3A%20Too%20many%20%22Received%22%20headers%20-%20suspected%20mail%20loop"
message="" highlight="" provider="manual"/\]

Vulnérabilité dans Exim

Bulletin de sécurité Exim CVE-2019-10149 du 05 juin 2019


Firefox versions antérieures à 67.0.3

Firefox ESR versions antérieures à 60.7.1

Avis CERT-FR CERTFR-2019-AVI-280 du 19 juin 2019

Version initiale

Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le 18 juin 2019, l'éditeur Mozilla a publié un avis de sécurité
annonçant la mise à disposition d'un correctif de sécurité pour son
navigateur Firefox. Ce dernier est affecté par une vulnérabilité de
confusion de type pouvant mener à une exécution de code arbitraire à
distance.

L'avis de sécurité de Mozilla fait état d'attaques ciblées exploitant
cette faille qui a par ailleurs reçu l'identifiant CVE-2019-11707.

Le CERT-FR recommande l'application du correctif disponible pour Firefox
dans les plus brefs délais.

Vulnérabilité dans Mozilla Firefox

Bulletin de sécurité Mozilla mfsa2019-18 du 18 juin 2019


Oracle WebLogic Server versions 10.3.6.0.0, 12.1.3.0.0 et 12.2.1.3.0

Publication de blogue de l'équipe Knownsec 404 sur la CVE-2019-2729

Avis CERT-FR CERTFR-2019-AVI-285

Alerte du CERT-FR CERTFR-2019-ALE-005 du 26 avril 2019 sur la vulnérabilité CVE-2019-2725

Version initiale

Clôture de l'alerte.

Exécution de code arbitraire à distance

Summary:
Le 18 juin 2019, Oracle a publié un avis de sécurité hors de son cycle
habituel de correctifs pour une vulnérabilité jugée critique.
Cette faille d'identifiant CVE-2019-2729 affecte les serveurs WebLogic
et peut conduire à une exécution de code arbitraire à distance sans
qu'une authentification soit nécessaire.

Cette vulnérabilité a été remontée à l'éditeur par plusieurs chercheurs
en sécurité parmi lesquelles l'équipe Knownsec 404.
Dans une publication de blogue le 15 juin 2019 (cf. section
documentation) l'équipe, qui avait par ailleurs rapporté au mois d'avril
2019 une précédente vulnérabilité affectant WebLogic, annonce avoir
identifié l'exploitation de la vulnérabilité actuelle. Cette faille
serait basée sur un contournement du correctif de sécurité déployé par
Oracle en avril 2019 relatif à la vulnérabilité CVE-2019-2725.

Le CERT-FR recommande l'application du correctif de sécurité dans les
plus brefs délais.

Vulnérabilité dans Oracle WebLogic

Bulletin de sécurité Oracle alert-cve-2019-2729-5570780 du 18 juin 2019


Windows Server 2012

Windows Server 2019

Windows Server 2012 R2

Windows Server 2008 R2

Windows 10

Windows RT 8.1

Windows Server 2016

Windows 7 SP1

Windows Server 2008 R2 SP1

Windows 8.1

## Solution

Le CERT-FR recommande l'application des correctifs disponibles dans les
plus brefs délais. Se référer au bulletin de sécurité de l'éditeur pour
l'obtention des correctifs (cf. section Documentation).

## Contournement provisoire

Un contournement partiel existe lorsque le protocole *Network Level
Authentication* (NLA) est activé. Cette fonctionnalité de sécurité force
l'authentification du client lors de l’initialisation d'une connexion
avec le service RDS. Cela a pour conséquence d'empêcher l'exploitation
de ces failles en pré-authentification. Malgré son utilisation, les
machines demeurent vulnérables à une exécution de code arbitraire à
distance.

Communiqué Symantec

Publication de blogue de Microsoft sur les vulnérabilités CVE-2019-1181 et CVE-2019-1182

Avis CERT-FR CERTFR-2019-AVI-397

Alerte de sécurité du CERT-FR CERTFR-2019-ALE-006 du 15 mai 2019

Publication de blogue de Microsoft l'incompatibilité de la mise à jour d'août 2019 avec les produits Symantec

Version initiale

Problème d'incompatibilité avec les produits Symantec

Clôture de l'alerte

Exécution de code arbitraire à distance

Summary:
Le 13 août 2019, lors de la publication mensuelle de ses correctifs,
Microsoft a corrigé plusieurs vulnérabilités affectant les services de
bureau à distance (*Remote Desktop Services*, RDS). Parmi les failles
corrigées, quatre d'entre elles, critiques, permettent une exécution de
code arbitraire à distance. Selon l'éditeur, elles touchent les systèmes
Windows 7 SP1, Windows Server 2008 R2 SP1, Windows Server 2012, Windows
8.1, Windows Server 2012 R2 ainsi que toutes les versions supportées de
Windows 10, cela incluant les versions serveur.

Ces vulnérabilités identifiées comme CVE-2019-1181, CVE-2019-1182,
CVE-2019-1222 et CVE-2019-1226 peuvent être exploitées sans
authentification et sont considérées comme étant d'une criticité
similaire à la faille CVE-2019-0708 \[1\] corrigée au mois de mai par
l'éditeur.

En accompagnement du bulletin mensuel sur les correctifs de sécurité,
Microsoft a également publié un article de blogue \[2\] revenant sur
deux de ces failles, les CVE-2019-1181 et CVE-2019-1182. Celui-ci incite
les utilisateurs à mettre à jour leurs systèmes dans les plus brefs
délais et met en garde contre le risque d'utilisation de ce type de
vulnérabilité dans des attaques à propagation de type "ver
informatique".

<strong>\[Mise à jour 14 août 2019\]</strong>

Microsoft a bloqué la mise à jour d'août 2019 pour les utilisateurs de
produits Symantec et Norton \[3\]\[4\]. En effet, l'algorithme SHA-2
pour la signature du certificat n'est pas supporté par ces produits,
ceux-ci ne peuvent donc pas vérifier la mise à jour.

Microsoft déconseille de forcer l'installation. Aucune solution n'est
disponible pour l'instant.

Multiples vulnérabilités dans Microsoft Remote Desktop Services

Bulletin de sécurité Microsoft CVE-2019-1226 du 13 août 2019

Bulletin de sécurité Microsoft CVE-2019-1222 du 13 août 2019

Bulletin de sécurité Microsoft CVE-2019-1181 du 13 août 2019

Bulletin de sécurité Microsoft CVE-2019-1182 du 13 août 2019