Page précédente Page suivante Partager sur X Imprimer
Actualité du mois
Article
Remonter HAUT DE PAGE

Bulletin mensuel

Cert-IST - Bulletin sécurité

#322
Juillet
2024

A la une

La 1ere partie des JOP vient de se clore et il n’y a pas eu d’attaque cyber ayant créé une perturbation significative. Le grand public retiendra donc plutôt les attaques physiques survenues au moment de l’ouverture des jeux (sabotages d’équipements TGV-SNCF et coupures de fibres Internet), que les attaques cyber.

Ce bon résultat est sans aucun doute le résultat des efforts colossaux déployés depuis plusieurs années par les parties prenantes : le CERT des JOP-2024 et l’ANSSI bien sûr, mais aussi les entreprises et collectivités impliquées. Les attaquants étaient attendus et les défenses renforcées en conséquence. En plus du travail de sensibilisation et de préparation, on notera aussi les actions de déstabilisation lancées peu de temps avant le jour J comme par exemple l’arrestation d’un ressortissant russe (annoncée le 24 juillet) ou la diffusion d’IOC pour détecter les éventuels Wipers installés par l’attaquant (cf. notre post du 8 juillet dans le blog HdC consacré au JOP).

Peu d’informations ont circulé sur les coulisses, mais nous ne doutons pas que le travail des équipes cyber a été intense (et probablement stressant), ne serait-ce que pour trier entre accidents, fausses annonces et vraies attaques. Gabriel Attal a dit que 68 incidents cyber avaient été traités dans la semaine de l’ouverture des jeux (s30). Cela peut sembler peu quand Cisco avait parlé de 450 millions d’attaques pour les J.O. de Tokyo (et prédit 8 fois plus pour les J.O. de Paris), mais on compare probablement ici des nombres de paquets arrêtés par les firewalls (pour Cisco) avec des incidents qualifiés, suivis et traités.

Après un répit de 2 semaines (pour finir le traitement des incidents répertoriés ?) les équipes cyber seront prêtes pour la seconde partie de l’événement avec la cérémonie d’ouverture des jeux paralympiques le mercredi 28 août !

1.Actualité du mois

1.1 Attaques du mois

Au cours du mois de juillet, nous avons émis 2 nouvelles alertes :

  • CERT-IST/AL-2024.009 (Jaune) : Risque d'attaques contre OpenSSH (CVE-2024-6387) - 02/07/2024
  • CERT-IST/AL-2024.010 (Jaune) : Risque d'attaques visant les équipements Cisco Secure Email Gateway (CVE-2024-20401) – 18/07/2024

Nous passons ci-dessous en revue l’ensemble de ces éléments.

Rappel à propos des publications Cert-IST :

  • Les menaces les plus graves font l’objet d’alertes Cert-IST jaunes, orange ou rouges. Elles sont souvent complétées par la création d’un blog dans le Hub de Crise qui permet de suivre la menace en apportant au fil de l’eau de nouveaux éléments.
  • Les menaces de moindre niveau, ou ne concernant pas la communauté Cert-IST, et les buzz médiatiques font en général l’objet de messages d’information dans la liste « INFO ». On peut les retrouver aussi sur le site web à la rubrique « Actualités / Info ».

CERT-IST/AL-2024.009 (Jaune) : Risque d'attaques contre OpenSSH (CVE-2024-6387) - 02/07/2024

Nous avons émis cette alerte suite à la publication le 01/07/2024 d’une nouvelle version du logiciel serveur OpenSSH corrigeant une vulnérabilité critique découverte par Qualys (cf. notre avis CERT-IST/AV-2024.1254). Cette vulnérabilité est une "race condition" qui se produit lors de la phase d'authentification dans OpenSSH. Elle peut permettre à un attaquant distant sans compte, d'exécuter du code sur le serveur OpenSSH avec les privilèges "root". Cette vulnérabilité a été surnommée "regreSSHion" par Qualys parce qu'il s'agit d'une réapparition de la vulnérabilité CVE-2006-5051 corrigée en 2006.

Les analyses publiées par la suite ont montré que cette vulnérabilité critique est difficile à exploiter car elle demande un grand nombre d’essais pour que la race condition soit exploitée avec succès. Qualys a estimé qu’il fallait de l’ordre de 6 à 8 heures d’essais continus pour réussir l’attaque en laboratoire sur un système 32 bits. L’attaque en condition réelle de systèmes 64 bits serait beaucoup plus longue. A notre connaissance, elle n’a pas été démontrée.

Du fait de la dangerosité de cette vulnérabilité, nous avons ouvert un blog HdC pour suivre l’évolution de la menace. Il n’y a pas eu d’évolution majeure, et cette menace est restée au niveau d’alerte jaune. Une variante (CVE-2024-6409, moins grave) a été corrigée par la suite (cf. notre avis CERT-IST/AV-2024.1336 du 11/07/2024).

CERT-IST/AL-2024.010 (Jaune) : Risque d'attaques visant les équipements Cisco Secure Email Gateway (CVE-2024-20401) – 18/07/2024

Nous avons émis cette alerte suite à l’annonce le 17/07/2024 d’une nouvelle version du logiciel pour l’équipement Cisco Secure Email Gateway (SEG) qui corrige une vulnérabilité critique (CVE-2024-20401). Cette vulnérabilité permet à un attachement mail malveillant, lorsqu’il est analysé par l’équipement Cisco SEG, de provoquer une « écriture » (avec les privilèges root) dans n’importe quel fichier sur le Cisco SEG. Cela peut permettre à un attaquant distant de prendre le contrôle complet de cet équipement.

Cisco précise qu’il n’a pas connaissance de cas d’attaques ou de l’existence d’un programme d’exploitation. Du fait de la gravité de la vulnérabilité, nous avons décidé cependant de faire une alerte jaune.

A notre connaissance, il n’y a pas eu depuis de nouvelle actualité pour cette vulnérabilité.

1.2 Vulnérabilités du mois

Voici les failles qui ce mois-ci ont attiré notre attention du fait de leur dangerosité (dont le risque associé est soit "Elevé" ou "Très élevé"). La mention "Exploit" indique les vulnérabilités pour lesquelles un programme d'exploitation existe.

Vulnérabilités permettant la prise de contrôle à distance de machines vulnérables :

Vulnérabilités permettant d'exécuter du code à distance avec les privilèges de l'utilisateur connecté à ce système :

Vulnérabilités permettant à un utilisateur local d'obtenir les privilèges "administrateur" :

Autres :

1.3 Nouveautés du mois dans le monde de la sécurité informatique

Nous listons ci-dessous les nouvelles versions publiées par les éditeurs ce mois-ci, pour les produits que nous suivons.

Les éditeurs de ces produits n’ont pas indiqué si ces versions corrigent des vulnérabilités, toutefois certains éditeurs ont une communication limitée, voire inexistante, sur la sécurité de leurs produits, et il est possible que ces nouvelles versions corrigent silencieusement des vulnérabilités.

Nous vous conseillons donc vivement de mettre à jour les produits pour lesquels l’éditeur n’indique pas clairement  que cette mise à jour n’est pas une mise à jour de sécurité.

Products Versions
Android Studio 2024.1.1 Patch 1
Ansible-Core 2.16.9, 2.17.2
Antisamy 1.7.6
AnyDesk 8.0.12
Apache Commons Codec 1.17.1
Apache POI 5.3.0
argo-cd 2.11.7
Atlassian Confluence 8.9.5, 9.0
BeyondTrust Remote Support 7.2.1
Bitwarden Desktop 2024.7.1
Bitwarden Web 2024.7.2
Centreon Web 24.04.5
Containerd 1.17.20, 1.6.34
Cracklib 2.10.1
Cyberwatch 13.12
Datadog Agent 7.55.2
DBeaver 24.1.3
DefectDojo 2.36.6
DependencyTrack 4.11.5
Docker 4.33.1
DPDK 24.07
Edge Private Cloud 4.52.01.02
FileZilla Client 3.67.1
Fluent Bit 3.1.4
Git 2.46.0
Gradle 8.9
Graylog 6.0.4
H2 Database Engine 2.3.230
HAProxy 3.0.3
HashiCorp - Terraform 1.9.3
Hashicorp Vault 1.17.2
hawtio 4.1.0
Illumio Core 23.2.30
InfluxDB 2.7.8
iText 8.0.5
Klocwork 2024.2
LuciadLightspeed 2024.0.01
Luna HSM 7.8.5
Media Player Classic (MPC-HC) 2.3.3
MIA Studio 13.0.5
Microsoft Power BI 1.20.8959.12285 (build 15.0.1115.206)
Netty 4.1.112
NGINX Ingress Controller 1.11.1
Node.js 20.16.0, 22.5.1
Notepad++ 8.6.9
Nuxeo Platform 2023.15 / 2023-HF15
Openshot 3.2.1
Oracle Enterprise Performance Management 11.2.18
Oracle Key Vault 21.9
pgAdmin 4 8.10
PMD 7.4.0
Podman 5.1.2
ProcessOne ejabberd 24.07
Promodag 14.0.0143
Protobuf 25.4, 27.3
Pulumi 3.127.0
PyTorch 2.4
RabbitMQ 3.13.6
Rancher 2.8.6, 2.9.0
Rancher Desktop 1.15.0
Rapid7 - Nexpose 6.6.263
Rapid7 InsightVM 6.6.263
Redgate Flyway 10.17.0
Redis 7.4.6
Ruby 3.2.5, 3.3.4
RubyGems 3.5.14
Rust 1.80.0
Signal Desktop 7.18.0
Signal-Android 7.13.1
Signal-iOS 7.22
Snort 3.3.2.0
Solarwinds Database Performance Analyzer (DPA) 2024.3
Spring Boot 3.2.8, 3.3.2
Spring Framework 6.1.11
Sysdig Linux Agent 13.3.2
syslog-ng 4.8.0
Tomcat 10.1.26, 9.0.91
TYPO3 12.4.17, 13.2.1
Umbraco 13.4.1, 14.1.1
VeraCrypt 1.26.12
WebKitGTK 2.45.6
WildFly 33.0.0
WinMerge 2.16.42.1
Wordpress Plugins Akismet 5.3.3, Contact Form 7 5.9.8
Xming 7.7.1.5
Yubico YubiKey Manager 5.5.1
Zabbix 6.4.17, 7.0.2
Znuny 6.5.10, 7.1.2
Zoho ManageEngine - ServiceDesk Plus 14820
Zoho ManageEngine ADAudit Plus Build 8120
Zoho ManageEngine ADSelfService Plus Build 6501
Zoho ManageEngine NetFlow Analyzer 12.8.319 (Build 128319)
Zoom Desktop Client Windows 6.1.6 (43767)

1.4 Nouveaux produits/versions introduits dans la base de connaissances

Nouveaux produits :

  • PowerDNS Authoritative Server
  • PowerDNS dnsdist
  • PowerDNS Recursor
  • Skyhigh Security Secure Web Gateway
  • Splunk Cloud Platform
  • WireGuard Windows

Nouvelles versions :

  • Acronis True Image 2025 Build 41396
  • Apache Airflow 2.9.3
  • Apache CXF 3.5.9, 3.6.4, 4.0.5
  • Apache HTTP Server 2.4.60, 2.4.61, 2.4.62
  • Apache NiFi 1.27.0
  • Apache Superset 4.0.2
  • Apache Tomcat 10.1.25, 11.0.0-M21, 9.0.90
  • Apple iOS 16.7.9, 17.6
  • Apple MacOS Monterey 12.7.6
  • Apple MacOS Sonoma 13.6.8, 14.6
  • Apple Safari 17.6
  • Argo-CD 2.10.15, 2.10.16, 2.11.6, 2.11.7, 2.9.20, 2.9.21
  • Arista EOS 4.28.11M, 4.29.8M, 4.30.6M, 4.30.7M, 4.32.!F
  • Aruba Networks Clearpass Policy Manager 6.11.9, 6.12.2
  • Atlassian Confluence 7.19.25 LTS, 8.5.12 LTS
  • Cisco AsyncOS for Secure Email Gateway 14.2.3, 15.5, 15.5.1
  • Cisco Expressway 15.0.2
  • Cisco IOS XR 24.2.1, 24.2.11
  • Cisco NX-OS 10.4
  • Citrix NetScaler Application Delivery Controller (ADC) 13.0-92.31, 13.1-53.17, 14.1-25.53
  • Citrix NetScaler Gateway 13.0-92.31, 13.1-53.17, 14.1-25.53
  • Citrix Provisioning Services 1912 LTSR CU9, 2203 LTSR CU5, 2402
  • Confluent Platform 7.0.15, 7.1.13, 7.2.11, 7.3.9, 7.4.6, 7.5.5, 7.6.2
  • Couchbase Server 7.2.5, 7.6.1, 7.6.2
  • Datadog Agent 7.55.2
  • Dataiku Data Science Studio (DSS) 12.6.5
  • DELL Connectrix (Brocade) Fabric OS (FOS) 9.2.0b, 9.2.1a
  • DELL EMC iDRAC8 2.86.86.86
  • DELL EMC PowerScale OneFS 9.5.1.0, 9.8.0.1
  • DELL Networker 19.11
  • DELL PowerStore T OS 3.6.1.2
  • Delphix Engine 25.0.0.0
  • Devolutions Remote Desktop Manager 2024.2.15.0
  • Docker Desktop 4.29.0
  • Docker Engine CE (Community Edition) 27.1.1
  • Elastic Kibana 7.17.23
  • Envoy Proxy Envoy 1.29.6, 1.30.3
  • ESET Server Security 11.0
  • Fortinet FortiADC 7.2.5
  • FreeBSD 13.3, 14.1
  • Ghostscript 10.03.1
  • GitLab Community Edition (CE) 16.11.6, 17.0.4, 17.0.5, 17.1.2, 17.1.3, 17.2.1
  • Gitlab Enterprise Edition (EE) 16.11.6, 17.0.4, 17.0.5, 17.1.2, 17.1.3, 17.2.1
  • GLPI Project GLPI 10.0.16
  • Google Chrome 126.0.6478.182, 126.0.6478.183, 127.0.6533.72, 127.0.6533.73, 127.0.6533.88, 127.0.6533.89
  • Google Kubernetes 1.27.16, 1.28.12, 1.29.7, 1.30.3
  • HashiCorp Terraform 1.9.1, 1.9.3
  • Hewlett Packard HP Z2 G4 Tower Workstation 10.1.19502.8391
  • IBM DevOps Code ClearCase 11.0.0
  • IBM Engineering Requirements Management DOORS 9.7.2.9
  • IBM Netezza Performance Server 11.2.1.11
  • IBM Power Hardware Management Console (HMC) 10.3.1060.0
  • IBM Rational ClearQuest 9.1.0.7
  • IBM Storage Protect Plus 10.1.16.2
  • Igor Pavlov 7-Zip 24.01
  • ImageMagick 7.11-35, 7.11-36
  • Informatica PowerCenter 10.5
  • ISC BIND 9.18.28, 9.20.0
  • Ivanti Endpoint Manager 2024
  • JFrog Artifactory 7.71.22, 7.77.14, 7.83.2
  • Joyent Node.js 18.20.4, 20.15.1, 22.4.1
  • JRuby 9.4.8.0
  • Linux kernel 5.10.223, 5.15.164, 5.4.281, 6.1.102, 6.10.2, 6.6.43, 6.9.12
  • LockSelf LockPass API 1.22.10
  • Mattermost Server 9.10.0, 9.10.1, 9.11.0, 9.5.7, 9.5.8, 9.7.6, 9.8.2, 9.8.3, 9.9.1, 9.9.2
  • Meinberg Lantime M300 Firmware 7.08.014
  • Microsoft PowerShell 7 7.2.22, 7.4.4
  • Mitel Micollab 9.8.1.108
  • MongoDB 6.0.11
  • Mozilla Firefox 128, ESR 115.13
  • Mozilla Thunderbird 115.13, 128
  • Mysql 7.5.34, 7.6.30, 8.0.37, 8.0.38, 8.4.0, 8.4.1, 9.0.0
  • Nagios NagVis 1.9.42
  • Nagios XI 2024R1.1.5
  • NetApp ONTAP 9.12.1P13, 9.13.1P10, 9.14.1P6, 9.9.1P20
  • NVIDIA Display Driver R555
  • OCS Inventory NG Server 2.12.2
  • OpenStack CINDER 22.1.3, 23.1.1
  • OpenStack GLANCE 26.0.1, 28.0.2
  • OpenStack NOVA 27.3.1, 27.4.1, 28.1.1, 28.2.1, 29.0.3, 29.1.1
  • Opera Software Opera 112.0.5197.25
  • Oracle Enterprise Performance Management 11.2.17
  • Oracle Java (JDK/JRE) 17.0.11, 21.0.3, 22.0.1
  • Oracle JD Edwards EnterpriseOne Tools 9.2.8.2, 9.2.8.3
  • Oracle VirtualBox 7.0.20
  • OTRS 2024.5.2
  • Palo Alto Networks PAN-OS 10.1.14-h2, 10.2.10, 11.0.5, 11.1.4, 11.2.1
  • PowerDNS Authoritative Server 4.9.1
  • PowerDNS dnsdist 1.9.6
  • PowerDNS Recursor 4.9.8, 5.0.8, 5.1.1
  • Progress Software Sitefinity 15.1
  • Rapid7 InsightVM 6.6.261
  • Rockwell Automation Pavilion8 6.0
  • RSA Security RSA Archer 2024.06
  • Ruby 3.2.5
  • SaltStack Salt 3006.9
  • Siemens Teamcenter Visualization 14.1.0.14
  • Skyhigh Security Secure Web Gateway 12.2.9
  • SPIP 4.2.15
  • Splunk Cloud Platform 9.1.2312
  • Splunk Enterprise 9.0.10, 9.1.5, 9.2.2
  • StormShield Network Security (SNS) 3.11.30, 3.7.42, 4.3.27, 4.7.6, 4.8.1
  • SugarCRM Sugar Entreprise 12.0.5, 13.0.3
  • SuSE Linux SuSE Enterprise Live Patching 15-SP6
  • SuSE Linux SuSE Enterprise Workstation Extension 15-SP6
  • Synacor Zimbra Collaboration Suite 10.0.8, 10.1.0
  • Tanium Client 7.6.2.1249
  • Tanium Server 7.6.2.1249
  • Thruk Monitoring 3.16
  • Tibco Spotfire 12.0.11, 14.0.4, 14.4.0
  • TightVNC 2.8.84
  • Traefik 2.11.6, 3.0.4
  • VMware Aria Automation 8.17
  • VMware Workspace One UEM 2310
  • Vyos Router 1.4.0, 1.4.1
  • WireGuard Windows 0.5.3
  • Wireshark 4.0.16, 4.2.6
  • wolfSSL 5.7.2
  • XK72 Charles Proxy 4.6.7

1.5 Quelques statistiques

Alertes et Hub de crise

Ce mois-ci, nous avons émis 2 Alertes :

  • CERT-IST/AL-2024.009  (Jaune) : Risque d'attaques contre OpenSSH (CVE-2024-6387)
  • CERT-IST/AL-2024.010  (Jaune) : Risque d'attaques visant les équipements Cisco Secure Email Gateway (CVE-2024-20401)

Et nous avons ouvert 1 blog dans le hub de crise du Cert-IST :

Menaces Potentielles

Ce mois-ci, nous n’avons pas envoyé de message sur la liste de diffusion "INFO".

Avis de sécurité

Ce mois-ci, 204 avis ont été émis :

  • Avis concernant les systèmes Unix et produits dérivés : 11 (5.39%),
  • Avis concernant les produits Microsoft : 21 (10.29%),
  • Avis concernant des produits SCADA : 8 (3.92%),
  • Autres : 164 (80.39%).

Parmi ces avis, 46 (22.55%) ont un niveau de risque "Elevé" ou "Très élevé".

Avis de sécurité réémis en version majeure

Ce mois-ci, 12 avis ont été réémis (mise à jour majeure), suite à la publication d'un programme d'exploitation sur Internet ou la publication d'informations complémentaires importantes :

Avis de sécurité mis à jour en version mineure

Ce mois-ci, 995 mises à jour mineures d'avis ont été faites dans la base de connaissance.

2. Article

2.1 36ème conférence du FIRST

La 36ème édition de la conférence annuelle du FIRST (Forum of Incident Response and Security Teams) s’est tenue à Fukuoka (Japon) du 9 au 14 juin 2024.

Cette conférence a réuni les équipes CERT / CSIRT et PSIRT (Product Security Incident Response Team) du monde entier (dont le Cert-IST) ainsi que de nombreux experts sécurité. En 2024, 997 personnes en provenance de plus de 99 pays ont participé à cette conférence, dont une vingtaine de français.

Le thème retenu cette année était « Bridging Security Response Gaps ».

Le programme détaillé est disponible sur le site du FIRST (avec les supports de présentation pour certaines sessions). Des enregistrements vidéo ont aussi été publiés.

Les sujets qui ont été très largement traités cette année peuvent se classer dans différentes grandes catégories :

  • Les sujets « à la mode » :
    • La Cyber Threat Intelligence et en particulier l’importance des communautés de partage
    • Le Cloud
    • L’intelligence artificielle
  • Les sujets classiques :
    • Les malwares et les APT
    • Les RETEX (outils, sécurisation, …)
    • Les projets de recherche
    • La difficulté de gérer les vulnérabilités sur les librairies logicielles
    • L’automatisation des SOC
    • La sécurité des systèmes industriels
    • Le forensics
  • Des thématiques nouvelles ou plus marquantes :
    • L’importance de l’humain dans la cybersécurité,
    • Le rapprochement du monde de la safety et du cyber
    • L’importance de la mise en place de communautés de partage pour lutter contre les attaquants
    • L’importance de l’utilisation des SBOM (Software Bill of Materials)

 

Parmi les très nombreuses présentations, keynotes, … proposées lors de cette conférence, voici celles qui ont particulièrement retenues notre attention :

Nota : Depuis plusieurs années, durant chaque conférence annuelle, un CTF (Capture The Flag) est organisé par le FIRST. Celui de cette année comportait plus de 130 challenges.  Depuis 2023, le FIRST a décidé de mettre à disposition de ses membres l’ensemble des CTF organisés (CTF permanent). Ils sont disponibles ici.

 

La 37ème conférence du FIRST aura lieu à Copenhague du 22 au 27 juin 2025.

 

Rappels :

Le FIRST comprend 748 membres et 159 Membres Liaison en provenance de 111 pays différents. L’objectif du FIRST est de faciliter la communication, le partage d’informations et la coordination entre les membres et globalement entre la communauté des CERT (Computer Emergency Response Team) et CSIRT (Computer Security Incident Teams)

Le Cert-IST est membre du FIRST depuis 1999 et a organisé en 2001 à Toulouse la 13ème conférence annuelle du FIRST.