S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 23 novembre 2020
N° CERTFR-2020-ACT-013
Affaire suivie par: CERT-FR
le 23 novembre 2020

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité CERTFR-2020-ACT-013

Gestion du document

Référence CERTFR-2020-ACT-013
Titre Bulletin d’actualité CERTFR-2020-ACT-013
Date de la première version 23 novembre 2020
Date de la dernière version 23 novembre 2020
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 47

CVE-2020-25705 : Vulnérabilités dans le noyau Linux de SUSE

Une vulnérabilité critique a été déclarée dans le noyau Linux de SUSE avec un score supérieur à 9. Cette vulnérabilité est basée sur les réponses du protocole ICMP et appelée Side-channel AttackeD DNS, elle rend possible des attaques de type DNS cache poisoning et ainsi permet à un attaquant de pouvoir atteindre à la confidentialité des échanges (man-in-the-middle).

Liens :

CVE-2020-27131, CVE-2020-27130 : Multiples vulnérabilités dans le produit Cisco Security Manager (CSM)

L’éditeur a déclaré deux vulnérabilités dans Cisco Security Manager. La première vulnérabilité (CVE-2020-27130) est de type Path Traversal et dispose d’un score CVSSv3 à 9.1. Elle permet à un attaquant non authentifié de pouvoir télécharger arbitrairement des fichiers potentiellement sensibles. L’éditeur a attribué un score CVSSv3 de 8.1 pour la seconde vulnérabilité (CVE-2020-27131) qui se trouve dans une fonction de désérialisation Java. Elle permet a un attaquant non authentifié de pouvoir exécuter du code arbitraire à distance. Par ailleurs, un code d’exploitation est disponible publiquement pour ces vulnérabilités.

Liens :

CVE-2020-3470 : Vulnérabilité dans l’API des Cisco Integrated Management Controller (IMC)

L’éditeur a attribué le score CVSSv3 de 9.8 à cette vulnérabilité. Elle permet à un attaquant non authentifié, par le biais d’une exploitation d’un dépassement de tampon (buffer overflow) dans l’API du produit, de pouvoir exécuter du code à distance sur le système exploitation sous-jacent avec des privilèges root.

Liens :

CVE-2020-3586 : Vulnérabilité dans l’interface de gestion des Cisco DNA Spaces Connector

L’éditeur a attribué le score CVSSv3 de 9.4 à cette vulnérabilité. Elle se base sur une vérification insuffisante des entrées de l’utilisateur de l’interface de gestion et permet a un attaquant non authentifié d’exécuter du code arbitraire sur le système d’exploitation sous-jacent avec les privilèges de l’application de gestion. L’exploitation de cette vulnérabilité peut impacter l’intégrité et la disponibilité de l’application.

Liens :

CVE-2020-3531 : Vulnérabilité dans Cisco IoT Field Network Director (FND)

L’éditeur a déclaré une vulnérabilité critique de type cross-site request forgery (CSRF) dans Cisco IoT Field Network Director avec un score CVSSv3 à 9.8. Cette vulnérabilité permet à l’attaquant de pouvoir réaliser des requêtes avec API REST et ainsi pouvoir accéder, altérer ou modifier des données sensibles de l’équipement affecté.

Liens :

CVE-2020-4004 : Vulnérabilité dans les produits VMware

Une vulnérabilité critique a été corrigée dans plusieurs produits VMware. L’éditeur a attribué à cette vulnérabilité le score CVSSv3 de 9.4. Elle permet a un attaquant avec les privilèges administrateur dans la machine virtuelle de pouvoir, en tant que processus VMX (Virtual Machine Executable), exécuter du code arbitraire sur le système hôte.

Liens :

Vulnérabilités antérieures

CVE-2020-0674 : Vulnérabilité dans Microsoft Internet Explorer – Découverte de code d’exploitation publique

Pour le Patch Tuesday de février 2020, Microsoft a corrigé une vulnérabilité de type 0 jour qui permet à un attaquant d’exécuter du code arbitraire à distance avec les privilèges de l’utilisateur concerné. Un code d’exploitation est publiquement disponible.

Liens :

CVE-2020-8271 : Vulnérabilité dans les produits Citrix – Découverte de code d’exploitation publique

Cette vulnérabilité a été corrigée le 12 novembre 2020 par l’éditeur et permet l’exécution de code arbitraire à distance avec les privilèges root. Un code d’exploitation est publiquement disponible.

Liens :

CVE-2020-16846, CVE-2020-25592: Multiples vulnérabilités dans SaltStack – Découverte de code d’exploitation publique

Deux vulnérabilités critiques ont été découvertes par l’éditeur et déclarées le 3 novembre 2020. Pour rappel, ces vulnérabilités permettent l’exécution de code arbitraire sans authentification dans l’API Salt du client Salt SSH (CVE-2020-16846) et un contournement dans l’authentification lors de l’utilisation de l’API Salt (CVE-2020-25592). Un code d’exploitation publique a été découvert.

Liens :

Rappel des avis émis

Dans la période du 16 au 22 novembre 2020, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 23 novembre 2020
    Version initiale