Vulnérabilités notables de la semaine (du 09/03/24 – 15/03/24)

Cellule de réponses aux incidents de sécurité

Bulletins de Sécurités

Adobe :

  • ColdFusion (CERTFR-2024-AVI-0215): Une vulnérabilité a été découverte dans Adobe ColdFusion. Elle permet à un attaquant de provoquer un contournement de la politique de sécurité et une atteinte à la confidentialité des données.
    Mise à jour: Disponible

Apache :

  • Tomcat (CERTFR-2024-AVI-0218) : De multiples vulnérabilités ont été découvertes dans Apache Tomcat. Elles permettent à un attaquant de provoquer un déni de service à distance.
    Mise à jour: Disponible

Cisco :

Citrix :

Fortinet :

  • Multiple produit Fortinet (FortiAnalyzer, FortiOS, FortiClientEMS, FortiManager, FortiPortal et FortiProxy) (CERTFR-2024-AVI-0181): De multiples vulnérabilités ont été découvertes dans les produits Fortinet. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une élévation de privilèges.
    Mise à jour: Disponible
    Contournement si mise à jours impossible :
    Section « Workaround » du bulletin FortiGuard :
    https://www.fortiguard.com/psirt/FG-IR-23-328
    https://www.fortiguard.com/psirt/FG-IR-23-424

Google :

  • Google Chrome (CERTFR-2024-AVI-0210) : Multiples vulnérabilités identifiées.
    Mise à jour: Disponible

IBM :

  • IBM Sterling PEM, Sterling Connect, Sterling Secure Proxy, QRadar et Db2 Web Query (CERTFR-2024-AVI-0228):
    De multiples vulnérabilités ont été découvertes dans les produits IBM. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une atteinte à l’intégrité des données.
    Mise à jour: Disponible

Intel :

  • Intel Xeon, CSME, LMS, SPS, Bios et PBL (CERTFR-2024-AVI-0213):
    De multiples vulnérabilités ont été découvertes dans les produits Intel. Certaines d’entre elles permettent à un attaquant de provoquer un déni de service à distance, une élévation de privilèges et une atteinte à la confidentialité des données.
    Mise à jour: Disponible

Juniper :

  • Juniper Secure Analytics (CERTFR-2024-AVI-0225) :
    De multiples vulnérabilités ont été découvertes dans Juniper Secure Analytics. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un contournement de la politique de sécurité et une atteinte à l’intégrité des données.
    Mise à jour: Disponible

LINUX :

  • Noyau Linux d’Ubuntu (CERTFR-2024-AVI-0226): De multiples vulnérabilités ont été découvertes dans le noyau Linux d’Ubuntu. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire, une élévation de privilèges et une atteinte à la confidentialité des données.
    Mise à jour: Disponible
  • Noyau Linux de RedHat (CERTFR-2024-AVI-0227):
    De multiples vulnérabilités ont été découvertes dans le noyau Linux de RedHat. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une élévation de privilèges.
    Mise à jour: Disponible

Microsoft :

  • Microsoft 365 Apps et Outlook pour Android (CERTFR-2024-AVI-0204) : De multiples vulnérabilités ont été découvertes dans Microsoft Office. Elles permettent à un attaquant de provoquer une atteinte à la confidentialité des données et une élévation de privilèges.
    Mise à jour: Disponible
  • Microsoft Windows (10, 11, Server: 2008, 2012, 2016, 2019 et 2022 et Defender) (CERTFR-2024-AVI-0205) : De multiples vulnérabilités ont été découvertes dans Microsoft Windows. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une élévation de privilèges.
    Mise à jour: Disponible
  • Microsoft .Net (CERTFR-2024-AVI-0206) : De multiples vulnérabilités ont été découvertes dans Microsoft .Net. Elles permettent à un attaquant de provoquer un déni de service à distance.
    Mise à jour: Disponible
  • Microsoft Azure (CERTFR-2024-AVI-0207) : De multiples vulnérabilités ont été découvertes dans Microsoft Azure. Elles permettent à un attaquant de provoquer une usurpation d’identité et une élévation de privilèges.
    Mise à jour: Disponible
  • De nombreux produits: Intune, CMS, Authenticator, Sharepoint Server Dynamics 365, Exchange Server, Teams pour android, Visio, Visual Studio Code, SQL Server Backend, Skype, SCOM et SONiC. (CERTFR-2024-AVI-0208) : De multiples vulnérabilités ont été découvertes dans les produits Microsoft. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une élévation de privilèges.
    Mise à jour: Disponible

Mitel :

  • CMG et InAttend (CERTFR-2024-AVI-0219) : Une vulnérabilité a été découverte dans les produits Mitel. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance et un contournement de la politique de sécurité.
    Mise à jour: Disponible

MongoDB :

  • MongoDB Server (CERTFR-2024-AVI-0200) : Une vulnérabilité a été découverte dans les produits MongoDB. Elle permet à un attaquant de provoquer un contournement de la politique de sécurité.
    Mise à jour: Disponible

Palo Alto Networks :

Qnap :

  • QTS, QuTS Hero, myQNAPcloud, Photo Station et QuTScloud (CERTFR-2024-AVI-0201) : De multiples vulnérabilités ont été découvertes dans les produits Qnap. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une injection de code indirecte à distance (XSS), et une atteinte à la confidentialité des données.
    Mise à jour: Disponible

SAP :

  • SAP Business Client, Build Apps, Commerce, HANA et HANA XS, BusinessObjecs, NetWeaver Fiori Front End et ABAP Platform. (CERTFR-2024-AVI-0209) : De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d’entre elles permettent à un attaquant de provoquer une atteinte à la confidentialité des données et une exécution de code arbitraire à distance et un déni de service à distance.
    Mise à jour: Disponible

Schneider [SCADA] :

  • Easergy T200 et EcoStruxure Power Design (CERTFR-2024-AVI-0202) : De multiples vulnérabilités ont été découvertes dans les produits Schneider. Elles permettent à un attaquant de provoquer une exécution de code arbitraire, un contournement de la politique de sécurité et une atteinte à la confidentialité des données.
    Mise à jour: Disponible

Siemens [SCADA] :

  • Siemens Cerberus PRO, RUGGEDCOM, SENTRON, SIMATIC, SINEMA, Sinteso FS20 et Mobile, Siveillance Conrtrol et Solid Edge (CERTFR-2024-AVI-0203) : De multiples vulnérabilités ont été découvertes dans les produits Siemens. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et un déni de service à distance.
    Mise à jour: Disponible

SonicWall :

  • SonicWall Email Security Appliance, SonicOS, GEN7, GEN 6 et NSv (CERTFR-2024-AVI-0201) :De multiples vulnérabilités ont été découvertes dans SonicWall. Elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à l’intégrité des données et une injection de code indirecte à distance (XSS).
    Mise à jour: Disponible

Spring Framework :

  • Spring Framework (CERTFR-2024-AVI-0223) : Une vulnérabilité a été découverte dans Spring Framework. Elle permet à un attaquant de provoquer un contournement de la politique de sécurité.
    Mise à jour: Disponible

Stormshield :

  • Stormshield SN-S Series et SN520 (CERTFR-2024-AVI-0214) : De multiples vulnérabilités ont été découvertes dans Stormshield Network Security. Elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l’éditeur.
    Mise à jour: Disponible

Synology :

  • SRM (CERTFR-2024-AVI-0222) : Une vulnérabilité a été découverte dans Synology Router Manager. Elle permet à un attaquant de provoquer un contournement de la politique de sécurité, une atteinte à la confidentialité des données et une injection de code indirecte à distance (XSS).
    Mise à jour: Disponible

Xen :

  • XEN (CERTFR-2024-AVI-0216) : De multiples vulnérabilités ont été découvertes dans les produits Xen. Elles permettent à un attaquant de provoquer une atteinte à la confidentialité des données et un contournement de la politique de sécurité.
    Mise à jour: Disponible

Pour la liste complète des Avis du CERT-FR veuillez suivre ce lien : www.cert.ssi.gouv.fr/avis/

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *