Vulnérabilités notables de la semaine (du 18/05/24 – 24/05/24)

Cellule de réponses aux incidents de sécurité

Bulletins de Sécurités

Atlassian :

  • Confluence Data Center et Jira Software (CERTFR-2024-AVI-0432): De multiples vulnérabilités ont été découvertes dans les produits Atlassian. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
    Mise à jour: Disponible

Asterisk :

  • Asterisk  (CERTFR-2024-AVI-0424): Une vulnérabilité a été découverte dans Asterisk. Elle permet à un attaquant de provoquer un contournement de la politique de sécurité.
    Mise à jour: Disponible

Cisco :

  • ASA, FMC et FTD (CERTFR-2024-AVI-0435) : De multiples vulnérabilités ont été découvertes dans les produits Cisco. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance et un déni de service à distance.
    Mise à jour: Disponible

Google :

  • Chrome (CERTFR-2024-AVI-0437) et (CERTFR-2024-AVI-0430) : De multiples vulnérabilités ont été découvertes dans Google Chrome. Elles permettent à un attaquant de d’exécuter du code arbitraire à l’intérieur d’une Sandbox via une page HTML malveillante.
    Google indique que la vulnérabilité CVE-2024-5274 est activement exploitée.
    Mise à jour: Disponible

GitLab :

  • GitLab Community Edition (CE) et Enterprise Edition (EE) (CERTFR-2024-AVI-0433):
    De multiples vulnérabilités ont été découvertes dans GitLab. Certaines d’entre elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données et une injection de code indirecte à distance (XSS).
    Mise à jour: Disponible

IBM :

  • Db2 REST (CERTFR-2024-AVI-0442):
    De multiples vulnérabilités ont été découvertes dans les produits IBM. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.
    Mise à jour: Disponible

Ivanti :

  • Nombreux produits Ivanti (CERTFR-2024-AVI-0434) : De multiples vulnérabilités ont été découvertes dans les produits Ivanti. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et un déni de service à distance.
    Mise à jour: Disponible

LINUX :

  • Noyau Linux de RedHat (CERTFR-2024-AVI-0438):
    De multiples vulnérabilités ont été découvertes dans le noyau Linux de Red Hat. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire, une élévation de privilèges et un déni de service à distance.
    Mise à jour: Disponible
  • Noyau Linux de SUSE (CERTFR-2024-AVI-0440):
    De multiples vulnérabilités ont été découvertes dans le noyau Linux de SUSE. Certaines d’entre elles permettent une exécution de code arbitraire, une élévation de privilèges et un déni de service à distance.
    Mise à jour: Disponible
  • Noyau Linux d’Ubuntu (CERTFR-2024-AVI-0439):
    De multiples vulnérabilités ont été découvertes dans le noyau Linux d’Ubuntu. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire, une atteinte à la confidentialité des données et un contournement de la politique de sécurité.
    Mise à jour: Disponible

Mitel [Téléphonie] :

  • MiCollab et MiVoice Business Solution Virtual Instance (CERTFR-2024-AVI-0436): De multiples vulnérabilités ont été découvertes dans les produits Mitel. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance et une élévation de privilèges.
    Mise à jour: Disponible

NetApp :

  • Active IQ Unified Manager et Management Services (CERTFR-2024-AVI-0423): De multiples vulnérabilités ont été découvertes dans les produits NetApp. Elles permettent à un attaquant de provoquer un déni de service à distance, une atteinte à la confidentialité des données, une atteinte à l’intégrité des données.
    Mise à jour: Disponible

Qnap :

  • QTS et QuTS hero (CERTFR-2024-AVI-0428) : De multiples vulnérabilités ont été découvertes dans les produits Qnap. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une atteinte à l’intégrité des données.
    Mise à jour: Disponible

Roundcube :

  • Roundcube Webmail  (CERTFR-2024-AVI-0426): De multiples vulnérabilités ont été découvertes dans Roundcube. Elles permettent à un attaquant de provoquer une exécution de code arbitraire et une injection de code indirecte à distance (XSS).
    Mise à jour: Disponible

Ruby on Rails :

  • Rails (CERTFR-2024-AVI-0425): Une vulnérabilité a été découverte dans Ruby on Rails. Elle permet à un attaquant de provoquer une exécution de code arbitraire.
    Mise à jour: Disponible

SolarWinds :

  • SolarWinds Platform (CERTFR-2024-AVI-0429): Une vulnérabilité a été découverte dans les produits SolarWinds. Elle permet à un attaquant de provoquer une injection de code indirecte à distance (XSS).
    Mise à jour: Disponible

VMware :

  • Cloud Foundation, ESXi, Fusion, vCenter Server et Workstation   (CERTFR-2024-AVI-0427): De multiples vulnérabilités ont été découvertes dans les produits VMware. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et un déni de service à distance.
    Mise à jour: Disponible

Veeam :

  • Veeam Agent etVeeam Backup Enterprise Manager (CERTFR-2024-AVI-0431): De multiples vulnérabilités ont été découvertes dans les produits Veeam. Elles permettent à un attaquant de provoquer une élévation de privilèges, une atteinte à la confidentialité des données et un contournement de la politique de sécurité.
    Mise à jour: Disponible

WithSecure :

  • WithSecure Client Security, Elements Endpoint Protection, Email and Server Security et Server Security (CERTFR-2024-AVI-0441):
    Une vulnérabilité a été découverte dans les produits WithSecure. Elle permet à un attaquant de provoquer une élévation de privilèges.
    Mise à jour: Disponible

Pour la liste complète des Avis du CERT-FR veuillez suivre ce lien : www.cert.ssi.gouv.fr/avis/

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *