Des failles de sécurité activement exploitées chez Cisco, Hitachi, Microsoft et Progress : la CISA tire la sonnette d’alarme

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté lundi cinq failles de sécurité affectant les logiciels de Cisco, Hitachi Vantara, Microsoft Windows et Progress WhatsUp Gold à son catalogue de vulnérabilités connues exploitées ( KEV ), sur la base de preuves d’exploitation active.

La liste des vulnérabilités est la suivante :

• CVE-2023-20118 (score CVSS : 6,5) – Une vulnérabilité d’injection de commande dans l’interface de gestion Web des routeurs Cisco Small Business RV Series qui permet à un attaquant distant authentifié d’obtenir des privilèges de niveau racine et d’accéder à des données non autorisées (non corrigée en raison de l’état de fin de vie des routeurs)
• CVE-2022-43939 (score CVSS : 8,6) – Une vulnérabilité de contournement d’autorisation dans Hitachi Vantara Pentaho BA Server qui découle de l’utilisation de chemins d’URL non canoniques pour les décisions d’autorisation (corrigé en août 2024 avec les versions 9.3.0.2 et 9.4.0.1)
• CVE-2022-43769 (score CVSS : 8,8) – Une vulnérabilité d’injection d’élément spécial dans Hitachi Vantara Pentaho BA Server qui permet à un attaquant d’injecter des modèles Spring dans des fichiers de propriétés, permettant l’exécution de commandes arbitraires (corrigé en août 2024 avec les versions 9.3.0.2 et 9.4.0.1)
• CVE-2018-8639 (score CVSS : 7,8) – Une vulnérabilité d’arrêt ou de libération de ressources incorrecte dans Microsoft Windows Win32k qui permet une escalade de privilèges locale et authentifiée et l’exécution de code arbitraire en mode noyau (corrigé en décembre 2018)
• CVE-2024-4885 (score CVSS : 9,8) – Une vulnérabilité de traversée de chemin dans Progress WhatsUp Gold qui permet à un attaquant non authentifié d’exécuter du code à distance (corrigé dans la version 2023.1.3 en juin 2024)

Il existe peu ou pas de rapports sur la manière dont certaines des failles susmentionnées sont exploitées dans la nature, mais la société française de cybersécurité Sekoia a révélé la semaine dernière que des acteurs malveillants exploitent CVE-2023-20118 pour intégrer des routeurs sensibles dans un botnet appelé PolarEdge.

Quant à CVE-2024-4885, la Shadowserver Foundation a déclaré avoir observé des tentatives d’exploitation contre la faille au 1er août 2024. Les données de GreyNoise montrent que pas moins de huit adresses IP uniques de Hong Kong, de Russie, du Brésil, de Corée du Sud et du Royaume-Uni sont liées à l’exploitation malveillante de la vulnérabilité.

À la lumière de l’exploitation active, les agences du Federal Civilian Executive Branch (FCEB) sont invitées à appliquer les mesures d’atténuation nécessaires d’ici le 24 mars 2025 pour sécuriser leurs réseaux.

Source: https://thehackernews.com/