Suivi KEV › Autres éditeurs

CVE-2024-55956 Cleo, plusieurs produits : vulnérabilité de téléversement de fichiers non authentifié

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 17 décembre 2024.

  • Produit : Cleo Multiple Products
  • Ajoutée au catalogue : 17 décembre 2024
  • Échéance CISA : 7 janvier 2025
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-276
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 94 %

Cleo Harmony, VLTrader et LexiCom, qui sont des produits de transfert de fichiers gérés, contiennent une vulnérabilité de téléversement de fichiers sans restriction qui pourrait permettre à un utilisateur non authentifié d'importer et d'exécuter des commandes bash ou PowerShell arbitraires sur le système hôte en tirant parti des paramètres par défaut du répertoire Autorun.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.cleo.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 94,0 %, parmi les 0,2 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • harmony : versions < 5.8.0.24
  • lexicom : versions < 5.8.0.24
  • vltrader : versions < 5.8.0.24

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Injection de commandes système (CWE-77) : Le produit construit tout ou partie d'une commande en utilisant des entrées influencées par l'extérieur d'un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la commande prévue lorsqu'elle est envoyée à un composant aval.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Cleo Multiple Products Unauthenticated File Upload Vulnerability

Cleo Harmony, VLTrader, and LexiCom, which are managed file transfer products, contain an unrestricted file upload vulnerability that could allow an unauthenticated user to import and execute arbitrary bash or PowerShell commands on the host system by leveraging the default settings of the Autorun directory.

Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Autres failles exploitées de Cleo Multiple Products

  • CVE-2026-5430 — WSO2, plusieurs produits : vulnérabilité de traversée de répertoires (24 septembre 2026)
  • CVE-2021-22681 — Rockwell, plusieurs produits : vulnérabilité de crédentiels insuffisamment protégés (5 mars 2026)
  • CVE-2017-7921 — Hikvision, plusieurs produits : vulnérabilité d'authentification incorrecte (5 mars 2026)
  • CVE-2024-50623 — Cleo, plusieurs produits : vulnérabilité de téléversement de fichiers non restreint (13 décembre 2024)
  • CVE-2023-25717 — Ruckus Wireless, plusieurs produits : vulnérabilité CSRF et exécution de code à distance (12 mai 2023)
  • CVE-2023-22952 — SugarCRM, plusieurs produits : exécution de code à distance (2 février 2023)
  • CVE-2022-29464 — WSO2, plusieurs produits : téléversement de fichiers sans restriction (25 avril 2022)
  • CVE-2019-3929 — Crestron, plusieurs produits : vulnérabilité d'injection de commandes (15 avril 2022)

← Toutes les failles des autres éditeurs · Suivi KEV