Vulnérabilités activement exploitées : autres éditeurs

CVE-2018-9276 — Paessler PRTG Network Monitor : injection de commandes système

• Produit : Paessler PRTG Network Monitor
• Ajoutée au catalogue : 4 février 2025
• Échéance CISA : 25 février 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 87 %

Paessler PRTG Network Monitor contient une vulnérabilité d'injection de commandes système qui permet à un attaquant disposant de privilèges administratifs d'exécuter des commandes via la console web de l'administrateur PRTG.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · paessler.com

CVE-2018-19410 — Paessler PRTG Network Monitor : vulnérabilité d'inclusion de fichiers locaux Critique

• Produit : Paessler PRTG Network Monitor
• Ajoutée au catalogue : 4 février 2025
• Échéance CISA : 25 février 2025
• Rançongiciels : pas d’usage connu
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %

Paessler PRTG Network Monitor contient une vulnérabilité d'inclusion de fichiers locaux qui permet à un attaquant distant et non authentifié de créer des utilisateurs avec des privilèges de lecture-écriture (y compris administrateur).

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · paessler.com

Fiche détaillée : versions, références, chronologie →

CVE-2020-11023 — JQuery : vulnérabilité cross-site scripting (XSS)

• Produit : JQuery JQuery
• Ajoutée au catalogue : 23 janvier 2025
• Échéance CISA : 13 février 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-79
• Gravité : CVSS 6,1 (moyenne)
• Probabilité d’exploitation (EPSS) : 85 %

JQuery contient une vulnérabilité cross-site scripting (XSS) persistante. Lorsque des entrées non fiables, malformées et encapsulées dans des balises HTML sont transmises, les manipulateurs DOM de JQuery peuvent exécuter du code non fiable dans le contexte du navigateur de l'utilisateur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · blog.jquery.com

CVE-2024-50603 — Aviatrix Controllers : injection de commandes système Critique

• Produit : Aviatrix Controllers
• Ajoutée au catalogue : 16 janvier 2025
• Échéance CISA : 6 février 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Aviatrix Controllers contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant non authentifié d'exécuter du code arbitraire. Des métacaractères de shell peuvent être envoyés à /v1/api dans cloud_type pour list_flightpath_destination_instances, ou src_cloud_type pour flightpath_connection_test.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · docs.aviatrix.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-44207 — Acclaim Systems USAHERDS : utilisation d'identifiants codés en dur

• Produit : Acclaim Systems USAHERDS
• Ajoutée au catalogue : 23 décembre 2024
• Échéance CISA : 13 janvier 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-798
• Gravité : CVSS 8,1 (élevée)
• Probabilité d’exploitation (EPSS) : 18 %

Acclaim Systems USAHERDS contient une vulnérabilité d'utilisation d'identifiants codés en dur qui pourrait permettre à un attaquant d'obtenir une exécution de code à distance sur le système exécutant l'application. La MachineKey doit être obtenue via une vulnérabilité séparée ou un autre canal.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Veuillez contacter le développeur du produit pour obtenir un support et des mesures d'atténuation de la vulnérabilité.

Références : NVD · CISA · acclaimsystems.com · tnatc.org

CVE-2022-23227 — NUUO NVRmini2 Devices : vulnérabilité d'absence d'authentification Critique

• Produit : NUUO NVRmini2 Devices
• Ajoutée au catalogue : 18 décembre 2024
• Échéance CISA : 8 janvier 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 48 %

Les dispositifs NUUO NVRmini2 contiennent une vulnérabilité d'absence d'authentification qui permet à un attaquant non authentifié de téléverser une archive TAR chiffrée, ce qui peut être abusé pour ajouter des utilisateurs arbitraires.

Action requise : Le produit impacté est en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit.

Références : NVD · CISA · nuuo.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-40407 — Reolink RLC-410W IP Camera : injection de commandes système

• Produit : Reolink RLC-410W IP Camera
• Ajoutée au catalogue : 18 décembre 2024
• Échéance CISA : 8 janvier 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 48 %

Les caméras IP Reolink RLC-410W contiennent une vulnérabilité d'injection de commandes système authentifiée dans la fonctionnalité des paramètres réseau de l'appareil.

Action requise : Le produit impacté pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit si une mesure d'atténuation actuelle n'est pas disponible.

Références : NVD · CISA · reolink.com · reolink.com

CVE-2019-11001 — Reolink, plusieurs produits : injection de commandes système

• Produit : Reolink Multiple IP Cameras
• Ajoutée au catalogue : 18 décembre 2024
• Échéance CISA : 8 janvier 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 38 %

Les caméras IP Reolink RLC-410W, C1 Pro, C2 Pro, RLC-422W et RLC-511W contiennent une vulnérabilité d'injection de commandes système authentifiée. Cette vulnérabilité permet à un administrateur authentifié d'utiliser la fonctionnalité "TestEmail" pour injecter et exécuter des commandes système en tant que root.

Action requise : Le produit impacté pourrait être en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit si une mesure d'atténuation actuelle n'est pas disponible.

Références : NVD · CISA · reolink.com · reolink.com

CVE-2018-14933 — NUUO NVRmini Devices : injection de commandes système Critique

• Produit : NUUO NVRmini Devices
• Ajoutée au catalogue : 18 décembre 2024
• Échéance CISA : 8 janvier 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 95 %

Les dispositifs NUUO NVRmini contiennent une vulnérabilité d'injection de commandes système. cette vulnérabilité permet une exécution de commandes à distance via des métacaractères de shell dans le paramètre uploaddir pour une commande writeuploaddir.

Action requise : Le produit impacté est en fin de vie (EoL) et/ou en fin de service (EoS). Les utilisateurs doivent cesser d'utiliser le produit.

Références : NVD · CISA · nuuo.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-55956 — Cleo, plusieurs produits : vulnérabilité de téléversement de fichiers non authentifié Critique

• Produit : Cleo Multiple Products
• Ajoutée au catalogue : 17 décembre 2024
• Échéance CISA : 7 janvier 2025
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-276
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 94 %

Cleo Harmony, VLTrader et LexiCom, qui sont des produits de transfert de fichiers gérés, contiennent une vulnérabilité de téléversement de fichiers sans restriction qui pourrait permettre à un utilisateur non authentifié d'importer et d'exécuter des commandes bash ou PowerShell arbitraires sur le système hôte en tirant parti des paramètres par défaut du répertoire Autorun.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.cleo.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-50623 — Cleo, plusieurs produits : vulnérabilité de téléversement de fichiers non restreint Critique

• Produit : Cleo Multiple Products
• Ajoutée au catalogue : 13 décembre 2024
• Échéance CISA : 3 janvier 2025
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-434
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Cleo Harmony, VLTrader et LexiCom, qui sont des produits de transfert de fichiers gérés, contiennent une vulnérabilité de téléversement et de téléchargement de fichiers non restreinte qui peut conduire à une exécution de code à distance avec élévation de privilèges.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.cleo.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-51378 — CyberPanel Incorrect Default Permissions Vulnerability Critique

• Produit : CyberPersons CyberPanel
• Ajoutée au catalogue : 4 décembre 2024
• Échéance CISA : 25 décembre 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-276
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 95 %

CyberPanel contains an incorrect default permissions vulnerability that allows for authentication bypass and the execution of arbitrary commands using shell metacharacters in the statusfile property.

Action requise : Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Traduction en cours : texte original de la CISA.

Références : NVD · CISA · cyberpanel.net

Fiche détaillée : versions, références, chronologie →

CVE-2024-11680 — ProjectSend : vulnérabilité d'authentification incorrecte Critique

• Produit : ProjectSend ProjectSend
• Ajoutée au catalogue : 3 décembre 2024
• Échéance CISA : 24 décembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-287
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 92 %

ProjectSend contient une vulnérabilité d'authentification incorrecte qui permet à un attaquant distant et non authentifié d'activer une modification non autorisée de la configuration de l'application via des requêtes HTTP élaborées vers options.php. Une exploitation réussie permet aux attaquants de créer des comptes, de téléverser des webshells et d'intégrer du code JavaScript malveillant.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2023-45727 — North Grid Proself : vulnérabilité de référence d'entité externe XML (XXE) mal restreinte

• Produit : North Grid Proself
• Ajoutée au catalogue : 3 décembre 2024
• Échéance CISA : 24 décembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-611
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 5 %

North Grid Proself Enterprise/Standard, Gateway, et Mail Sanitize contiennent une vulnérabilité de référence d'entité externe XML (XXE) mal restreinte, qui pourrait permettre à un attaquant distant et non authentifié de mener une attaque XXE.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · proself.jp

CVE-2023-28461 — Array Networks, AG et vxAG ArrayOS : absence d'authentification pour une fonction critique Critique

• Produit : Array Networks AG/vxAG ArrayOS
• Ajoutée au catalogue : 25 novembre 2024
• Échéance CISA : 16 décembre 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-306
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 68 %

Array Networks AG et vxAG ArrayOS contiennent une vulnérabilité d'absence d'authentification pour une fonction critique qui permet à un attaquant de lire des fichiers locaux et d'exécuter du code sur la passerelle SSL VPN.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.arraynetworks.net

Fiche détaillée : versions, références, chronologie →

CVE-2021-41277 — Metabase : vulnérabilité d'inclusion de fichiers locaux dans l'API GeoJSON

• Produit : Metabase Metabase
• Ajoutée au catalogue : 12 novembre 2024
• Échéance CISA : 3 décembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-200
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 97 %

Metabase contient une vulnérabilité d'inclusion de fichiers locaux dans le support de carte personnalisé de l'API pour lire des données au format GeoJSON.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

CVE-2024-51567 — CyberPanel Incorrect Default Permissions Vulnerability

• Produit : CyberPersons CyberPanel
• Ajoutée au catalogue : 7 novembre 2024
• Échéance CISA : 28 novembre 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-276
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 84 %

CyberPanel contains an incorrect default permissions vulnerability that allows a remote, unauthenticated attacker to execute commands as root.

Action requise : Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Traduction en cours : texte original de la CISA.

Références : NVD · CISA · cyberpanel.net

CVE-2019-16278 — Nostromo nhttpd : vulnérabilité de traversée de répertoires

• Produit : Nostromo nhttpd
• Ajoutée au catalogue : 7 novembre 2024
• Échéance CISA : 28 novembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Nostromo nhttpd contient une vulnérabilité de traversée de répertoires dans la fonction http_verify() d'un serveur nhttpd non chrooté, permettant une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · nazgul.ch

CVE-2024-8957 — PTZOptics, PT30X-SDI/NDI Cameras : injection de commandes système

• Produit : PTZOptics PT30X-SDI/NDI Cameras
• Ajoutée au catalogue : 4 novembre 2024
• Échéance CISA : 25 novembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 80 %

Les caméras PTZOptics PT30X-SDI/NDI contiennent une vulnérabilité d'injection de commandes système qui permet à un attaquant distant et authentifié d'obtenir des privilèges root via une charge utile élaborée avec le paramètre ntp_addr du script CGI /cgi-bin/param.cgi.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · ptzoptics.com

CVE-2024-8956 — PTZOptics PT30X-SDI/NDI Cameras : contournement de l'authentification

• Produit : PTZOptics PT30X-SDI/NDI Cameras
• Ajoutée au catalogue : 4 novembre 2024
• Échéance CISA : 25 novembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-287
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : 59 %

Les caméras PTZOptics PT30X-SDI/NDI contiennent une vulnérabilité de référence d'objet direct non sécurisée (IDOR) qui permet à un attaquant distant de contourner l'authentification pour le script CGI /cgi-bin/param.cgi. si combinée avec CVE-2024-8957, cela peut entraîner une exécution de code à distance en tant que root.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · ptzoptics.com

CVE-2024-9537 — ScienceLogic SL1 : vulnérabilité non spécifiée

• Produit : ScienceLogic SL1
• Ajoutée au catalogue : 21 octobre 2024
• Échéance CISA : 11 novembre 2024
• Rançongiciels : pas d’usage connu
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 4 %

ScienceLogic SL1 (anciennement EM7) est affecté par une vulnérabilité non spécifiée impliquant un composant tiers non spécifié.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.sciencelogic.com

CVE-2024-7262 — Kingsoft WPS Office : vulnérabilité de traversée de répertoires

• Produit : Kingsoft WPS Office
• Ajoutée au catalogue : 3 septembre 2024
• Échéance CISA : 24 septembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 3 %
• Technologie : Microsoft Office

Kingsoft WPS Office contient une vulnérabilité de traversée de répertoires dans promecefpluginhost.exe sur Windows qui permet à un attaquant de charger une bibliothèque Windows arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2024-39717 — Versa Director : vulnérabilité de téléversement de type de fichier dangereux

• Produit : Versa Director
• Ajoutée au catalogue : 23 août 2024
• Échéance CISA : 13 septembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-434
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 4 %

L'interface graphique de Versa Director contient une vulnérabilité de téléversement de fichier sans restriction de type qui permet aux administrateurs disposant des privilèges Provider-Data-Center-Admin ou Provider-Data-Center-System-Admin de personnaliser l'interface utilisateur. la fonction « changer l'icône de favori » (change favicon) permet le téléversement d'un fichier .png, ce qui peut être exploité pour téléverser un fichier malveillant avec une extension .png déguisé en image.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · versa-networks.com

CVE-2021-33045 — Dahua, IP Camera : contournement de l'authentification

• Produit : Dahua IP Camera Firmware
• Ajoutée au catalogue : 21 août 2024
• Échéance CISA : 11 septembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-287
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Les caméras IP Dahua et les produits associés contiennent une vulnérabilité de contournement de l'authentification lorsque l'appareil de boucle (loopback device) est spécifié par le client pendant l'authentification.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · dahuasecurity.com

CVE-2021-33044 — Dahua, IP Camera : contournement de l'authentification

• Produit : Dahua IP Camera Firmware
• Ajoutée au catalogue : 21 août 2024
• Échéance CISA : 11 septembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-287
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %

Les caméras IP Dahua et les produits associés contiennent une vulnérabilité de contournement de l'authentification lorsque l'argument de type NetKeyboard est spécifié par le client pendant l'authentification.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · dahuasecurity.com

CVE-2024-5217 — ServiceNow, Utah, Vancouver et Washington DC Now Platform : vulnérabilité de liste incomplète d'entrées interdites

• Produit : ServiceNow Utah, Vancouver, and Washington DC Now Platform
• Ajoutée au catalogue : 29 juillet 2024
• Échéance CISA : 19 août 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-184
• Gravité : CVSS 9,2 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Les versions de Now Platform de ServiceNow Washington DC, Vancouver et antérieures contiennent une vulnérabilité de liste incomplète d'entrées interdites dans le script GlideExpression. Un utilisateur non authentifié pourrait exploiter cette vulnérabilité pour exécuter du code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.servicenow.com

CVE-2024-4879 — ServiceNow, Utah, Vancouver et Washington DC Now Platform : vulnérabilité de validation incorrecte des entrées

• Produit : ServiceNow Utah, Vancouver, and Washington DC Now Platform
• Ajoutée au catalogue : 29 juillet 2024
• Échéance CISA : 19 août 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-1287
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %

Les versions de ServiceNow Utah, Vancouver et Washington DC Now Platform contiennent une vulnérabilité d'injection de modèle jelly dans les macros d'interface utilisateur. Un utilisateur non authentifié pourrait exploiter cette vulnérabilité pour exécuter du code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.servicenow.com

CVE-2023-45249 — Acronis Cyber Infrastructure (ACI) : vulnérabilité de mot de passe par défaut non sécurisé

• Produit : Acronis Cyber Infrastructure (ACI)
• Ajoutée au catalogue : 29 juillet 2024
• Échéance CISA : 19 août 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-1393
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 54 %

Acronis Cyber Infrastructure (ACI) permet à un utilisateur non authentifié d'exécuter des commandes à distance en raison de l'utilisation de mots de passe par défaut.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · security-advisory.acronis.com

CVE-2024-39891 — Twilio Authy : divulgation d'informations

• Produit : Twilio Authy
• Ajoutée au catalogue : 23 juillet 2024
• Échéance CISA : 13 août 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-203
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 2 %

Twilio Authy contient une vulnérabilité de divulgation d'informations dans son API qui permet à un point de terminaison non authentifié d'accepter une requête contenant un numéro de téléphone et de répondre avec des informations sur la présence ou non de ce numéro de téléphone dans Authy.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · twilio.com

CVE-2024-23692 — Rejetto HTTP File Server : vulnérabilité de neutralisation incorrecte des éléments spéciaux dans un moteur de gabarit Critique

• Produit : Rejetto HTTP File Server
• Ajoutée au catalogue : 9 juillet 2024
• Échéance CISA : 30 juillet 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-1336
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Rejetto HTTP File Server contient une vulnérabilité de neutralisation incorrecte des éléments spéciaux utilisés dans un moteur de gabarit. Cela permet à un attaquant distant et non authentifié d'exécuter des commandes sur le système affecté en envoyant une requête HTTP spécialement élaborée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2024-4978 — Justice AV Solutions Viewer : code malveillant intégré

• Produit : Justice AV Solutions Viewer
• Ajoutée au catalogue : 29 mai 2024
• Échéance CISA : 19 juin 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-506
• Gravité : CVSS 8,7 (élevée)
• Probabilité d’exploitation (EPSS) : 27 %

L'installeur de Justice AV Solutions (JAVS) Viewer contient une version malveillante de ffmpeg.exe, nommée fffmpeg.exe (SHA256: 421a4ad2615941b177b6ec4ab5e239c14e62af2ab07c6df1741e2a62223223c4). Lorsqu'il est exécuté, cela crée une connexion de porte dérobée vers un serveur C2 malveillant.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2023-43208 — NextGen Healthcare Mirth Connect : vulnérabilité de désérialisation de données non fiables

• Produit : NextGen Healthcare Mirth Connect
• Ajoutée au catalogue : 20 mai 2024
• Échéance CISA : 10 juin 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-502
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 86 %

NextGen Healthcare Mirth Connect contient une vulnérabilité de désérialisation de données non fiables qui permet une exécution de code à distance non authentifiée via une requête spécialement élaborée.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2019-7256 — Nice Linear eMerge E3-Series : injection de commandes système

• Produit : Nice Linear eMerge E3-Series
• Ajoutée au catalogue : 25 mars 2024
• Échéance CISA : 15 avril 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 97 %

Nice Linear eMerge E3-Series contient une vulnérabilité d'injection de commandes système qui permet à un attaquant d'effectuer une exécution de code à distance.

Action requise : Contacter l'éditeur pour obtenir des conseils sur la remédiation du micrologiciel, conformément à son avis.

Références : NVD · CISA · linear-solutions.com

CVE-2021-36380 — Sunhillo SureLine : injection de commandes système

• Produit : Sunhillo SureLine
• Ajoutée au catalogue : 5 mars 2024
• Échéance CISA : 26 mars 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %

Sunhillo SureLine contient une vulnérabilité d'injection de commandes système qui permet à un attaquant de provoquer un déni de service ou d'utiliser le dispositif pour la persistance sur le réseau via des métacaractères de shell dans ipAddr ou dnsAddr dans /cgi/networkDiag.cgi.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · sunhillo.com

CVE-2023-23752 — Joomla! : vulnérabilité de contrôle d'accès incorrect

• Produit : Joomla! Joomla!
• Ajoutée au catalogue : 8 janvier 2024
• Échéance CISA : 29 janvier 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-284
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 100 %

Joomla! contient une vulnérabilité de contrôle d'accès incorrect qui permet un accès non autorisé aux points de terminaison de webservice.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · developer.joomla.org

CVE-2023-7101 — Spreadsheet::ParseExcel : exécution de code à distance

• Produit : Spreadsheet::ParseExcel Spreadsheet::ParseExcel
• Ajoutée au catalogue : 2 janvier 2024
• Échéance CISA : 23 janvier 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-95
• Gravité : CVSS 7,8 (élevée)
• Probabilité d’exploitation (EPSS) : 19 %

Spreadsheet::ParseExcel contient une vulnérabilité d'exécution de code à distance due au passage d'une entrée non validée provenant d'un fichier dans un « eval » de type chaîne. Plus précisément, le problème provient de l'évaluation des chaînes de format de nombres dans la logique d'analyse des fichiers Excel.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2023-49897 — FXC AE1021, AE1021PE : injection de commandes système

• Produit : FXC AE1021, AE1021PE
• Ajoutée au catalogue : 21 décembre 2023
• Échéance CISA : 11 janvier 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 50 %

FXC AE1021 et AE1021PE contiennent une vulnérabilité d'injection de commandes système qui permet aux utilisateurs authentifiés d'exécuter des commandes via un réseau.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · fxc.jp

CVE-2023-6448 — Unitronics, Vision PLC et HMI : vulnérabilité de mot de passe par défaut non sécurisé

• Produit : Unitronics Vision PLC and HMI
• Ajoutée au catalogue : 11 décembre 2023
• Échéance CISA : 18 décembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-1188
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 2 %

Les automates programmables (plc) et les interfaces homme-machine (hmi) de la série vision de unitronics sont livrés avec un mot de passe par défaut non sécurisé, qui, s'il n'est pas modifié, peut permettre à des attaquants d'exécuter des commandes à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA

CVE-2023-49103 — ownCloud graphapi : divulgation d'informations

• Produit : ownCloud ownCloud graphapi
• Ajoutée au catalogue : 30 novembre 2023
• Échéance CISA : 21 décembre 2023
• Rançongiciels : pas d’usage connu
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 78 %

OwnCloud graphapi contient une vulnérabilité de divulgation d'informations qui peut révéler des données sensibles stockées dans phpinfo() via GetPhpInfo.php, y compris des identifiants administratifs.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · owncloud.com

CVE-2023-29552 — IETF, Service Location Protocol (SLP) : vulnérabilité de déni de service

• Produit : IETF Service Location Protocol (SLP)
• Ajoutée au catalogue : 8 novembre 2023
• Échéance CISA : 29 novembre 2023
• Rançongiciels : pas d’usage connu
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 64 %

Le protocole de localisation de services (slp) contient une vulnérabilité de déni de service (dos) qui pourrait permettre à un attaquant distant non authentifié d'enregistrer des services et d'utiliser un trafic udp usurpé pour mener une attaque par déni de service (dos) avec un facteur d'amplification significatif.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou désactiver le service SLP ou le port 427/UDP sur tous les systèmes fonctionnant sur des réseaux non fiables, y compris ceux directement connectés à Internet.

Références : NVD · CISA

CVE-2023-44487 — IETF, HTTP/2 : vulnérabilité d'attaque de réinitialisation rapide

• Produit : IETF HTTP/2
• Ajoutée au catalogue : 10 octobre 2023
• Échéance CISA : 31 octobre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-400
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : > 99,9 %

HTTP/2 contient une vulnérabilité de réinitialisation rapide qui permet une attaque par déni de service distribué (DDoS).

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · blog.cloudflare.com

CVE-2023-28434 — MinIO : contournement de fonctionnalité de sécurité

• Produit : MinIO MinIO
• Ajoutée au catalogue : 19 septembre 2023
• Échéance CISA : 10 octobre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-269
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 8 %

MinIO contient une vulnérabilité de contournement de fonctionnalité de sécurité qui permet à un attaquant d'utiliser des requêtes spécialement conçues pour contourner la vérification du nom du bucket de métadonnées et placer un objet dans n'importe quel bucket lors du traitement de `PostPolicyBucket` afin de réaliser une élévation de privilèges. Pour mener cette attaque, l'attaquant nécessite des identifiants avec la permission `arn:aws:s3:::*`, ainsi qu'un accès à l'API Console activé.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

CVE-2023-32315 — Ignite Realtime Openfire : vulnérabilité de traversée de répertoires

• Produit : Ignite Realtime Openfire
• Ajoutée au catalogue : 24 août 2023
• Échéance CISA : 14 septembre 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : > 99,9 %

Ignite Realtime Openfire contient une vulnérabilité de traversée de répertoires qui permet à un attaquant non authentifié d'accéder à des pages restreintes dans la console d'administration Openfire réservées aux utilisateurs administratifs.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · igniterealtime.org

CVE-2022-29303 — SolarView Compact : vulnérabilité d'injection de commandes

• Produit : SolarView Compact
• Ajoutée au catalogue : 13 juillet 2023
• Échéance CISA : 3 août 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %

SolarView Compact contient une vulnérabilité d'injection de commandes due à une validation incorrecte des valeurs d'entrée sur la console d'envoi d'e-mails du serveur web du produit.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mises à jour ne sont pas disponibles.

Références : NVD · CISA · jvn.jp

CVE-2022-31199 — Netwrix Auditor : vulnérabilité de désérialisation d'objet non sécurisée

• Produit : Netwrix Auditor
• Ajoutée au catalogue : 11 juillet 2023
• Échéance CISA : 1 août 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-502, CWE-122
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 36 %

Le composant d'enregistrement vidéo de l'activité utilisateur de Netwrix Auditor contient une vulnérabilité de désérialisation d'objet non sécurisée qui permet à un attaquant distant non authentifié d'exécuter du code en tant qu'utilisateur NT AUTHORITY\SYSTEM. Une exploitation réussie nécessite que l'attaquant puisse atteindre le port 9004/TCP, qui est couramment bloqué par les pare-feu d'entreprise standard.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mises à jour ne sont pas disponibles.

Références : NVD · CISA

CVE-2023-2868 — Barracuda ESG Appliance : vulnérabilité de validation incorrecte des entrées

• Produit : Barracuda Networks Email Security Gateway (ESG) Appliance
• Ajoutée au catalogue : 26 mai 2023
• Échéance CISA : 16 juin 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-20
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 87 %

L'appliance Barracuda Email Security Gateway (ESG) contient une vulnérabilité de validation incorrecte des entrées d'un fichier .tar fourni par l'utilisateur, conduisant à une injection de commandes à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · status.barracuda.com

CVE-2023-25717 — Ruckus Wireless, plusieurs produits : vulnérabilité CSRF et exécution de code à distance

• Produit : Ruckus Wireless Multiple Products
• Ajoutée au catalogue : 12 mai 2023
• Échéance CISA : 2 juin 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %

Le logiciel des points d'accès (ap) de ruckus wireless contient une vulnérabilité non spécifiée dans le composant des services web. si le composant des services web est activé sur le point d'accès, un attaquant peut effectuer une falsification de requêtes intersites (csrf) ou une exécution de code à distance (rce). cette vulnérabilité affecte ruckus zonedirector, smartzone et solo ap.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur ou déconnecter le produit s'il est en fin de vie.

Références : NVD · CISA · support.ruckuswireless.com

CVE-2023-28432 — MinIO : divulgation d'informations

• Produit : MinIO MinIO
• Ajoutée au catalogue : 21 avril 2023
• Échéance CISA : 12 mai 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-200
• Gravité : CVSS 7,5 (élevée)
• Probabilité d’exploitation (EPSS) : 84 %

MinIO contient une vulnérabilité dans un déploiement en cluster où MinIO retourne toutes les variables d'environnement, ce qui permet une divulgation d'informations.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · github.com

CVE-2023-29492 — Novi Survey : vulnérabilité de désérialisation non sécurisée

• Produit : Novi Survey Novi Survey
• Ajoutée au catalogue : 13 avril 2023
• Échéance CISA : 4 mai 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 3 %

Novi Survey contient une vulnérabilité de désérialisation non sécurisée qui permet à des attaquants distants d'exécuter du code sur le serveur dans le contexte du compte de service.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · novisurvey.net

CVE-2017-7494 — Samba : vulnérabilité d'exécution de code à distance Critique

• Produit : Samba Samba
• Ajoutée au catalogue : 30 mars 2023
• Échéance CISA : 20 avril 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Samba contient une vulnérabilité d'exécution de code à distance, permettant à un client malveillant de téléverser une bibliothèque partagée vers un partage modifiable, puis de faire en sorte que le serveur la charge et l'exécute.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · samba.org

Fiche détaillée : versions, références, chronologie →