« Quand une porte se ferme, une autre s'ouvre ; ». Cela vaut aussi bien pour les défenseurs de la sécurité que pour les acteurs de la menace, en particulier avec la myriade de vulnérabilités et d'exploits qui existent dans la nature. Au cours des dernières années, les acteurs de la menace ont radicalement modifié leurs TTP, en fonction du nombre de nouvelles vulnérabilités découvertes. Mais même avec l'afflux de nouveaux, nous pouvons encore observer un certain nombre d'exploits d'antan utilisés dans des brèches aujourd'hui. Cette grande variété de vulnérabilités est exploitée par les acteurs de la menace pour obtenir des résultats allant de l'élévation des privilèges et de la traversée de chemin aux contournements de sécurité et à l'exécution de code à distance !

Dans cet article, nous discutons des principales vulnérabilités critiques qui ont été exploitées au cours des derniers mois par les acteurs de la menace pour garantir l'accès initial et la compromission, sur la base de certaines données de recherche open source. Les vulnérabilités ont été répertoriées dans l'ordre chronologique inverse des dates de publication par NVD .

1. Vulnérabilité de Google Chrome (CVE-2022–3723)

La faille de gravité élevée (CVE-2022-3723) est un bogue de confusion de type dans le moteur Javascript Chrome V8 qui a été découvert et signalé à Google par les analystes d'Avast.

Type : Exécution de code à distance (RCE)
Fonctionnement de l'attaque : La confusion de type dans la V8 de Google Chrome avant 107.0.5304.87 permettait à un attaquant distant d'exploiter potentiellement la corruption de tas via une page HTML spécialement conçue. (Sévérité de la sécurité Chromium : Élevée)
Impact : si la vulnérabilité est exploitée avec succès, l'attaquant exécute du code arbitraire.
Produit concerné : version de Google Chrome antérieure à 107.0.5304.87/.88 pour Windows, version antérieure à 107.0.5304.87 pour Mac et Linux
Atténuation : mettre à jour le navigateur Chrome vers la dernière version

2. Vulnérabilité MSDT Follina (CVE-2022–30190)

Il s'agit d'une vulnérabilité dans Microsoft Support Diagnostic Tool (MSDT), qui pourrait être exploitée pour exécuter du code arbitraire lorsque MSDT est appelé à l'aide du protocole URI. Le protocole URI ms-msdt:/ pourrait être invoqué à partir du document ou du lien malveillant qui, lorsqu'il est ouvert par l'utilisateur victime, permet à un code malveillant de s'exécuter sur la machine cible avec les privilèges de l'application appelante. Un document Word exploitant cette vulnérabilité (CVE- 2022–30190) a été soumis pour la première fois à VirusTotal le 27 mai 2022 depuis la Biélorussie avec le nom de fichier 05–2022–0438.doc. Cependant, le nombre 0438 s'avère être l'indicatif régional de la région Follina en Italie et donc le nom. Il a été constaté que le document n'était lié à l'Italie d'aucune autre manière.

Type : Exécution de code à distance (RCE)
Fonctionnement de l'attaque : Follina nécessite une interaction de l'utilisateur pour réaliser l'exécution de la charge utile, mais cela peut être obtenu en incitant un utilisateur victime à ouvrir un lien malveillant ou une charge utile transmise via les médias sociaux ou par e-mail. En cliquant sur le document, un script HTML malveillant est rendu, conduisant à l'exécution de code arbitraire sur le système affecté.

Conséquence : un attaquant qui parviendrait à exploiter cette vulnérabilité peut exécuter du code arbitraire avec les privilèges de l'application appelante. L'attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données , ou créer de nouveaux comptes dans le contexte autorisé
par les droits de l'utilisateur .

3. Vulnérabilité SSL ouverte (CVE-2022–0778)

OpenSSL est une bibliothèque très populaire, largement utilisée par de nombreuses organisations et applications logicielles nécessitant des communications sécurisées. La vulnérabilité réside dans l'implémentation par OpenSSL de l'algorithme Tonelli-Shanks, utilisé pour trouver les racines carrées des nombres dans la cryptographie à courbe elliptique au cœur de la bibliothèque de chiffrement.
Type : déni de service (DOS)
Fonctionnement de l'attaque : cette vulnérabilité se produit lorsqu'au lieu d'un nombre premier, un nombre composé est transmis à l'algorithme de Tonelli-Shanks. Cela se traduit par un problème de calcul comme la factorisation d'entiers. La fonction BN_mod_sqrt(), qui calcule une racine carrée modulaire, contient un bogue qui peut la faire boucler indéfiniment pour les modules non premiers. En interne, cette fonction est utilisée lors de l'analyse de certificats contenant des clés publiques de courbe elliptique sous forme compressée ou des paramètres de courbe elliptique explicites avec un point de base codé sous forme compressée. Il est possible de déclencher la boucle infinie en créant un certificat qui a des paramètres de courbe explicites invalides. Étant donné que l'analyse du certificat a lieu avant la vérification de la signature du certificat, tout processus qui analyse un certificat fourni de l'extérieur peut donc faire l'objet d'une attaque par déni de service. La boucle infinie peut également être atteinte lors de l'analyse de clés privées spécialement conçues, car elles peuvent contenir des paramètres de courbe elliptique explicites. Ainsi, les situations vulnérables incluent :
— Clients TLS consommant des certificats de serveur
— Serveurs TLS consommant des certificats client
— Fournisseurs d'hébergement prenant des certificats ou des clés privées des clients
— Autorités de certification analysant les demandes de certification des abonnés
— Tout autre élément qui analyse les paramètres de courbe elliptique ASN.1.
— De plus, toutes les autres applications qui utilisent BN_mod_sqrt() où l'attaquant peut contrôler les valeurs des paramètres sont vulnérables à ce problème DoS.

Dans la version OpenSSL 1.0.2, la clé publique n'est pas analysée lors de l'analyse initiale du certificat, ce qui rend légèrement plus difficile le déclenchement de la boucle infinie. Cependant, toute opération nécessitant la clé publique du certificat déclenchera la boucle infinie. L'attaquant peut notamment utiliser un certificat auto-signé pour déclencher la boucle lors de la vérification de la signature du certificat.

Conséquence : la vulnérabilité OpenSSL, CVE-2022–0778, peut utiliser des certificats spécialement conçus pour provoquer un déni de service (DoS). La vulnérabilité affecte à la fois les clients et les serveurs
Produit concerné : OpenSSL versions 1.0.2, 1.1.1 et 3.0. Il a été corrigé dans les versions 1.1.1n et 3.0.2 du 15 mars 2022. Corrigé dans OpenSSL 3.0.2 (affecté 3.0.0, 3.0.1).
Atténuation : le problème est résolu dans OpenSSL 1.1.1n (affecté 1.1.1–1.1.1m). Corrigé dans OpenSSL 1.0.2zd (affecté 1.0.2–1.0.2zc). Mettez à jour SSL vers la dernière version.

4. Log4shell (CVE-2021–44228)

Cette vulnérabilité affecte la bibliothèque Log4j d'Apache, un framework de journalisation open source, et a été publiée en tant que vulnérabilité zero-day en décembre 2021. Une exploration Log4Shell réussie peut conduire à l'exécution de code à distance. Log4Shell est une vulnérabilité d'injection Java Naming and Directory Interface™ (JNDI).

Type : Exécution de code à distance (RCE)
Comment fonctionne l'attaque : La vulnérabilité peut être exploitée en soumettant une requête JNDI spécialement conçue (charge utile) à un système vulnérable qui force ce système à exécuter du code arbitraire. La demande permet à un acteur malveillant de prendre le contrôle total du système.

Impact : Outre la conduite de RCE, les attaquants peuvent voler des informations, lancer des rançongiciels ou mener d'autres activités malveillantes.
Produit concerné : Apache Log4j est le produit concerné avec plus de 400 000 téléchargements depuis son projet GitHub. Log4j2 a été utilisé dans une variété de produits et services, des produits Apache comme Struts, Solr et Flink aux produits de sécurité comme ElasticSearch, Logstash, Kafka et même les serveurs Minecraft.
Atténuation : mise à niveau des ressources Log4j et des produits concernés vers la dernière version sécurisée 2.17 et supérieure.

5. PetitPotam (CVE-2021–36942)

La faille PetitPotam est présente dans les serveurs Windows, où les services de certificats Active Directory (AD CS) ne sont pas configurés avec une protection contre les attaques de relais NTLM. Un adversaire peut prendre le contrôle d'un contrôleur de domaine en le forçant à s'authentifier auprès d'un serveur relais NTML qu'il contrôle. Il intercepte ensuite le trafic et se fait passer pour des clients.

Type : Élévation de privilèges
Fonctionnement de l'attaque : PetitPotam fonctionne en exploitant le protocole MS-EFSRPC (Encrypting File System Remote Protocol) de Microsoft pour inciter un hôte Windows à s'authentifier auprès d'un autre via LSARPC sur le port TCP 445. Une exploitation réussie signifie que le serveur cible fonctionnera Authentification NTLM sur un serveur arbitraire, permettant à un acteur malveillant capable d'exploiter la technique de déployer un rançongiciel ou de créer de nouvelles politiques.
Selon l'avis ADV210003 de Microsoft , les utilisateurs de Windows sont potentiellement vulnérables à cette attaque s'ils utilisent les services de certificats Active Directory (AD CS) avec l'un des services suivants :
-Certificate Authority Web Enrollment
-Certificate Enrollment Web Service

Conséquence : l'attaquant utilise le protocole MS-EFSRPC (Encrypting File System Remote Protocol) de Microsoft pour se connecter à un serveur, détourner la session d'authentification et manipuler les résultats de sorte que le serveur pense alors que l'attaquant a un droit légitime d'y accéder. À l'aide de l'authentification, l'attaquant peut ensuite déposer des outils tels qu'un shell distant sur le serveur, puis exploiter d'autres exploits utilisant ce shell distant pour élever ses propres privilèges.
Produit concerné : Microsoft Active Directory Certificate Services (AD CS)
Atténuation : pour empêcher les attaques de relais NTLM sur les réseaux sur lesquels NTLM est activé, les administrateurs de domaine doivent s'assurer que les services qui autorisent l'authentification NTLM utilisent des protections telles que la protection étendue pour l'authentification (EPA)ou des fonctionnalités de signature telles que la signature SMB. Reportez-vous KB5005413

6. Vulnérabilité du spouleur d'impression Windows (CVE-2021–34527, CVE-2021–1675, CVE-2022–22718)

La vulnérabilité d'exécution de code à distance du spouleur d'impression tire parti de l'appel de fonction RpcAddPrinterDriver dans le service du spouleur d'impression qui permet aux clients d'ajouter des fichiers DLL arbitraires en tant que pilotes d'imprimante et de les charger en tant que SYSTEM (le contexte du service de spouleur).

Type : Exécution de code à distance
Fonctionnement de l'attaque : La fonction RpcAddPrinterDriver du service Print Spooler est conçue pour permettre aux utilisateurs de mettre à jour les imprimantes à distance. Cependant, une faille logique dans le fonctionnement permet à tout utilisateur d'injecter sa propre DLL non signée dans le processus, en contournant l'authentification ou la validation du fichier.
Impact : les attaquants exploitant la faille peuvent potentiellement créer de nouveaux comptes d'utilisateurs, modifier des données et installer des programmes. La vulnérabilité a été surnommée PrintNightmare en raison de son potentiel d'affecter des millions de serveurs, d'ordinateurs et d'ordinateurs portables exécutant Windows à travers le monde.
Produit concerné : service Microsoft Windows Print Spooler
Atténuation : patchez tous les serveurs concernés à la dernière version

7. ProxyShell (CVE-2021–34523, CVE-2021–34473, CVE-2021–31207)

Ces vulnérabilités résident dans le service d'accès client (CAS) de Microsoft qui s'exécute généralement sur le port 443 dans les services Internet (IIS) de Microsoft (par exemple, le serveur Web de Microsoft). CAS est généralement exposé à Internet pour permettre aux utilisateurs d'accéder à leur courrier électronique via des appareils mobiles et des navigateurs Web. Cette exposition a conduit à une exploitation généralisée par des acteurs malveillants qui déploient couramment des shells Web pour exécuter à distance du code arbitraire sur des appareils compromis.

Type : élévation de privilèges (CVE-2021–34523), RCE (CVE-2021–34473), contournement de la fonctionnalité de sécurité (CVE-2021–31207)
Fonctionnement de l'attaque : les attaquants exploitent ProxyShell pour installer une porte dérobée pour un accès ultérieur et exploitation. ProxyShell comprend trois vulnérabilités distinctes utilisées dans le cadre d'une seule chaîne d'attaque :

• CVE-2021–34473 est une vulnérabilité de confusion de chemin de pré-authentification pour contourner le contrôle d'accès.
• CVE-2021–34523 est une vulnérabilité d'élévation de privilèges dans le backend Exchange PowerShell.
• CVE-2021–31207 est l'exécution de code à distance post-authentification via une écriture de fichier arbitraire.

8. Connexion proxy (CVE-2021–26855, CVE-2021–26858, CVE-2021–26857, CVE-2021–27065)

La vulnérabilité a été nommée Proxy Logon car elle peut être utilisée pour exploiter l'architecture proxy et le mécanisme de connexion dans Exchange Server. La vulnérabilité de connexion par proxy est liée à des connexions non approuvées au serveur Exchange sur le port 443 et peut être exploitée sans interaction de l'utilisateur. Il permet aux attaquants de contourner l'authentification et d'usurper l'identité d'un administrateur. Les pirates ont exploité ProxyLogon pour déposer des shells Web sur des systèmes vulnérables, où le service de réplication de boîtes aux lettres MSExchange a été utilisé pour écrire un fichier ASPX sur le disque.

Type : exécution de code à distance (RCE)
Fonctionnement de l'attaque : les adversaires ont exploité ProxyLogon pour déposer des shells Web sur des systèmes vulnérables, où le service de réplication de boîte aux lettres msexchange a été utilisé pour écrire un fichier ASPX sur le disque. CVE-2021–26855 , également connu sous le nom de « ProxyLogon », est une faille de falsification de requête côté serveur qui peut être enchaînée avec CVE-2021–27065 , un bogue d'écriture de fichier arbitraire post-authentification, permettant à un attaquant d'exécuter du code à distance. . Impact:
L'exploitation réussie de ces vulnérabilités combinées permet à un attaquant non authentifié d'exécuter du code arbitraire sur des serveurs Exchange vulnérables. Cela permet à l'auteur de la menace de gagner en persistance pour accéder aux fichiers, aux boîtes aux lettres et même aux informations d'identification stockées sur les serveurs. Outre la persévérance, cela ouvre également la porte au mouvement latéral et à la manipulation à distance.
Produits concernés :
Exchange Server 2019 < 15.02.0792.010
Exchange Server 2019
< 15.02.0721.013 Exchange Server 2016 < 15.01.2106.013
Exchange Server 2013 < 15.00.1497.012
Atténuation : Microsoft a publié des correctifs hors bandepour Exchange Server 2013, 2016 et 2019, ainsi qu'une mise à jour de défense en profondeur pour Exchange Server 2010 car cette version n'est vulnérable qu'à CVE-2021-26857.

9. Injection OGNL du travail Web du serveur Confluence (CVE-2021–26084)

Une vulnérabilité d'injection OGNL (Object-Graph Navigation Language) permet à un adversaire non authentifié d'exécuter du code arbitraire sur une instance Confluence Server ou Data Center.

Type : Exécution de code arbitraire
Fonctionnement de l'attaque : La vulnérabilité permet à des acteurs non authentifiés d'exécuter du code arbitraire sur les installations Confluence Server ou Data Center.
Un utilisateur non authentifié qui ne dispose pas de privilèges administratifs peut accéder à distance aux terminaux vulnérables de ces applications si l'option "Autoriser les utilisateurs à s'inscrire pour créer leur compte" est activée. Vérifiez 'COG> Gestion des utilisateurs> Options d'inscription des utilisateurs' sur le logiciel concerné pour voir si cela est activé.
Impact : des acteurs non authentifiés peuvent exécuter du code arbitraire sur des systèmes vulnérables. Les acteurs de la menace ciblent cette vulnérabilité dont le but pourrait être de télécharger une charge utile malveillante qui installerait une porte dérobée ou un mineur dans le réseau d'un utilisateur.
Produit concerné :Les versions concernées du serveur Confluence sont antérieures à la version 6.13.23, de la version 6.14.0 avant la 7.4.11, de la version 7.5.0 avant la 7.11.6 et de la version 7.12.0 avant la 7.12.5.
Atténuation : patcher les serveurs Confluencer vers la dernière version

10. Vulnérabilité du client VMware vSphere (CVE-2021–21972)

Le vSphere Client (HTML5) contient une vulnérabilité d'exécution de code à distance dans un plug-in vCenter Server. Un adversaire disposant d'un accès réseau au port 443 peut exploiter ce problème pour exécuter des commandes avec des privilèges illimités sur le système d'exploitation sous-jacent qui héberge vCenter Server.

Type : Exécution de code à distance (RCE)
Fonctionnement de l'attaque : Un code de preuve de concept pour exploiter la vulnérabilité a été publié en ligne. Ces vulnérabilités permettaient à des clients non autorisés d'exécuter des commandes arbitraires et d'envoyer des requêtes au nom du serveur ciblé via divers protocoles : téléchargement de fichier non autorisé conduisant à l'exécution de code à distance (RCE) (CVE-2021-21972), une falsification de requête côté serveur non autorisée (SSRF) vulnérabilités (CVE-2021–21973)

Impact : l'attaquant peut obtenir l'exécution de code à distance
Produits concernés : VMware vCenter Server (7.x avant 7.0 U1c, 6.7 avant 6.7 U3l et 6.5 avant 6.5 U3n) et VMware Cloud Foundation (4.x avant 4.2 et 3.x avant 3.10. 1.2).
Atténuation : patcher les serveurs concernés. Pour plus de détails, reportez-vous à ce rapport VMWare

11. ZeroLogon (CVE-2020–1472)

Zerologon est une vulnérabilité dans le flux cryptographique du processus Netlogon de Microsoft qui permet une attaque contre les contrôleurs de domaine Microsoft Active Directory. Le vecteur d'initialisation (IV) est défini sur tous les zéros tout le temps, tandis qu'un IV doit toujours être un nombre aléatoire. Profitant de cette vulnérabilité, un auteur de menaces peut se connecter avec le protocole distant de connexion réseau Active Directory (MS-NRPC) et se connecter à l'aide de NTLM.

Type : élévation de privilèges
Comment fonctionne l'attaque : il existe des scripts disponibles qui peuvent être utilisés pour exploiter cette vulnérabilité.https://github.com/dirkjanm/CVE-2020-1472par @dirkjan inclut un véritable exploit pour changer (et rétablir) le mot de passe du contrôleur de domaine.

Impact : Zerologon permet aux attaquants de se faire passer pour n'importe quel ordinateur, y compris le contrôleur de domaine racine.
Produit concerné : Microsoft Netlogon Remote Protocol ( MS-NRPC ) sur les serveurs AD
Atténuation : corrigez tous les serveurs AD (2008 R2 et versions ultérieures)

Étapes générales des mesures d'atténuation

1. Mettez à jour les logiciels, les systèmes d'exploitation, les applications et les micrologiciels sur les actifs du réseau informatique en temps opportun. Prioriser la correction des vulnérabilités exploitées connues
2. Utilisez un système centralisé de gestion des correctifs.
3. Remplacer les logiciels en fin de vie, c'est-à-dire les logiciels qui ne sont plus pris en charge par le fournisseur
4. Appliquez l'authentification multifacteur (MFA) pour tous les utilisateurs, sans exception.
5. Appliquez MFA sur toutes les connexions VPN. Si MFA n'est pas disponible, obligez les employés travaillant à distance à utiliser des mots de passe forts.
6. Examinez, validez ou supprimez régulièrement les comptes privilégiés (au moins une fois par an).
7. Configurer le contrôle d'accès selon le concept du principe du moindre privilège
8. Configurez et sécurisez correctement les périphériques réseau connectés à Internet, désactivez les ports et protocoles réseau inutilisés ou inutiles, chiffrez le trafic réseau et désactivez les services et périphériques réseau inutilisés. Mettre en œuvre les mesures de durcissement appropriées
9. Segmentez les réseaux pour limiter ou bloquer les mouvements latéraux en contrôlant l'accès aux applications, appareils et bases de données. Utilisez des réseaux locaux virtuels privés.
10. Surveillez en permanence la surface d'attaque et enquêtez sur les activités anormales pouvant indiquer un mouvement latéral d'un acteur menaçant ou d'un logiciel malveillant
11. Réduisez les applications tierces et les versions uniques de systèmes/applications ; fournir des exceptions uniquement si nécessaire pour prendre en charge les fonctions critiques de l'entreprise. Mettre en œuvre la liste des autorisations d'application.

Sources de référence :

https://news.sophos.com/en-us https://cve.mitre.org/ https://nvd.nist.gov/vuln/detail/ https://www.cisa.gov/uscert/ncas /alerts/aa22-117a https://www.crowdstrike.com/blog/cve-2020-1472-zerologon-security-advisory/ https://resources.infosecinstitute.com/topic/most-dangerous-vulnerabilities-exploited/ https://www.semperis.com/blog/what-you-need-to-know-about-printnightmare-the-critical-windows-print-spooler-vulnerability/ https://www.sentinelone.com/blog/ enterprise-security-essentials-top-15-most-routinely-exploited-vulnerabilities-2022/ https://www.trellix.com/en-us/about/newsroom/stories/research/countering-follina-attack-with- network-security-platforms-advanced-detection-features.html