S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 18 septembre 2023
N° CERTFR-2023-ACT-040
Affaire suivie par: CERT-FR
le 18 septembre 2023

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité CERTFR-2023-ACT-040

Gestion du document

Référence CERTFR-2023-ACT-040
Titre Bulletin d’actualité CERTFR-2023-ACT-040
Date de la première version 18 septembre 2023
Date de la dernière version 18 septembre 2023
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 37

Tableau récapitulatif :

Vulnérabilités critiques du 11/09/23 au 17/09/23

Editeur Produit Identifiant CVE Score CVSSv3 Type de vulnérabilité Date de publication Exploitabilité (Preuve de concept publique) Avis Cert-FR Avis éditeur
Adobe Acrobat DC, Acrobat Reader DC, Acrobat 2020, Acrobat Reader 2020 CVE-2023-26369 7.8 Exécution de code arbitraire 12/09/2023 Exploitée CERTFR-2023-AVI-0736 https://helpx.adobe.com/security/products/acrobat/apsb23-34.html
Microsoft Windows, Windows Server CVE-2023-36802 7.8 Élévation de privilèges 12/09/2023 Exploitée CERTFR-2023-AVI-0740 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36802
Microsoft Microsoft Word, Microsoft Office, Microsoft 365 CVE-2023-36761 6.2 Atteinte à la confidentialité des données 12/09/2023 Exploitée CERTFR-2023-AVI-0739 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36761
Google Chrome CVE-2023-4863 Non spécifié par l’éditeur Non spécifié par l’éditeur 11/09/2023 Exploitée CERTFR-2023-AVI-0738 https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
SAP SAP CommonCryptoLib, SAP NetWeaver CVE-2023-40309 9.8 Élévation de privilèges 12/09/2023 Pas d’information CERTFR-2023-AVI-0737 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1&d=2023-09-13
SAP SAP BusinessObjects Business Intelligence Platform (Promotion Management) CVE-2023-40622 9.9 Atteinte à la confidentialité des données 12/09/2023 Pas d’information CERTFR-2023-AVI-0737 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1&d=2023-09-13
SAP SAP NetWeaver Process Integration CVE-2022-41272 9.9 Atteinte à l’intégrité des données
Atteinte à la confidentialité des données
Déni de service à distance		 12/09/2023 Pas d’information CERTFR-2023-AVI-0737 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1&d=2023-09-13
SAP Business objects Business intelligence platform CVE-2023-25616 9.9 Exécution de code arbitraire à distance 12/09/2023 Pas d’information CERTFR-2023-AVI-0737 https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=1&d=2023-09-13

CVE-2023-40309 : Vulnérabilité dans SAP CommonCryptoLib

Le 12 septembre 2023, l’éditeur a publié un avis de sécurité concernant la vulnérabilité identifiée CVE-2023-40309 et affectant SAP CommonCryptoLib. La bibliothèque n’effectue pas tous les contrôles d’authentification nécessaires. Un attaquant déjà authentifié est alors en mesure de tenter une élévation des privilèges. En fonction de l’application et du niveau de privilèges acquis, l’attaquant peut récupérer les fonctionnalités réservées à un groupe d’utilisateurs particulier et tenter une atteinte à l’intégrité et à la confidentialité des données.

La vulnérabilité est présente dans les produits suivants :

  • SAP NetWeaver AS ABAP, SAP NetWeaver plateformes AS Java et ABAP de S/4HANA (on-premise) versions KERNEL 7.22 à 7.93, KERNEL 8.04, KERNEL64UC 7.22, KERNEL64UC 7.22EXT, KERNEL64UC 7.53, KERNEL64UC 8.04, KERNEL64NUC 7.22 et KERNEL64NUC 7.22EXTP
  • SAP Web Dispatcher versions 7.22EXT à 7.89
  • SAP Content Server versions 6.50, 7.53 et 7.54
  • SAPHANA versions 2.0
  • Agent SAPHost versions 722
  • Services et Runtime (XSA) SAP Extended Application versions SAP_EXTENDED_APP_SERVICES 1 et XS_ADVANCED_RUNTIME 1.00
  • SAPSSOEXT versions 17

L’éditeur préconise de mettre à jour la bibliothèque CommonCryptoLib vers la version 8.5.50 ou supérieure.

Liens :

 

La mise à jour d’un produit ou d’un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d’effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l’application des mises à jour comme des correctifs ou des changements de version.

Rappel des avis émis

Dans la période du 11 au 17 septembre 2023, le CERT-FR a émis les publications suivantes :


Durant la même période, les publications suivantes ont été mises à jour :

Gestion détaillée du document

    le 18 septembre 2023
    Version initiale