Avis de sécurité Cisco d’octobre 2023.
Le CERT FR vient d’émettre un avis d’alerte de sécurité concernant la vulnérabilité CVE-2023-20198. Plut tôt dans la semaine, le 16 octobre 2023, Cisco a publié un avis de sécurité concernant cette vulnérabilité affectant l’interface Web de gestion d’IOS XE (webui). Elle permet à un attaquant non authentifié de créer un utilisateur disposant des privilèges de niveau 15.
CVE-2023-20198 : Découverte d’une vulnérabilité d’élévation des privilèges de l’interface utilisateur Web du logiciel Cisco IOS XE. Pour Cisco, il s’agit d’une exploitation active de cette vulnérabilité en cas d’exposition à Internet ou à des réseaux non fiables. Cette vulnérabilité permet à un attaquant distant non authentifié de créer un compte sur un système affecté avec un accès de niveau de privilège élevé. L’attaquant peut alors utiliser ce compte pour prendre le contrôle du système affecté. Une situation qui ouvre la porte aux cyberattaquants pour exécuter du code arbitraire à distance.
Toujours selon les experts sécurité de Cisco, cette vulnérabilité affecte le logiciel Cisco IOS XE si la fonctionnalité de l’interface utilisateur Web est activée. La fonctionnalité de l’interface utilisateur Web est activée via les commandes IP HTTP server ou IP HTTP secure-server .
Cisco IOS XE est un système d'exploitation ouvert et flexible optimisé pour l'avenir du travail. En tant que système d'exploitation unique pour l'accès filaire et sans fil, l'agrégation, le cœur et le WAN d'entreprise, Cisco IOS XE réduit la complexité de l'entreprise et du réseau. Il contribue à vous protéger contre les cyberattaques modernes. L'intégrité, la sécurité et la résilience améliorées de sa plateforme produisent des données fiables. Il permet une programmation basée sur des modèles, l'hébergement d'applications et la gestion de la configuration, automatisant ainsi les tâches quotidiennes.
Une élévation des privilèges est, en informatique, un mécanisme permettant à un utilisateur d'obtenir des privilèges supérieurs à ceux qu'il a normalement. Généralement, un utilisateur va vouloir élever ses privilèges pour devenir administrateur du système, afin d'effectuer des tâches qu'il n'a pas le droit de faire en temps normal. Ce mécanisme est utile pour lancer des processus sensibles, pouvant nécessiter des compétences particulières en administration système : par exemple lors d'une manipulation des partitions d'un disque dur, ou lors du lancement d'un nouveau service. L'administrateur peut reconfigurer le système d'exploitation. Il peut gérer les autorisations d'accès au réseau. Il surveille le système, gère la sécurité et automatise certaines tâches. Toutes ces fonctions présentent un risque pour les systèmes infectés et une atteinte à la politique de sécurité.
Le code arbitraire est employé pour nommer, en parlant de piratage informatique, une action à faire faire à une machine sans que le propriétaire soit d'accord. Par exemple, en utilisant un exploit, le code arbitraire peut ouvrir une session super-utilisateur sur une machine distante, ou modifier une base de données, ou plus généralement donner accès à une information non disponible. Les pirates s'intéressent plus particulièrement aux vulnérabilités critiques des logiciels et des systèmes d'exploitation. Ces failles permettent généralement d'obtenir une élévations de privilège donnant des droits d'administrateur. Une situation qui permet d'autoriser l'exécution de code arbitraire à distance à l'insu des victimes. Ce sont particulièrement les failles de catégorie zero days qui sont ciblées en priorité du fait de leur absence de correctif. Le retard d'application des mises à jour des vulnérabilités présente aussi un risque potentiel de contrôle à distance non sollicité.
La confidentialité a été définie par l'Organisation internationale de normalisation comme « le fait de s'assurer que l'information n'est accessible qu'à ceux dont l'accès est autorisé », et est une des pierres angulaires de la sécurité de l'information. La confidentialité permet d'empêcher un accès non autorisé à des informations qui présentent un caractère sensible. Les intrusions dans les réseaux d'entreprise qui ne sont pas assez protégées, les négligences des personnes qui exposent des données non chiffrées, les niveaux insuffisants des contrôles d'accès sont autant de situations qui mettent en péril la confidentialité des données. De plus en plus de navigateurs, comme par exemple QWant et surtout Brave, se lancent dans une politique de confidentialité des données de navigation. Nul doute que l'utilisation d'un Réseau Privé Virtuel chiffré (VPN) et l'utilisation de données dans un cloud sécurisé améliorent la confidentialité et la sécurité des échanges. En juin 2023, la société Proton lance son extension de navigateur Proton Pass. Un gestionnaire de mots de passe sécurisé, gratuit et open source.
Une violation de données est le rejet intentionnel ou non sécurisé de l'information au sein d'un environnement non sécurisé. Les autres termes de ce phénomène peuvent être la divulgation de l'information, la fuite de données et également le déversement de données. Une violation de données est un incident de sécurité transmettant des données sensibles, protégées ou confidentielles, qui sont volées ou utilisées par une personne non autorisée à le faire. Le phishing et le scraping sont largement utilisés pour voler des informations à l'insu de l'internaute et de l'entreprise.
