Avis de sécurité SolarWinds de novembre 2023.
Multiples vulnérabilités dans les produits SolarWinds. Quatre vulnérabilités ont été découvertes et corrigées dans les produits SolarWinds. Elles permettent à un attaquant de provoquer une atteinte à la confidentialité des données et une exécution de code arbitraire à distance.
Le Network Configuration Manager était sensible à une vulnérabilité de divulgation d’informations sensibles. Cette vulnérabilité permet aux utilisateurs disposant d’un accès administratif à la console Web SolarWinds d’obtenir des informations sensibles. Le Network Configuration Manager permet de réduire les coûts ainsi que les heures de travail, et de vous conformer aux réglementations grâce aux fonctions de gestion et de sauvegarde automatisées des configurations réseau. Désormais corrigé dans le Gestionnaire de configuration réseau 2023.4. (CVE-2023-33228).
Le gestionnaire de configuration réseau était sensible à une vulnérabilité d’exécution de code à distance de traversée de répertoire. Cette vulnérabilité permet à un utilisateur de bas niveau d’effectuer des actions avec les privilèges SYSTEM. Corrigé dans le Gestionnaire de configuration réseau 2023.4. (CVE-2023-33227).
Liste incomplète des entrées non autorisées de la plateforme SolarWinds, une vulnérabilité permettant l’exécution de code arbitraire à distance. Si elle était exécutée, cette vulnérabilité permettrait à un utilisateur peu privilégié d’exécuter des commandes avec les privilèges SYSTEM. Corrigé dans la plateforme SolarWinds 2023.4. (CVE-2023-40062).
Vulnérabilité du mécanisme d’exécution de tâches non sécurisé. Cette vulnérabilité peut en conséquence conduire à d’autres attaques. Corrigé dans la plateforme SolarWinds 2023.4. (CVE-2023-40061).
Le code arbitraire est employé pour nommer, en parlant de piratage informatique, une action à faire faire à une machine sans que le propriétaire soit d'accord. Par exemple, en utilisant un exploit, le code arbitraire peut ouvrir une session super-utilisateur sur une machine distante, ou modifier une base de données, ou plus généralement donner accès à une information non disponible. Les pirates s'intéressent plus particulièrement aux vulnérabilités critiques des logiciels et des systèmes d'exploitation. Ces failles permettent généralement d'obtenir une élévations de privilège donnant des droits d'administrateur. Une situation qui permet d'autoriser l'exécution de code arbitraire à distance à l'insu des victimes. Ce sont particulièrement les failles de catégorie zero days qui sont ciblées en priorité du fait de leur absence de correctif. Le retard d'application des mises à jour des vulnérabilités présente aussi un risque potentiel de contrôle à distance non sollicité.
La confidentialité a été définie par l'Organisation internationale de normalisation comme « le fait de s'assurer que l'information n'est accessible qu'à ceux dont l'accès est autorisé », et est une des pierres angulaires de la sécurité de l'information. La confidentialité permet d'empêcher un accès non autorisé à des informations qui présentent un caractère sensible. Les intrusions dans les réseaux d'entreprise qui ne sont pas assez protégées, les négligences des personnes qui exposent des données non chiffrées, les niveaux insuffisants des contrôles d'accès sont autant de situations qui mettent en péril la confidentialité des données. De plus en plus de navigateurs, comme par exemple QWant et surtout Brave, se lancent dans une politique de confidentialité des données de navigation. Nul doute que l'utilisation d'un Réseau Privé Virtuel chiffré (VPN) et l'utilisation de données dans un cloud sécurisé améliorent la confidentialité et la sécurité des échanges. En juin 2023, la société Proton lance son extension de navigateur Proton Pass. Un gestionnaire de mots de passe sécurisé, gratuit et open source.
Une violation de données est le rejet intentionnel ou non sécurisé de l'information au sein d'un environnement non sécurisé. Les autres termes de ce phénomène peuvent être la divulgation de l'information, la fuite de données et également le déversement de données. Une violation de données est un incident de sécurité transmettant des données sensibles, protégées ou confidentielles, qui sont volées ou utilisées par une personne non autorisée à le faire. Le phishing et le scraping sont largement utilisés pour voler des informations à l'insu de l'internaute et de l'entreprise.
