Bulletin d’actualité CERTFR-2025-ACT-019 – CERT-FR

Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner
leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre
d’une analyse de risques pour prioriser l’application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan
d’action lorsqu’elles génèrent des risques sur le système d’information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 18

Tableau récapitulatif :

Vulnérabilités critiques du 28/04/25 au 04/05/25

Rappel des alertes CERT-FR

Vulnérabilité dans SAP NetWeaver

Le 24 avril 2025, SAP a publié un bulletin de sécurité relatif à la vulnérabilité CVE-2025-31324 qui permet l’exécution de code arbitraire à distance pour un utilisateur non authentifié. Cette vulnérabilité est provoquée par un contournement de la politique de sécurité qui permet de télécharger des fichiers arbitraires et potentiellement exécutables sur le serveur. Elle impacte le composant Visual Composer development server, non installé par défaut mais fréquemment utilisé.

Le CERT-FR a connaissance de plusieurs compromissions liées à cette vulnérabilité.

L’accès aux détails complets concernant cette vulnérabilité nécessite un compte utilisateur pour le support SAP. Le bulletin de sécurité du 8 avril 2025 a été mis à jour pour indiquer cette nouvelle vulnérabilité sans faire mention de son exploitation active.

Liens :

Autres vulnérabilités

Vulnérabilités dans le protocole et le logiciel AirPlay

Le 31 mars 2025, Apple a publié la version 13.7.5 de macOS Ventura, corrigeant 97 vulnérabilités dans le protocole et le logiciel AirPlay. Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données, un déni de service à distance et un contournement de la politique de sécurité.
La chaîne de vulnérabilités CVE-2025-24252 et CVE-2025-24132 est surnommée Airborne. Cette chaîne permet à un attaquant de prendre le contrôle de certains appareils compatibles AirPlay et déployer des logiciels malveillants qui se propagent sur un réseau local auquel l’appareil infecté se connecte.

Liens :

Tableau récapitulatif :

Editeur	Produit	Identifiant CVE	CVSS	Type de vulnérabilité	Date de publication	Exploitabilité (Preuve de concept publique)	Avis éditeur
Broadcom	Fabric Operating System	CVE-2025-1976	8.6	Exécution de code arbitraire	17/04/2025	Exploitée	https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25602
Commvault	Commvault	CVE-2025-3928	8.7	Exécution de code arbitraire	24/02/2025	Exploitée	https://documentation.commvault.com/securityadvisories/CV_2025_03_1.html
Sonicwall	Sma 500V Firmware, Sma 400 Firmware, Sma 210 Firmware, Sma 410 Firmware, Sma 200 Firmware	CVE-2023-44221	7.2	Exécution de code arbitraire à distance, Contournement de la politique de sécurité	04/12/2023	Exploitée	https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2024-0018
Sonicwall	SMA 100 Series (SMA 200, 210, 400, 410, 500v)	CVE-2024-38475	9.1	Exécution de code arbitraire à distance, Atteinte à la confidentialité des données, Contournement de la politique de sécurité	03/12/2023	Exploitée	https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2023-0018
Netapp	Ontap 9	CVE-2024-38475	9.1	Exécution de code arbitraire à distance, Atteinte à la confidentialité des données, Contournement de la politique de sécurité	12/07/2024	Exploitée	https://security.netapp.com/advisory/ntap-20240712-0001/
Apache	Http Server	CVE-2024-38475	9.1	Exécution de code arbitraire à distance, Atteinte à la confidentialité des données, Contournement de la politique de sécurité	01/07/2024	Exploitée	https://httpd.apache.org/security/vulnerabilities_24.html