Bulletin d'actualité du CERT-FR

Ce bulletin d'actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l'analyse de l'ensemble des avis et alertes publiés par le CERT-FR dans le cadre d'une analyse de risques pour prioriser l'application des correctifs.

Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l'objet d'un plan d'action lorsqu'elles génèrent des risques sur le système d'information.

Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.

Vulnérabilités significatives de la semaine 5

Tableau récapitulatif :

Vulnérabilités critiques du 27/01/25 au 02/02/25

Editeur	Produit	Identifiant CVE	CVSS	Type de vulnérabilité	Date de publication	Exploitabilité (Preuve de concept publique)	Avis Cert-FR	Avis éditeur
NetApp	ONTAP tools pour VMware vSphere 10	CVE-2017-12588	9.8	Non spécifié	27/01/2025	Pas d'information	CERTFR-2025-AVI-0076	https://security.netapp.com/advisory/ntap-20241227-0009/
Juniper Networks	Secure Analytics	CVE-2021-47548	9.8	Atteinte à l'intégrité des données	24/01/2025	Pas d'information	CERTFR-2025-AVI-0072	https://supportportal.juniper.net/s/article/On-Demand-JSA-Series-Multiple-vulnerabilities-resolved-in-Juniper-Secure-Analytics-in-7-5-0-UP10-IF02
IBM	QRadar Network Packet Capture	CVE-2024-39331	9.8	Exécution de code arbitraire	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
IBM	QRadar Network Packet Capture	CVE-2024-5535	9.1	Atteinte à la confidentialité des données	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
IBM	QRadar Network Packet Capture	CVE-2024-45490	9.8	Non spécifié	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
IBM	Network Packet Capture	CVE-2024-45491	9.8	Non spécifié	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
IBM	QRadar Network Packet Capture	CVE-2024-45492	9.8	Déni de service à distance, Exécution de code arbitraire à distance	30/01/2025	Pas d'information	CERTFR-2025-AVI-0086	https://www.ibm.com/support/pages/node/7182000
Apple	iOS	CVE-2025-24085	7.8	Élévation de privilèges	27/01/2025	Exploitée	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	MacOS	CVE-2025-24135	9.8	Élévation de privilèges	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122068
Apple	iOS, iPadOS, MacOS, watchOS, tvOS, visionOS	CVE-2025-24126	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	MacOS	CVE-2025-24151	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	iOS, MacOS, visionOS, Safari, tvOS, iPadOS	CVE-2025-24162	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122074 https://support.apple.com/en-us/122066
Apple	MacOS	CVE-2025-24093	9.8	Contournement de la politique de sécurité	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069
Apple	MacOS	CVE-2025-24139	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	iPadOS, MacOS	CVE-2025-24102	9.8	Contournement de la politique de sécurité	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	iOS, iPadOS, MacOS, tvOS, visionOS	CVE-2025-24123	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	MacOS	CVE-2025-24106	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	MacOS	CVE-2025-24174	9.8	Contournement de la politique de sécurité	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	MacOS	CVE-2025-24109	9.8	Atteinte à la confidentialité des données	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	MacOS	CVE-2025-24146	9.8	Atteinte à la confidentialité des données	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	iOS, MacOS, iPadOS, tvOS, watchOS, visionOS	CVE-2025-24124	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	tvOS, MacOS, iPadOS, iOS, visionOS	CVE-2025-24163	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122072 https://support.apple.com/en-us/122071 https://support.apple.com/en-us/122066
Apple	MacOS, visionOS, iOS, iPadOS	CVE-2025-24154	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068 https://support.apple.com/en-us/122073 https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122066
Apple	iPadOS, MacOS	CVE-2025-24118	9.8	Déni de service à distance	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122067 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068
Apple	MacOS	CVE-2025-24130	9.8	Atteinte à l'intégrité des données	27/01/2025	Pas d'information	CERTFR-2025-AVI-0075	https://support.apple.com/en-us/122070 https://support.apple.com/en-us/122069 https://support.apple.com/en-us/122068

Rappel des alertes CERT-FR

Vulnérabilité dans les produits Fortinet

[Mise à jour du 28 janvier 2025] Une preuve de concept permettant l'exploitation de la vulnérabilité CVE-2024-55591 est disponible publiquement.

Liens :

• /alerte/CERTFR-2025-ALE-002/

Autres vulnérabilités

CVE-2025-21396, CVE-2025-21415 : Vulnérabilités critiques dans les produits Microsoft

Le 29 janvier 2025, Microsoft indiquait avoir corrigé deux vulnérabilités critiques, nommées CVE-2025-21396 et CVE-2025-21415, concernant respectivement les produits Microsoft Account et Azure AI Face Service permettant à un attaquant une élévation de privilèges. Ces vulnérabilités ont été corrigées sans action utilisateur.

Liens :

• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21415
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21396

CVE-2024-41710 : Vulnérabilité dans les téléphones SIP Mitel

Le 17 juillet 2024, l'éditeur du logiciel Mitel diffusait un correctif de sécurité pour ses téléphones SIP, corrigeant la vulnérabilité CVE-2024-41710 permettant à un attaquant une execution de code arbitraire à distance. Le CERT-FR a connaissance d'exploitations actives de cette vulnérabilité.

Liens :

• https://www.mitel.com/support/security-advisories/mitel-product-security-advisory-24-0019
• https://www.mitel.com/support/security-advisories/mitel-product-security-advisory-24-0020
• /avis/CERTFR-2024-AVI-0601/

CVE-2024-40891 : Vulnérabilité dans les pare-feux Zyxel

Le CERT-FR a connaissance d'exploitations de la vulnérabilité CVE-2024-4081 pour laquelle il n'existe pas de correctifs, affectant les pare-feux Zyxel de la gamme CPE. Cette vulnérabilité, via des requêtes de type telnet sur l'interface d'administration, permet à un attaquant l'execution de code arbitraire à distance.
Le CERT-FR rappelle que l'exposition d'interfaces de gestion sur Internet est contraire aux bonnes pratiques.