Le RSSI de lâEtat vient de publier par le biais du CERT-FR une liste de dix vulnĂ©rabilitĂ©s, particuliĂšrement critiques, dĂ©couvertes en 2020 ou 2019, et particuliĂšrement marquantes, parce que critiques, exploitĂ©es activement et, parfois, affectant des Ă©quipements nĂ©cessaires au travail Ă distance.
LâAnssi a sĂ©lectionnĂ© dix vulnĂ©rabilitĂ©s marquantes, surtout en terme de criticitĂ©, repĂ©rĂ©es lâan dernier, voire en 2019. Car « malgrĂ© les publications de plusieurs avis de sĂ©curitĂ© en 2019 concernant diffĂ©rents Ă©diteurs de solutions VPN, lâANSSI a pu constater la prĂ©sence dâun grand nombre dâĂ©quipements vulnĂ©rables exposĂ©s directement sur internet ». Dix CVE qui touchaient notamment les infrastructures et systĂšmes de connexion Ă distance.
A commencer par CVE-2019-11510, une vulnĂ©rabilitĂ© de certains Ă©quipements de Pulse Secure, dont sont VPN SSL Pulse Connect Secure. Cette faille, activement exploitĂ©e, permettait Ă un attaquant de lire des des fichiers arbitraires Ă distance via le protocole HTTPS en crĂ©ant une URI particuliĂšre. Avec pour rĂ©sultat le vol dâauthentifiants [...]