Dans le résumé de cette semaine, nous discuterons :
- Une vulnérabilité dans le plugin de sauvegarde WordPress BackupBuddy couramment utilisé
- Les mises à jour iOS et macOS d'Apple corrigent une faille de type "zero-day" exploitée dans la nature.
- Tests de performance de VMWare pour l'atténuation de l'exécution spéculative de Retbleed
- Un certain nombre de vulnérabilités liées à Kubernetes/Rancher
BackupBuddy - CVE-2022-31474
Les développeurs de iThemes ont découvert une vulnérabilité dans leur plugin BackupBuddy présent dans les versions 8.5.8.0 à 8.7.4.1. Assignée CVE-2022-31474, cette vulnérabilité permet à un attaquant d'abuser de l'option 'Local Directory Copy' disponible dans le plugin pour créer des sauvegardes de n'importe quel fichier auquel WordPress a accès. Dans les déploiements ne disposant pas des permissions appropriées, cela peut signifier que l'ensemble du système de fichiers peut être téléchargé par des acteurs malveillants.
Deux failles distinctes ont rendu cette vulnérabilité possible. La première est que la fonction destinée à être utilisée pour télécharger des sauvegardes locales n'a pas fait l'objet de vérifications appropriées, ce qui lui permet d'être appelée depuis n'importe quelle page administrative, y compris celles auxquelles peuvent accéder des utilisateurs non authentifiés. La seconde est que le chemin d'accès à la sauvegarde n'était pas validé, ce qui permettait aux utilisateurs de spécifier n'importe quel fichier auquel WordPress avait accès pour le téléchargement.
iThemes recommande de mettre à jour immédiatement votre plugin en version 8.7.5 ou supérieure, et d'auditer les logs d'accès de votre serveur pour les chaînes contenant local-destination-id et /etc/passwd ou wp-config.php avec une réponse HTTP 2xx.
Mises à jour d'Apple iOS et macOS
Apple a publié un correctif pour une faille zero-day activement exploitée qui permettrait à des acteurs malveillants d'exécuter du code arbitraire avec les privilèges du noyau sur les appareils fonctionnant sous macOS Big Sur 11.7, macOS Monterey 12.6, iOS 16, iOS 15.7, et iPadOS 15.7. Découvert par un pirate anonyme, CVE-2022-32917 serait le 8ème zero-day patché par Apple cette année.
Les détails concernant la vulnérabilité spécifique sont rares, mais nous recommandons de suivre les directives d'Apple et de mettre à jour vos appareils immédiatement.
Le correctif Retbleed peut ralentir de 70 % les performances des machines virtuelles Linux
Pour les non-initiés, Retbleed est un bogue d'exécution spéculative lié à Spectre qui affecte certaines puces Intel et AMD et qui peut permettre à un attaquant d'obtenir des données privées à partir de l'espace mémoire d'un programme.
Manikandan Jagatheesan, de l'équipe d'ingénierie des performances de VMWare, a publié la semaine dernière de précieuses informations sur les tests de performance sur la liste de diffusion du noyau Linux.
Les résultats de Manikandan montrent une régression spectaculaire des performances des machines virtuelles Linux sur ESXi :
- Calcul (jusqu'à -70%)
- Mise en réseau (jusqu'à -30%)
- Stockage (jusqu'à -13%)
Le noyau Linux 15.9 contient un certain nombre de mises à jour de fonctionnalités, mais les recherches de Manikandan indiquent que l'impact sur les performances peut être directement attribué à ce commit spécifique lié à la correction de Retbleed.
Bien que les serveurs Linode utilisent désormais par défaut un noyau en amont, nous avons inclus le correctif pour Retbleed dans notre noyau personnalisé 5.19 pour les clients.
K8S - Rancher et vulnérabilités du gouvernail
CVE-2022-31247 - Cette vulnérabilité d'escalade de privilèges Rancher affecte les versions 2.5.15 et 2.6.6 incluses. L'exploitation de cette vulnérabilité permet à un attaquant d'obtenir les droits de propriétaire sur d'autres projets au sein de son cluster ou d'un autre projet dans un cluster en aval.
CVE-2021-36783 - Les versions de Rancher jusqu'à 2.5.12 et 2.6.3 contiennent un bogue de divulgation d'informations qui permet la divulgation en clair d'informations sensibles par le biais d'une mauvaise vérification des réponses aux modèles.
CVE-2022-36049 - Ce bogue dans le SDK Helm affecte flux2 v0.0.17 jusqu'à v0.32.0 et helm-controller v0.0.4 jusqu'à v0.23.0. Ces services sont vulnérables à une attaque par déni de service due à une privation de ressources en raison d'un bogue de validation d'entrée qui peut amener le périphérique hôte à manquer de mémoire.
Commentaires