Le 13 juillet, Zimbra a publié un avis de sécurité alertant de l’existence d’une vulnérabilité affectant sa solution Collaboration Suite dans la version 8.8.15
Cette vulnérabilité permet à un attaquant de réaliser une injection de code indirecte (XSS) pour porter atteinte à …
Source de l’article sur CERT-FR
Dans le cadre de son Patch Tuesday, en date du 11 juillet 2023, Microsoft a indiqué l’existence d’une vulnérabilité référencée CVE-2023-36884 [1] au sein de plusieurs versions de Windows et produits Office. Un score CVSSv3 de 8.3 lui a été …
Source de l’article sur CERT-FR
La découverte d’une vulnérabilité affectant le logiciel MOVEit Transfer de Progress Software, le 31 mai 2023, avait conduit le CERT-FR à publier des éléments d’information dans le bulletin d’actualité CERTFR-2023-ACT-025.
L’objet de cette alerte CERTFR-2023-ALE-005 est de faire le …
Source de l’article sur CERT-FR
Le 12 juin 2023, Fortinet a publié un avis de sécurité concernant la vulnérabilité CVE-2023-27997. Celle-ci permet à un attaquant non authentifié d’exécuter du code arbitraire à distance sur des produits Fortinet qui proposent une fonctionnalité de VPN SSL.
Dans une …
Source de l’article sur CERT-FR
Conversion chaîne en énumération – CVE-2020-36620 (50 Go): Découvrez comment convertir une chaîne en énumération avec 50 Go de données à l’aide de CVE-2020-36620.
## Discuter de la vulnérabilité CVE-2020-36620 et voir comment un package NuGet pour convertir une chaîne en énumération peut rendre une application C# vulnérable aux attaques DoS
En tant qu’informaticien enthousiaste, je vais discuter de la vulnérabilité CVE-2020-36620 et voir comment un package NuGet pour convertir une chaîne en énumération peut rendre une application C # vulnérable aux attaques DoS.
Imaginons une application serveur qui interagit avec un utilisateur. Dans l’un des scénarios, l’application reçoit des données de l’utilisateur sous forme de chaîne et les convertit en éléments d’énumération (chaîne -> énumération).
Le package NuGet en question est conçu pour faciliter ce processus de conversion. Cependant, le package ne vérifie pas si la chaîne reçue est valide et peut donc être exploité par un attaquant pour provoquer un déni de service. Lorsqu’un attaquant envoie une chaîne qui n’est pas valide, le package tente de convertir la chaîne en énumération et cela peut entraîner une exception et un plantage de l’application.
Pour résoudre ce problème, nous devons vérifier que la chaîne reçue est valide avant de l’utiliser. Nous pouvons le faire en utilisant le code C # pour vérifier si la chaîne est comprise dans l’énumération. Si ce n’est pas le cas, nous pouvons alors retourner une erreur à l’utilisateur et éviter ainsi tout plantage de l’application.
En résumé, le package NuGet pour convertir une chaîne en énumération peut être exploité par un attaquant pour provoquer un déni de service. Pour éviter cela, nous devons vérifier que la chaîne reçue est valide avant de l’utiliser. Nous pouvons le faire en codant une fonction qui vérifie si la chaîne est comprise dans l’énumération et retourne une erreur à l’utilisateur si ce n’est pas le cas. En appliquant cette méthode, nous pouvons éviter les attaques DoS et assurer la sécurité de notre application.
En date du 14 mars 2023, lors de sa mise à jour mensuelle, Microsoft a indiqué l’existence d’une vulnérabilité CVE-2023-23397 affectant diverses versions du produit Outlook pour Windows qui permet à un attaquant de voler les authentifiants …
Source de l’article sur CERT-FR
Le 07 mars 2023, Fortinet a publié un avis de sécurité détaillant l’existence d’une vulnérabilité de type traversée de chemin (path traversal) permettant à un attaquant authentifié avec un compte à privilèges de lire et d’écrire des fichiers arbitrairement au travers de l’interface …
Source de l’article sur CERT-FR
Le 03 février 2023, le CERT-FR a pris connaissance de campagnes d’attaque ciblant les hyperviseurs VMware ESXi dans le but d’y déployer un rançongiciel.
Dans l’état actuel des investigations, ces campagnes d’attaque semblent exploiter …
Source de l’article sur CERT-FR
Le 13 décembre 2022, Citrix a indiqué avoir connaissance d’une vulnérabilité de type jour-zéro (zero-day) affectant les produits Citrix ADC et Citrix Gateway. Cette vulnérabilité, immatriculée CVE-2022-27518, permet à un attaquant à distance et non authentifié d’exécuter du code …
Source de l’article sur CERT-FR
Le 12 décembre 2022, l’éditeur Fortinet a publié un avis de sécurité mentionnant une vulnérabilité critique dans son produit FortiOS SSL-VPN. Cette vulnérabilité de débordement de tas permet à un attaquant distant non authentifié d’exécuter du code ou des commandes arbitraires via …
Source de l’article sur CERT-FR
