#corrigee

Cisco UCS Performance Manager permet de collecter toutes sortes d’informations sur les serveurs, le réseau, le stockage et les machines virtuelles UCS. (crédit : Cisco)

Une vulnérabilité critique dans l’outil de gestion de la performance Unified Computing System de Cisco a été comblée. Cette dernière pourrait permettre à un attaquant distant authentifié d’exécuter des commandes.

Cisco a corrigé ce qu’il a qualifié de vulnérabilité critique dans son logiciel Unified Computing System Performance Manager. Cette faille pourrait laisser la possibilité à un utilisateur malveillant authentifié d’exécuter à distance des commandes. Toutes les versions d’UPS Performance Manager sont touchées jusqu’à la 2.0 sachant que le problème ne touche pas les versions 2.0.1 et supérieures de ce logiciel. Ce dernier permet de collecter des informations concernant les serveurs, le réseau, le stockage et les machines virtuelles.

D’après Cisco, cette vulnérabilité est due à une validation insuffisante de données entrantes effectuées sur les paramètres passant via une requête HTTP GET. Un attaquant pourrait exploiter cette vulnérabilité en envoyant des requêtes HTTP GET conçues pour un système ciblé, afin d’exécuter des commandes arbitraires dotées de privilèges d’un utilisateur possédant toutes les permissions systèmes (root). La société a proposé des mises à jour logicielles afin de résoudre cette vulnérabilité qui ne dispose pas d’autre solution de contournement, a-t-elle indiqué. Ce patch arrive après une série de correctifs de sécurité lancés par Cisco, notamment pour combler des failles dans son micrologiciel IOS embarqué dans plusieurs de ses produits réseaux – dont en particulier les routeurs NCS 6000 Series – ainsi que les serveurs de conférence web, WebEx.

Failles en série sur les équipements Cisco

Une autre faille a été corrigée dans Cisco IOS XR 6.0.1.BASE, permettant aussi à des attaquants d’exécuter des commandes arbitraires sur le système d’exploitation avec des privilèges root utilisateur. Cette dernière a été classée comme étant moyennement critique car l’attaquant a besoin d’être authentifié en tant qu’utilisateur local. Par ailleurs, une vulnérabilité DDoS a aussi été corrigée dans Cisco IOS. Elle peut être utilisée pour faire crasher des terminaux via des liens Link Layer Discovery Protocol (LLDP) spécifiques. Contrairement aux précédentes, l’exploitation de cette faille ne requiert pas d’authentification, mais nécessite que l’attaquant soit en mesure d’envoyer des paquets LLDP.

Les serveurs Meeting de Cisco ont aussi été patchés d’après IDG. Une vulnérabilité était dans l’interface HTTP de Cisco Meeting Server (anciennement Acano Conferencing Server) permettant à des attaquants de lancer des attaques XSS contre des utilisateurs de cette interface. Avec la possibilité d’exploiter cette faille en trompant les utilisateurs pour les faire cliquer sur des liens corrompus afin d’exécuter du mauvais code JavaScript dans leurs navigateurs pour leur voler les cookies d’authentification ou les forcer à effectuer des actions non autorisées.

Go to Source

Une faille découverte dans un plug-in WordPress permet à des pirates de mener une attaque persistante par cross-site scripting. (crédit : D.R.)

Une vulnérabilité XSS persistante dans l’extension All in One SEO Pack du logiciel de gestion de contenu open source WordPress a été identifiée. Il est conseillé de la mettre à jour dès que possible.

Si vous avez un site WordPress et si vous utilisez le plug-in très populaire plug-in All in One SEO Pack, vous devriez le mettre à jour sans délai. En effet, il contient une vulnérabilité XSS persistante qui peut permettre le détournement du compte administrateur du site. La dernière version livrée vendredi corrige cette vulnérabilité. La faille, localisée dans la fonction Bot Blocker du plug-in, peut être exploitée à distance par l’envoi de requêtes HTTP contenant des en-têtes spécialement conçues pour le site Web. Selon le chercheur en sécurité David Vaartjes, qui a trouvé et signalé le problème, la fonction Bot Blocker permet de détecter et de bloquer les robots spammeurs qui collectent des adresses mails en fonction des valeurs de l’user agent et de l’en-tête de référence.

Si le paramètre Track Blocked Bots est activé – il n’est pas activé par défaut – le plug-in va charger toutes les requêtes bloquées et les afficher sur une page HTML dans le panneau d’administration du site. Mais, comme le plug-in ne parvient pas à faire correctement le tri dans les requêtes avant de les afficher, les attaquants peuvent injecter du code JavaScript malveillant dans les en-têtes, et le code se retrouve finalement dans le code HTML de la page.

Un pack SEO installé plus d’un million de fois

Cela permet à des pirates de mener une attaque persistante par cross-site scripting (XSS) : à chaque fois qu’un utilisateur consulte la page du journal, le code malveillant est exécuté. Mais, parce que la page se trouve dans le panneau d’administration, l’utilisateur qui la consulte est probablement l’administrateur du site, et le code peut voler ses jetons de session. La valeur de ces jetons, stockée dans le navigateur, permet à un site Web d’identifier un utilisateur connecté. Il suffit aux attaquants d’inclure ces valeurs volées dans leurs propres navigateurs pour accéder au site Web en tant qu’administrateur sans avoir à s’authentifier. Le code malveillant peut aussi forcer le navigateur de l’administrateur à effectuer une action qu’il n’a normalement pas autorisé.

La version 2.3.7 du pack All in One SEO livrée vendredi par l’éditeur Semper Fi Web Design corrige cette vulnérabilité. Les utilisateurs sont invités à mettre leur plug-in à jour dès que possible ou au minimum de s’assurer que le paramètre Track Bloked Bots n’est pas activé. Le pack All in One SEO ajoute un grand nombre de fonctionnalités d’optimisation pour les moteurs de recherche qui permettent d’accroître la visibilité d’un site Web dans les résultats de recherche. Selon les statistiques du référentiel de plug-ins de WordPress, le pack a été installé plus d’un million de fois.

Go to Source