100 000 entreprises potentiellement vulnérables à une faille de sécurité critique

Une nouvelle faille de sécurité critique a été corrigée par Progress Software dans ses produits “LoadMaster “Multi-Tenant Hypervisor”. 100 000 entreprises sont potentiellement vulnérables. Faisons le point.

Faille de sécurité critique dans les produits Progress Software

Ces dernières années, le produit MOVEit Transfer de Progress Software a été impacté à plusieurs reprises par des failles de sécurité importantes. Mais, cette fois-ci, ce sont des produits de chez Kemp, une entreprise acquise par Progress Software il y a quelques années, qui sont concernés.

Vulnérabilité CVE-2024-7591 : un danger potentiel

Associée à la référence CVE-2024-7591, cette faille de sécurité majeure (score CVSS de 10 sur 10) est présente dans les produits LoadMaster et Multi-Tenant Hypervisor de l’éditeur. À en croire que le site de Progress Software, il s’agit d’une solution populaire puisqu’il y aurait plus de 100 000 déploiements à l’échelle mondiale. Elle est notamment utilisée pour effectuer de l’équilibrage de charge sur un service ou une application.

Comment se protéger ?

En exploitant cette vulnérabilité, un attaquant non authentifié peut exécuter des commandes système à distance. Pour cela, il doit émettre une requête HTTP spécifique sur l’interface de management de la solution LoadMaster.

Des patchs de sécurité sont disponibles depuis le 3 septembre 2024. “Cette vulnérabilité a été comblée par l’assainissement des entrées utilisateur afin d’éviter l’exécution de commandes système arbitraires.”, peut-on lire dans le bulletin de sécurité.

Versions affectées et correctifs disponibles

En ce qui concerne les versions affectées, voici ce qu’il faut savoir :

• LoadMaster : 7.2.60.0 et toutes les versions antérieures
• Multi-Tenant Hypervisor : 7.1.35.11 et toutes les versions antérieures

Le bulletin de sécurité contient des liens de téléchargement vers les paquets de mise à jour. “Le module d’extension peut être installé sur n’importe quelle version du LoadMaster, même si le support de l’unité a expiré.”, peut-on lire. Il peut être installé sur toutes les instances, peu importe la version majeure utilisée. Néanmoins, ce correctif ne serait pas disponible pour la version gratuite de LoadMaster, ce qui pose un problème de sécurité important.

Pour le moment, cette vulnérabilité ne serait pas exploitée dans le cadre d’attaques, mais la situation pourrait évoluer. A suivre.

Source : www.it-connect.fr