Ouverture · Vulnérabilités exploitées connues
La CISA ajoute à sa liste des failles exploitées des vulnérabilités critiques de Collabora Online et d'Arista VeloCloud Orchestrator, un vendredi, naturellement
Un serveur de documents et un orchestrateur SD-WAN sont désormais officiellement connus pour être attaqués, ce que les attaquants savaient déjà, puisque c'étaient eux qui s'en chargeaient.
Vendredi, la CISA a ajouté deux vulnérabilités à son catalogue Known Exploited Vulnerabilities, en invoquant des signalements d'exploitation active dans la nature. L'une touche le serveur CODE intégré de Collabora Online, l'autre Arista VeloCloud Orchestrator, et toutes deux sont jugées critiques. C'est tout ce que le dossier public nous apprend ce matin. C'est suffisant.
Aucun de ces produits n'a rien d'exotique. L'un permet d'éditer des documents à plusieurs. L'autre est un orchestrateur, un boîtier dont la fiche de poste est d'être obéi par le reste du réseau. Les attaquants convoitent les deux pour la raison même qui nous les fait déployer : beaucoup de confiance s'y concentre. Si l'orchestrateur est compromis, vous n'avez pas un équipement vulnérable. Vous avez une opinion vulnérable que partage chacun des autres équipements.
Une mise en garde issue de la lecture approfondie. Tout le week-end, le flux de notation Atlas a étiqueté des groupes de rançongiciels « KEV × ransomware fusion », ce qui laisse entendre que quelqu'un a relié ces failles à Qilin et consorts. Personne ne l'a fait. Rien dans les flux d'aujourd'hui ne rattache un groupe de rançongiciels à une CVE précise. L'étiquette de fusion est l'hypothèse du tableau de bord, pas une conclusion. Corrigez ces failles parce qu'elles sont exploitées, non parce qu'une tuile est passée à l'orange.
Pourquoi c'est importantSi vous exploitez le serveur CODE de Collabora ou un VeloCloud Orchestrator accessible à tout élément non fiable, appliquez les correctifs aujourd'hui puis recherchez des traces de compromission, dans cet ordre.