Bulletin d'actualité CERTFR-2025-ACT-001
ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 6 janvier 2025.
L'essentiel
- Le 17 décembre 2024, Synacor a publié une mise à jour de Zimbra corrigeant notamment une vulnérabilité de type injection SQL ne disposant pas pour l'heure d'identifiant CVE.
- Le 10 décembre 2024, Microsoft a rendu publiques les vulnérabilités CVE-2024-49113 et CVE-2024-49112 affectant le service LDAP de Windows Server.
- Le 3 janvier 2025, des chercheurs ont publié une preuve de concept pour la vulnérabilité CVE-2024-49113, permettant de réaliser un déni de service dans certaines conditions.
- Dans la période du 30 décembre 2024 au 05 janvier 2025, le CERT-FR a émis les publications suivantes : CERTFR-2025-AVI-0002 : Multiples vulnérabilités dans le noyau Linux de Debian LTS
Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (ANSSI, Licence Ouverte / Etalab 2.0).
Texte officiel intégral
Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
Ce bulletin d’actualité du CERT-FR revient sur les vulnérabilités significatives de la semaine passée pour souligner leurs criticités. Il ne remplace pas l’analyse de l’ensemble des avis et alertes publiés par le CERT-FR dans le cadre d’une analyse de risques pour prioriser l’application des correctifs.
Toutes les vulnérabilités évoquées dans les avis du CERT-FR doivent être prises en compte et faire l’objet d’un plan d’action lorsqu’elles génèrent des risques sur le système d’information.
Veuillez-vous référer aux avis des éditeurs pour obtenir les correctifs.
Injection SQL dans Synacor Zimbra Collaboration
Le 17 décembre 2024, Synacor a publié une mise à jour de Zimbra corrigeant notamment une vulnérabilité de type injection SQL ne disposant pas pour l'heure d'identifiant CVE. Le CERT-FR a connaissance de l'exploitation de cette vulnérabilité.
CVE-2024-49113 : Vulnérabilité dans windows LDAP
Le 10 décembre 2024, Microsoft a rendu publiques les vulnérabilités CVE-2024-49113 et CVE-2024-49112 affectant le service LDAP de Windows Server. Le 3 janvier 2025, des chercheurs ont publié une preuve de concept pour la vulnérabilité CVE-2024-49113, permettant de réaliser un déni de service dans certaines conditions.
Liens :
La mise à jour d'un produit ou d'un logiciel est une opération délicate qui doit être menée avec prudence. Il est notamment recommandé d'effectuer des tests autant que possible. Des dispositions doivent également être prises pour garantir la continuité de service en cas de difficultés lors de l'application des mises à jour comme des correctifs ou des changements de version.
Rappel des publications émises
Dans la période du 30 décembre 2024 au 05 janvier 2025, le CERT-FR a émis les publications suivantes :
- CERTFR-2025-AVI-0002 : Multiples vulnérabilités dans le noyau Linux de Debian LTS
Fin du texte officiel repris
Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cert.ssi.gouv.fr/actualite/CERTFR-2025-ACT-001/
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Quand les sources ont-elles publié ?
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.