NOVEMBRE 2024
CVE-2024-XXXXX – Contournement du compte utilisateur désactivé/expiré
Une vulnérabilité CRITIQUE (notée 9.1 : CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L) a été découverte dans WALLIX Bastion et WALLIX Access Manager. Un numéro CVE a été demandé et nous attendons actuellement son attribution.
Résumé
|
Produit
|
Fonctionnalité
|
Détails de la vulnérabilité
|
Impact
|
Comment vérifier si j’utilise cette fonction ?
|
|
WALLIX Bastion
|
Authentification de l’utilisateur à l’aide d’une clé SSH stockée dans LDAP ou Active Directory
|
WALLIX Bastion ne vérifie pas les drapeaux Expiré ou Désactivé.
|
L’utilisateur peut s’authentifier sur le Bastion WALLIX et accéder à ses cibles SSH.
|
Dans Configuration > Domaines d’authentification > Active Directory ou LDAP, l’attribut de la clé publique SSH est défini.
|
|
WALLIX Bastion
|
Authentification de l’utilisateur à l’aide d’un certificat X.509 stocké dans LDAP ou Active Directory
|
WALLIX Bastion ne vérifie pas les drapeaux Expiré ou Désactivé.
|
L’utilisateur peut s’authentifier sur l’interface graphique de WALLIX Bastion et accéder à ses cibles.
|
Les deux conditions ci-dessous sont remplies :
|
|
Gestionnaire d’accès WALLIX
|
Authentification de l’utilisateur à l’aide d’un certificat X.509 stocké dans Active Directory
|
WALLIX Access Manager ne vérifie pas les drapeaux expirés.
|
L’utilisateur peut être en mesure de s’authentifier sur l’interface graphique du gestionnaire d’accès WALLIX et d’accéder à ses cibles.
|
Dans l’organisation globale, Configuration > Domaines > Sélectionner un domaine LDAP, Autoriser X509 Cert. Authentification est vérifié
|
Note : WALLIX Access Manager ne supporte pas l’authentification des utilisateurs avec un certificat X.509 stocké dans LDAP.
Note : WALLIX Access Manager ne permet pas l’authentification des utilisateurs avec une clé SSH.
Remarque : Les informations d’identification de l’utilisateur (clé privée SSH ou clé privée X.509 associée au certificat) doivent être valides.
WALLIX recommande d’appliquer immédiatement les correctifs publiés ou, avant qu’ils ne soient appliqués, les solutions de contournement décrites ci-dessous.
Produits concernés
Bastion :
-
Toutes les versions de WALLIX Bastion 12.0 jusqu’à 12.0.3 incluses
-
Tous les WALLIX Bastion 11.0
-
Tous les WALLIX Bastion 10.1, 10.2, 10.3, 10.4
-
Tous les WALLIX Bastion 10.0 jusqu’à 10.0.9 inclus
-
Tous les WALLIX Bastion 9.0, 9.1
-
Tous les WALLIX Bastion précédents peuvent être affectés.
Gestionnaire d’accès :
-
WALLIX Access Manager 5.1.0
-
Toutes les versions de WALLIX Access Manager 5.0
-
Toutes les versions de WALLIX Access Manager 4.4
-
Toutes les versions de WALLIX Access Manager 4.0 jusqu’à 4.0.7 incluses
-
Toutes les versions précédentes de WALLIX Access Manager peuvent être affectées.
Indicateur de compromis
Vérifiez le journal d’authentification sur WALLIX Bastion et WALLIX Access Manager pour vous assurer qu’aucun compte désactivé ou expiré n’a été utilisé.
Solutions de rechange
Compte expiré et désactivé :
Pour WALLIX Bastion et WALLIX Access Manager, supprimez la clé SSH ou le hachage du certificat stocké dans le compte utilisateur Active Directory ou LDAP.
Le certificat X.509 peut également être révoqué si les CRL sont correctement configurées dans WALLIX Bastion et WALLIX Access Manager.
Compte désactivé uniquement :
Si vous ne pouvez pas supprimer les clés SSH ou le certificat X.509 dans Active Directory :
-
WALLIX Bastion, allez dans Configuration > Options de configuration > Global > (Options avancées) > Attributs Ldap et ajoutez :
-
“userAccountControl” pour Active Directory
-
“krbPasswordExpiration” pour FreeIPA.
-
-
WALLIX Access Manager n’est pas concerné par cette vulnérabilité.
Logiciel fixe
-
WALLIX Bastion 12.0.4, disponible dès maintenant https://updates.wallix.com/bastion/bastion-12.0.4.iso
-
WALLIX Access Manager 5.1.1, disponible dès maintenant https://updates.wallix.com/accessmanager/accessmanager-5.1.1.1.iso
-
WALLIX Bastion 10.0.10, disponible le 22 novembre
-
WALLIX Access Manager 4.0.8, disponible le 22 novembre
Exploitation et annonces publiques
WALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis.
Toutefois, il est recommandé de rechercher toute activité anormale sur les bastions WALLIX.
DÉCEMBRE 2023
Divulgation potentielle d’informations sensibles CVE-2023-49961
RESUME Une vulnérabilité a été découverte dans les produits WALLIX qui pourrait permettre à un attaquant d’accéder à des informations sensibles. L’attaquant pourrait utiliser cette vulnérabilité pour obtenir des accès illégitimes. WALLIX recommande d’appliquer immédiatement les correctifs publiés, ou avant qu’ils ne soient appliqués, la solution de contournement décrite ci-dessous. Produits concernés Toutes les versions supportées de WALLIX Bastion et Access Manager en tant qu’appliance. Solutions de contournement L’article suivant de notre base de connaissances vous fournit la procédure d’atténuation.
- Access Manager As Appliance : https://wallix.lightning.force.com/lightning/r/Knowledge__kav/ka0Sb00000007O5IAI/view
- Bastion : https://wallix.lightning.force.com/lightning/r/Knowledge__kav/ka0Sb00000005irIAA/view
Les versions corrigées des logiciels et les correctifs sont disponibles sur notre portail de téléchargement :
-
Bastion 9.0.9 : https://cloud.wallix.com/index.php/s/DBkJWdtsPjW7BSn (SHA256 : dc5e3fda310a94cd54835800718cc1ec02084a126f79c82dde465eff40d698a4 )
-
Bastion 10.0.5 : https://cloud.wallix.com/index.php/s/PYjdncJSTaEBRSg (SHA256 : 65cdc9b49dfa2160a4a8489fd1c61cad1a48444dbb86cb4a9ac0f4ff527d1197 )
Exploitation et annonces publiques WALLIX n’a pas connaissance d’annonces publiques ou d’utilisation malveillante de la vulnérabilité décrite dans cet avis.
Cependant, il est recommandé de rechercher toute activité anormale sur les Bastions WALLIX et WALLIX Access Manager.
Il est également recommandé de s’assurer que les pare-feu des Bastions et du Gestionnaire d’accès sont activés.
FÉVRIER 2023
Élévation des privilèges d’Access Manager CVE-2023-23592
Février 2023Élévation des privilèges d’Access Manager CVE-2023-23592RÉSUMÉ
Une vulnérabilité a été découverte dans le produit WALLIX Access Manager qui peut permettre à un attaquant d’accéder à des informations sensibles. L’attaquant pourrait utiliser cette vulnérabilité pour obtenir des accès illégitimes. WALLIX recommande d’appliquer immédiatement les correctifs publiés, ou avant qu’ils ne soient appliqués, la solution de contournement décrite ci-dessous.Produits concernésToutes les versions de WALLIX Access Manager.Solutions de contournement L’article suivant de notre base de connaissances vous fournit la procédure de contournement. https://support.wallix.com/s/article/How-can-I-mitigate-CVE-2023-23592
Logiciels corrigésLes versions hotfixes sont disponibles sur notre portail de téléchargement : – Version 3.0.16 – Version 4.0.3Exploitation et annonces publiques
WALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis. Cependant, il est recommandé de rechercher toute activité anormale sur les Bastions WALLIX qui sont connectés à WALLIX Access Manager. Il est notamment recommandé de rechercher des adresses IP inhabituelles utilisées par des utilisateurs privilégiés et susceptibles d’être utilisées par plusieurs comptes d’utilisateurs.
Source d’informationContrôles de sécurité internes
DÉCEMBRE 2021
Vulnérabilité d’exécution de code à distance dans Log4J (CVE-2021-44228)
RESUME L’équipe de sécurité d’Alibaba Cloud a publié le 9 décembre 2021 une vulnérabilité dans log4j, une bibliothèque de journalisation Java commune. (CVE-2021-44228) Cette vulnérabilité permet l’exécution de code à distance non authentifié sur les applications Java. Produits concernés Toutes les versions de WALLIX Access Manager Solutions de contournement La configuration par défaut de WALLIX Access Manager empêche l’exploitation de ladite vulnérabilité sur le champ de connexion. Cependant, afin d’éviter toute possibilité d’exploitation en cas de modification de la configuration par défaut du WALLIX Access Manager, l’équipe WALLIX propose un correctif qui désactive la classe défectueuse de la bibliothèque log4j. Ce correctif s’applique à toutes les versions d’Access Manager à partir de la version 2.0. L’article suivant de notre base de connaissances vous donne accès au patch ainsi qu’à la procédure pour l’installer. https://support.wallix.com/s/article/CVE-2021-44228-Mitigation-procedureFixed Software Une mise à jour de la version de Log4J est prévue en même temps que la version 3.0.11 de l’Access Manager. La sortie de cette version est prévue pour la fin du mois de décembre 2021. Exploitation et annonces publiques WALLIX n’a pas connaissance d’annonces publiques ou d’utilisation malveillante de la vulnérabilité décrite dans cet avis. Cependant, il est recommandé de rechercher toute activité anormale sur les Bastions WALLIX qui sont connectés à WALLIX Access Manager. Il est notamment recommandé de rechercher la création de nouveaux utilisateurs ou autorisations, en particulier depuis la publication du CVE Source L ‘équipe de sécurité d’Alibaba Cloud a publié une vulnérabilité dans log4j, une bibliothèque de journalisation Java commune, le 9 décembre 2021. (CVE-2021-44228)
JANVIER 2021
Escalade de privilèges Sudo affectant les produits WALLIX – CVE-2021-3156
RÉSUMÉ
L’équipe de recherche Qualys a découvert une vulnérabilité de type débordement de tas dans sudo (CVE-2021-3156). Un utilisateur local non privilégié peut obtenir les privilèges de root sur un hôte vulnérable utilisant une configuration sudo par défaut en exploitant cette vulnérabilité. sudo ne peut être exploité que localement. Cela signifie que soit :
- L’utilisateur est connecté sur le Bastion WALLIX, via le compte wabadmin, sur l’interface d’administration. Cet utilisateur peut alors exploiter sudo pour devenir root et contourner toutes les sécurités de WALLIX Bastion.
- Une vulnérabilité d’exploitation de code à distance (RCE) existe dans un autre élément du logiciel WALLIX ou d’une tierce partie, qui fournit un shell local. Après avoir réussi à exploiter cette vulnérabilité, l’attaquant sera en mesure d’exploiter sudo pour devenir root. À la connaissance de WALLIX, un Bastion à jour ne présente pas cette vulnérabilité.
Produits concernés
- Toutes les versions antérieures à WALLIX Bastion 8.0.6 (incluse)
- Toutes les versions 8.1 et 8.2
Solutions de rechange
Il n’existe pas de solution de contournement à cette vulnérabilité.
Logiciel fixe
Cette vulnérabilité est corrigée à partir de WALLIX Bastion 8.0.7 et 7.0.14.
- Un correctif est disponible pour les versions 8.0.6 et antérieures (il s’applique aux versions 8.1 et 8.2).
- Un correctif est disponible pour les versions 7.0.13 et antérieures.
Ces éléments sont disponibles sur notre site de téléchargement : Support WALLIX : Patchs
Exploitation et annonces publiques
WALLIX n’a pas connaissance d’annonces publiques ou d’utilisations malveillantes de la vulnérabilité décrite dans cet avis.
Source
Le 26 janvier 2021, Qualys a rendu publique cette vulnérabilité dans un bulletin de sécurité à l’adresse suivante : https://blog.qualys.com
WALLIX SUPPORT & SERVICES
SUIVEZ-NOUS
