Pentest
Nos experts réalisent des opérations techniques avancées comme des tests d’intrusion simulant des opérations de cyber espionnage sous contrat hacker éthique. Ces simulations peuvent être :
- Restreintes à une application particulière afin de découvrir toute vulnérabilité permettant de s’octroyer des droits particuliers, d’accéder à des données sensibles, etc.
- Étendues à tout le réseau et l’infrastructure interne et/ou externe afin d’analyser la surface d’exposition, trouver les points faibles de l’infrastructure et montrer comment un attaquant trouverait puis mettrait en relation plusieurs vulnérabilités afin de compromettre le réseau et ses données.
Afin d’illustrer, voici quelques exemples de thématiques et d’environnements abordés ces dernières années lors de projets de blindage numérique ou d’évaluations de sécurité au travers notamment de tests d’intrusion :
- Menace persistante avancée (APT Advanced Persistent Threat) & Hacking en profondeur
- Exfiltration de données sensibles en dehors de l’infrastructure au-delà des proxies, DLP, etc.
- Serveurs, postes de travail, applications, Active Directory Windows, UNIX, etc.
- Applications WEB, APIs, Environnements docker, Applications cloud (AWS, kubernetes, etc.)
- Limites des outils de protection : antivirus, firewall, anti-spyware, proxy, NAC, etc.
- SCADA (usines), supercomputing (infrastructures), CCTV (caméras réseaux)
- LAN, DMZ, VPN, WEB, VoIP, Wi-Fi bases de données, etc.
- Gestion de flotte de mobiles et tablettes (MDM : Mobile Device Management)
- Infrastructures old-school PBX – PABX
Quelques exemples de vulnérabilités découvertes par TEHTRIS, partagées en direct avec les constructeurs concernés
[MISP]
CVE-2021-36212 : Stored XSS sur MISP < 2.4.146
MISP avant la version 2.4.146 est impacté par une vulnérabilité de type stored XSS via le menu « groupes de partage »
https://github.com/MISP/MISP/commit/01521d614cb578de75a406394b4f0426f6036ba7
[The Plus Addons]
CVE-2021-24351 The Plus Addons pour Elementor < 4.1.12 - Reflected Cross-Site Scripting (XSS)
L’action AJAX theplus_more_post du plugin ne vérifiait pas correctement certains de ses champs, ce qui entraînait une attaque de type Cross-Site Scripting (exploitable pour les utilisateurs authentifiés et non authentifiés).
[The Plus Addons]
CVE-2021-24359 The Plus Addons pour Elementor Page Builder < 4.1.11 - Réinitialisation arbitraire du mot de passe pour l'envoi d'un mail
Le plugin ne vérifiait pas correctement qu’un utilisateur demandant une réinitialisation de mot de passe était l’utilisateur légitime, ce qui permettait à un attaquant d’envoyer un mail arbitraire de réinitialisation de mot de passe à un utilisateur enregistré au nom du site WordPress. Ce problème pouvait être enchaîné avec une redirection ouverte (https://wpscan.com/vulnerability/fd4352ad-dae0-4404-94d1-11083cb1f44d) dans les versions inférieures à 4.1.10, afin d’inclure un lien de réinitialisation du mot de passe dans l’e-mail, ce qui conduisait à une prise de contrôle du compte.
[The Plus Addons]
CVE-2021-24358 The Plus Addons pour Elementor Page Builder < 4.1.10 - Redirection ouverte
Le plugin ne validait pas un paramètre de redirection sur une URL spécifiquement conçue avant de rediriger l’utilisateur vers celle-ci, ce qui entraînait un problème de redirection ouverte.
[Tenable]
CVE-2021-20076 Vulnérabilité de type execution de code à distance sur la console Tenable
Les versions 5.13.0 à 5.17.0 de Tenable.sc et Tenable.sc Core contiennent une vulnérabilité pouvant permettre à un utilisateur non privilégié et authentifié de réaliser une exécution de code à distance (RCE) sur le serveur Tenable.sc via la désérialisation du préprocesseur hypertexte.
[SolarWinds]
CVE-2020-35482 Vulnérabilité Reflective XSS sur Serv-U
L’URL des détails de partage du client Web était vulnérable à une attaque XSS. Un attaquant pouvait effectuer une ingénierie sociale et se faire passer pour un utilisateur authentifié.
[SolarWinds]
CVE-2020-35481 & CVE-2021-3154 Vulnérabilité Macro Injection sur Serv-U
SolarWinds Serv-U avant 15.2.2 permet l’injection de macros non authentifiées. Ces deux vulnérabilités permettent à un attaquant non authentifié de récupérer les mots de passe des utilisateurs en clair.
[BITEFENDER] CVE-2020-8097 : Faille critique dans l'outils de sécurité Bitdefender Endpoint pour Windows ; Bitdefender Endpoint Security SDK
Une vulnérabilité de type “search path” non fiable dans le fichier product.console.exe, telle qu’implémentée dans les outils de sécurité Bitdefender Endpoint pour Windows et le Endpoint Security SDK, permet à un attaquant local d’effectuer une escalade de privilèges.
Ce problème affecte les versions de Bitdefender Endpoint Security Tools pour Windows antérieures à 6.6.18.261 ; les versions du Endpoint Security SDK antérieures à 6.6.18.261.
[PAESSLER PRTG Network Monitor] CVE-2020-10374 Vulnérablité de type execution de code à distance sur PRTG Network Monitor
Un composant serveur web dans Paessler PRTG Network Monitor 19.2.50 à PRTG 20.1.56 permet l’exécution de commandes à distance non authentifiées via une requête POST élaborée ou le paramètre “what” de la fonction de capture d’écran dans le formulaire de contact du support.
Référence : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-10374
https://www.paessler.com/prtg/history/stable
[Oracle] Risque d’attaques d’ERP
CVE-2018-2991 Vulnérabilité dans le composant "Oracle Trade Management" de Oracle E-Business Suite
Une vulnérabilité permet à un attaquant non authentifié avec un accès réseau via HTTP de compromettre le composant “Oracle Trade Management” de Oracle eBusiness Suite. L’attaque nécessite une interaction humaine et bien que la vulnérabilité soit dans le composant “Oracle Trade Management”, l’attaque impacte d’autres composants de manière significative. L’exploitation de cette vulnérabilité donne un accès non autorisé à des données critiques, voire un accès complet à toutes les données accessibles par le module “Oracle Trade Management” ainsi que des accès non autorisés en lecture, écriture et modification aux données accessibles par le module.
Référence : https://www.oracle.com/technetwork/topics/security/cpujul2018-4258247.html
[Oracle] Risque d’attaques d’ERP
CVE-2018-2993 Vulnérabilité dans le composant "Oracle CRM Technical Foundation" de Oracle E-Business Suite
Une vulnérabilité permet à un attaquant non authentifié avec un accès réseau via HTTP de compromettre le composant “CRM Technical Foundation” de Oracle eBusiness Suite. L’attaque nécessite une interaction humaine et bien que la vulnérabilité soit dans le composant Oracle CRM Technical Foundation, l’attaque impacte d’autres composants de manière significative. L’exploitation de cette vulnérabilité donne un accès non autorisé à des données critiques, voire un accès complet à toutes les données accessibles par le module “Oracle CRM Technical Foundation” ainsi que des accès non autorisés en lecture, écriture et modification aux données accessibles par le module.
Référence : https://www.oracle.com/technetwork/topics/security/cpujul2018-4258247.html
[Oracle] Risque d’attaques d’ERP
CVE-2018-2996 Vulnérabilité dans le composant "Oracle Applications Manager" de Oracle E-Business Suite
Une vulnérabilité permet à un attaquant non authentifié avec un accès réseau via HTTP de compromettre le composant “Oracle Applications Manager” de Oracle eBusiness Suite. L’exploitation de cette vulnérabilité donne un accès non autorisé à des données critiques, voire un accès complet à toutes les données accessibles par le module “Oracle Applications Manager”.
Référence : https://www.oracle.com/technetwork/topics/security/cpujul2018-4258247.html
[Oracle] Risque d’attaques d’ERP
CVE-2018-3012 Vulnérabilité dans le composant "Oracle Trade Management" de Oracle E-Business Suite
Une vulnérabilité permet à un attaquant non authentifié avec un accès réseau via HTTP de compromettre le composant “Oracle Trade Management” de Oracle eBusiness Suite. L’attaque nécessite une interaction humaine et bien que la vulnérabilité soit dans le composant “Oracle Trade Management”, l’attaque impacte d’autres composants de manière significative. L’exploitation de cette vulnérabilité donne un accès non autorisé à des données critiques, voire un accès complet à toutes les données accessibles par le module “Oracle Trade Management” ainsi que des accès non autorisés en lecture, écriture et modification aux données accessibles par le module.
Référence : https://www.oracle.com/technetwork/topics/security/cpujul2018-4258247.html
[Alfresco] Piratage possible de documents
CVE-2014-2939 : Multiples vulnerabilités de type XSS sur Alfresco Enterprise
De multiples vulnérabilités de type cross-site scripting (XSS) dans Alfresco Entreprise avant la version 4.1.6.13 permettent aux attaquants d’injecter du contenu HTML et JavaScript arbitraire via (1) un document XHTML, (2) une balise <%, ou (3) le paramètre taskId sur share/page/task-edit.
Référence : https://www.kb.cert.org/vuls/id/537684/
[MCAFEE] Piratage possible de flottes de mobiles
CVE-2012-4587 : Vulnérabilités à distance sur McAfee Enterprise Mobility Manager
McAfee Enterprise Mobility Manager (EMM) Agent avant la version 4.8 et Server avant la version 10.1, sont vulnérables lorsque le mode de provisionnement unique (OTP) est activé. Ils dépendent indûment des enregistrements SRV DNS, ce qui facilite la découverte des mots de passe utilisateur par les pirates distants, comme le démontre un mot de passe saisi sur un périphérique iOS.
Référence : http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-4587
[Citrix] Piratage possible de flottes de mobiles
VU#584363 : Vulnérabilités CSRF dans Citrix Zenprise Device Manager
Zenprise Device Manager est un logiciel de gestion des périphériques mobiles (MDM) qui peut être utilisé pour gérer le parc de terminaux mobiles d’une entreprise. L’interface Web du gestionnaire de périphériques Zenprise est vulnérable aux attaques de falsification de requêtes intersites (CSRF). Une attaque CSRF réussie contre un utilisateur administrateur permettra à un attaquant distant d’exécuter des commandes en tant qu’administrateur sur tout périphérique géré par Zenprise Device Manager.
Référence : https://www.kb.cert.org/vuls/id/584363/
[APPLE] Failles critiques dans les téléphones, etc.
CVE-2010-1752 : Vulnérabilités à distance (Overflow) sur iPhone, iPod, MacOS (Safari) et Windows (Safari)
Il existe un dépassement de pile dans le code de gestion des URL de CFNetwork. La consultation d’un site Web construit de manière malveillante peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code. Ce problème a été résolu par une meilleure gestion de la mémoire.
Référence : https://support.apple.com/en-us/HT4225
[BLACKBERRY] Failles critiques dans les téléphones
CVE-2010-2599 : Vulnérabilités à distance sur les équipements Blackberry (Overflow)
Il existe des vulnérabilités (Overflow) dans les équipements BlackBerry de Research In Motion (RIM) avant la version 6.0.0 permettant aux attaquants distants de provoquer (au minimum) un déni de service (blocage du navigateur) via une page Web malveillante conçue pour eux.
Référence : https://support.blackberry.com/kb/articleDetail?language=en_US&articleNumber=000024841
Exemple de scénario d'attaque simulé par TEHTRIS pour identifier les risques IT chez un client
Le test est défini comme un test en boîte noire, depuis internet afin de simuler un attaquant externe. Aucune information n’est donnée mis à part les plages IPs externes de l’entreprise. En quelques jours, TEHTRIS peut :
- Faire de la reconnaissance sur les plages IP externes de l’entreprise afin d’énumérer les assets exposés (IPs, OS, Applications, domaines…)
- Trouver plusieurs vulnérabilités sur les applications exposées (pré-authentication) qui permettaient d’exécuter des commandes sur les OS en backend
- Contourner les solutions de sécurité sur les serveurs web exposés (WAF, Antivirus, firewalls …) et déployer des outils de post-exploitation afin de rebondir sur le réseau interne
- Scanner le réseau interne depuis un des serveurs web pour une phase de reconnaissance rapide
- Découvrir des vulnérabilités sur des applications internes
- Pivoter et escalader les privilèges sur le domaine Active Directory
- Obtenir les privilèges “Administrateur de domaine” sur l’Active Directory
À la fin du test, une réunion a lieu avec le client afin de discuter des différents problèmes relevés et des améliorations possibles. Un rapport détaillé contenant les vulnérabilités exploitées ainsi que des recommandations sur les patch/mitigations et améliorations à apporter à l’infrastructure sont livrés au client.
