Technologie : Augmentation des CVEs et l’importance des stratégies de sécurité ciblées
Au cours des sept premiers mois de 2024, le nombre de vulnérabilités et d’expositions communes (CVE) nouvellement révélées a connu une hausse de 30 % par rapport à l’année précédente, passant de 17 114 à 22 254, selon des données fournies par les chercheurs de Qualys.
Cependant, parmi cette multitude de failles, seulement 204, soit 0,9 %, ont été exploitées par des acteurs malveillants. La majorité de ces attaques ciblent des applications accessibles au public ou des services à distance, qui sont essentiels pour obtenir un accès initial et effectuer des mouvements latéraux dans les systèmes.
Bien que cette statistique puisse sembler rassurante à première vue, elle n’offre qu’un répit limité aux professionnels de la cybersécurité. En effet, ces vulnérabilités représentent toujours une menace significative et nécessitent des mesures défensives de plus en plus ciblées.
« Cette fraction minuscule de vulnérabilités est à l’origine des menaces les plus graves. Ce sous-ensemble représente le risque le plus élevé, caractérisé par des exploits armés, une exploitation active via des ransomwares, l’utilisation par des acteurs malveillants, des logiciels malveillants ou des cas d’exploitation confirmés », a déclaré Saeed Abbasi, responsable produit de l’unité de recherche sur les menaces (TRU) de Qualys.
« Pour atténuer efficacement ces menaces, il est crucial de prioriser les vulnérabilités activement exploitées, d’exploiter l’intelligence des menaces et de programmer régulièrement des analyses pour détecter de nouvelles vulnérabilités. Un outil de gestion des vulnérabilités intégrant l’intelligence des menaces pourrait s’avérer essentiel pour une entreprise », a-t-il ajouté.
Vulnérabilités les plus exploitées en 2024
Selon l’analyse de Qualys, les vulnérabilités les plus exploitées jusqu’à présent en 2024 sont les suivantes :
- CVE-2024-21887, une faille d’injection de commande dans Ivanti Connect et Policy Secure Web ;
- CVE-2023-46805, une faille de contournement d’authentification à distance dans Ivanti Connect et Policy Secure Web ;
- CVE-2024-21412, une faille de contournement de fonctionnalité de sécurité dans Microsoft Windows ;
- CVE-2024-21893, une faille d’élévation de privilèges dans Ivanti Connect et Policy Secure Web ;
- CVE-2024-3400, une faille d’injection de commande dans Palo Alto Networks PAN-OS ;
- CVE-2024-1709, une faille de contournement d’authentification dans ConnectWise ScreenConnect ;
- CVE-2024-20399, une faille d’injection de commande dans l’interface de ligne de commande de Cisco NX-OS Software ;
- CVE-2024-23897, une faille d’exécution de code à distance dans Jenkins Core ;
- CVE-2024-21762, une faille d’écriture hors limites dans Fortinet FortiOS ;
- CVE-2023-38112, une faille de spoofing de plateforme MSHTML dans Microsoft Windows.
À l’exception de la vulnérabilité de Jenkins Core, toutes les failles du top 10 de Qualys figurent également dans le catalogue des vulnérabilités exploitées connues (KEV) de l’Agence de cybersécurité et de sécurité des infrastructures des États-Unis (CISA), qui impose des correctifs à l’ensemble des organismes gouvernementaux américains.
De nombreuses vulnérabilités, notamment celles des produits d’Ivanti et de ConnectWise ScreenConnect, ont déjà été au cœur de certains des incidents de cybersécurité les plus marquants de l’année. La dernière vulnérabilité de la liste, concernant la plateforme MSHTML de Windows, n’a été révélée que récemment lors de la mise à jour de Patch Tuesday de juillet. Bien qu’elle ait probablement été exploitée depuis 2023, sa présence dans le top 10 de Qualys sert d’avertissement aux administrateurs sur la rapidité avec laquelle les acteurs malveillants exploitent les vulnérabilités publiées.
Vulnérabilités anciennes : un retour inattendu
La tendance générale à la hausse des volumes de CVE souligne une « escalade persistante et substantielle » dans la découverte de vulnérabilités, a expliqué Abbasi.
« L’augmentation des CVEs reflète la complexité croissante des logiciels et l’utilisation plus large de la technologie, nécessitant des stratégies de gestion des vulnérabilités avancées et dynamiques pour atténuer les menaces évolutives en matière de cybersécurité », a-t-il ajouté.
Cependant, l’analyse de la TRU de Qualys a également révélé une augmentation de l’armement des anciennes CVEs cette année. Bien que les anciennes failles refassent souvent surface et que des exploits soient développés longtemps après leur divulgation, il y a eu une augmentation de 10 % de ce type d’activité jusqu’à présent cette année. Abbasi a souligné que cela était un « rappel frappant » que la sécurité ne consiste pas seulement à devancer les acteurs malveillants, mais aussi à ne pas rester à la traîne.
De nombreuses vulnérabilités anciennes armées en circulation ont été tendance sur le dark web pendant des mois, un exemple marquant étant la CVE-2023-43208 dans NextGen Mirth Connect Java XStream, largement utilisée par le secteur de la santé. De plus, cette semaine, la CISA a ajouté un bug d’exécution de code à distance vieux de six ans dans Microsoft COM au catalogue KEV, après que des chercheurs de Cisco Talos l’ont trouvé exploité par un APT chinois dans une chaîne d’attaque contre une victime taïwanaise.
« Ce retour des vulnérabilités précédemment identifiées, qui touchent principalement les services à distance et les applications accessibles au public, met en lumière un manque significatif dans la mise à jour et l’application des protocoles de cybersécurité. Cette réémergence souligne la nécessité de passer d’une posture de sécurité purement réactive à une approche plus proactive, prédictive et préventive », a conseillé Abbasi.
