VMware, F5, Mirth Connect : la série des vulnérabilités critiques continue

La litanie des vulnérabilités critiques découvertes en 2023 et susceptibles de conduire à une importante compromission se poursuit.

VMware vient ainsi de sonner le tocsin sur la CVE-2023-34048. Associée à un score de sévérité CVSSv3 de 9,8, elle affecte vCenter Server dans ses versions 7.0 et 8.0 ainsi que VMware Cloud Fondation 5.x et 4.x.

Selon l’éditeur, « un acteur malveillant disposant d’un accès réseau à vCenter Server peut déclencher une écriture hors limites conduisant potentiellement à l’exécution de code à distance ». Les correctifs sont disponibles. Pour VMware, « en langage ITIL, cela serait considéré comme un changement d’urgence, et votre organisation devrait envisager d’agir rapidement ».

Parallèlement l’éditeur a mis à jour son alerte pour la CVE-2023-34051, affectant vRealize Log Insight et dévoilée le 19 octobre, pour tenir compte de la disponibilité d’un démonstrateur d’exploitation. 

Les utilisateurs de systèmes F5 BIG-IP ont également droit à leur vulnérabilité critique, avec la CVE-2023-46747 : « cette vulnérabilité peut permettre à un attaquant non authentifié disposant d’un accès réseau au système BIG-IP via le port de gestion et/ou des adresses IP propres d’exécuter des commandes système arbitraires ». Les versions concernées sont : 13.1.0 à 13.1.5, 14.1.0 à 14.1.5, 15.1.0 à 15.1.1.0, 16.1.0 à 16.1.4, et 17.1.0. La vulnérabilité s’est vue attribuer un score de sévérité de 9,8.

Et à cela s’ajoute la CVE-2023-43208 qui concerne plus particulièrement le monde de la santé : elle affecte la plateforme d’intégration de données open source Mirth Connect de NextGen HealthCare. En France, 22 instances sont recensées par le moteur de recherche spécialisé Shodan. Là encore, un correctif est disponible. 

Enfin, si la CVE-2023-4966 affectant Citrix Gateway a initialement été exploitée comme une vulnérabilité inédite, ou 0day, les choses pourraient rapidement changer : un démonstrateur d’exploitation est désormais disponible publiquement.