IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

SolarWinds corrige les vulnérabilités qui pourraient permettre un contrôle total du système,
Alors que les enquêteurs ont découvert ce qui semble être la cause de la dernière cyberattaque

Le , par Stan Adkens

197PARTAGES

7  0 
Les clients de SolarWinds sont invités à appliquer les nouveaux correctifs de sécurité après la découverte de trois vulnérabilités graves non divulguées auparavant, qui pourraient permettre aux attaquants d'abuser des outils d'administration informatique de l'entreprise pour prendre le contrôle des systèmes Windows. SolarWinds est la société dont l'outil de surveillance de réseau Orion a été le principal vecteur de l'une des plus graves brèches de l'histoire des États-Unis. Des attaquants ont compromis des mises à jour du produit logiciel qui ont ensuite été distribuées à 18 000 clients de la société.

Un chercheur du Trustwave SpiderLabs du nom de Martin Rakhmanov, a déclaré dans un article de blog mercredi qu'il avait commencé à analyser les produits SolarWinds peu après que FireEye et Microsoft ont signalé que des pirates informatiques avaient pris le contrôle de la chaîne d'approvisionnement de logiciels de SolarWinds et l'avaient utilisé pour distribuer des mises à jour contenant une porte dérobée aux clients d'Orion. Il ne lui a pas fallu longtemps pour trouver trois vulnérabilités, deux dans Orion et une troisième dans un produit connu sous le nom de Serv-U FTP pour Windows. Il n'y a aucune preuve qu'une de ces vulnérabilités a été exploitée dans la nature, selon le chercheur.


Trois vulnérabilités découvertes

La vulnérabilité la plus grave (suivie sous le nom de CVE-2021-25275) pourrait permettre aux attaquants d'exploiter une vulnérabilité dans la manière dont Orion fonctionne avec Microsoft Message Queue (MSMQ) - un outil qui existe depuis plus de 20 ans, mais qui n'est plus installé par défaut sur les machines Windows – pour accéder à des informations d'identification sécurisées dans le système de gestion et obtenir un contrôle complet sur l'ensemble du système Windows. Cela pourrait être utilisé pour voler des informations ou ajouter de nouveaux utilisateurs de niveau administrateur à Orion.

En fouillant dans la console de gestion de l'ordinateur Windows, Rakhmanov a rapidement obtenu les autorisations de sécurité suivantes pour l'une des dizaines de files d'attente privées qu'elle permettait. (Voir fenêtre ci-dessous)


« Il est assez difficile de passer à côté de ce bouclier d'avertissement qui montre que la file d'attente, comme toutes les autres, n'est pas authentifiée », a écrit le chercheur. « En bref, les utilisateurs non authentifiés peuvent envoyer des messages à de telles files d'attente sur le port TCP 1801. Mon intérêt a été éveillé, et je suis allé voir le code qui gère les messages entrants. Malheureusement, il s'est avéré être une victime de "désérialisation" dangereuse ».

Dans un avis de sécurité distinct publié le même jour, Trustwave SpiderLabs a décrit la faille de cette façon :

« Le "Collector Service" de SolarWinds utilise le MSMQ et ne définit pas de permissions sur ses files d'attente privées. Par conséquent, les clients distants non authentifiés peuvent envoyer des messages que le Collector Service traitera. De plus, lors du traitement de ces messages, le service les désérialise de manière non sécurisée, permettant ainsi l'exécution de code arbitraire à distance en tant que "LocalSystem" ».

La deuxième vulnérabilité d'Orion (suivie sous le nom de CVE-2021-25275) résulte du fait qu'Orion stocke les informations d'identification de la base de données de manière non sécurisée. Plus précisément, Orion conserve les informations d'identification dans un fichier lisible par les utilisateurs non privilégiés.

Alors que les fichiers protègent cryptographiquement les mots de passe, le chercheur a pu trouver un code qui convertit le mot de passe en texte en clair. Cela permet à toute personne pouvant se connecter à une boîte en local ou via le protocole Remote Desktop de pouvoir obtenir les informations d'identification pour le SolarWindsOrionDatabaseUser. Cela pourrait à nouveau conduire à un accès non autorisé à des systèmes et serveurs sensibles.


« L'étape suivante consiste à se connecter au serveur Microsoft SQL en utilisant le compte récupéré, et à ce stade, nous avons un contrôle total sur la base de données SOLARWINDS_ORION », a écrit Rakhmanov dans son article de blog. « À partir de là, on peut voler des informations ou ajouter un nouvel utilisateur de niveau admin pour être utilisé dans les produits SolarWinds Orion ».

La troisième vulnérabilité (suivie sous le nom de CVE-2021-25276) concernait SolarWinds Serv-U FTP et permet à toute personne pouvant se connecter localement – ou à distance via RDP – d'ajouter un compte administrateur et tous les privilèges que cela implique en matière d'accès au réseau et aux serveurs, ce qui pourrait donner à un attaquant l'accès à des informations sensibles.

« Toutes ces vulnérabilités ont le potentiel de compromettre complètement le serveur Windows qui exécute des logiciels précieux », a dit dans une déclaration Karl Sigler, threat intelligence manager chez Trustwave. « Orion n'est pas comme une suite Office, il est utilisé par votre administrateur réseau et d'autres personnes ayant de nombreux privilèges et accès à des données précieuses sur le réseau », a déclaré Sigler.

Trustwave a révélé ses conclusions à SolarWinds et des correctifs de sécurité ont été publiés pour combler les vulnérabilités et empêcher leur exploitation.

« Des vulnérabilités de divers degrés sont communes à tous les logiciels, mais nous comprenons que SolarWinds fait l'objet d'une surveillance accrue en ce moment. Les vulnérabilités annoncées par Trustwave concernant Orion 2020.2.4 ont été corrigées grâce à un correctif publié le 25 janvier 2021. Les vulnérabilités concernant Serv-U 115.2.2 seront corrigées par un correctif publié le 3 février 2021 », a déclaré un porte-parole de SolarWinds. « Nous nous sommes toujours engagés à travailler avec nos clients et d'autres organisations pour identifier et corriger de manière responsable les vulnérabilités de notre portefeuille de produits. L'annonce d'aujourd'hui s'inscrit dans ce processus ».

Il est donc recommandé aux organisations de mettre en place une stratégie pour appliquer le plus rapidement possible les correctifs de sécurité nécessaires pour se protéger contre les trois nouvelles vulnérabilités. Les correctifs arrivent au moment où SolarWinds s'efforce de résoudre son rôle dans un piratage majeur de ses clients. Par ailleurs, les enquêteurs de l’entreprise ont découvert ce qui pourrait être une cause première de la précédente campagne de cyberattaque.

Les pirates informatiques ont pu espionner les emails de Solarwinds pendant presque un an

Si les enquêteurs ont réussi à décortiquer le détail technique de la manipulation d’Orion par les attaquants qui ont investi les réseaux informatiques des principales agences fédérales des États-Unis, ils n’ont toujours pas trouvé de réponse à leur principale question, à savoir par quel biais les attaquants ont pénétré le réseau interne de SolarWinds.

Plusieurs hypothèses sont étudiées, et l’une d’entre elles vient de gagner en crédibilité avec la dernière déclaration de l’actuel CEO de l’entreprise, Sudhakar Ramakrishna, au Wall Street Journal le 2 février. Ramakrishna a déclaré : « Des comptes email ont été compromis. Les hackers s’en sont servis pour compromettre d’autres comptes email, et au final, c’est notre environnement Office 365 entier qui a été compromis ».

Les enquêteurs avaient déjà retrouvé des traces de l’activité des pirates informatiques, liés à la Russie selon le FBI, dans les systèmes datant de septembre 2019, et ils ont désormais identifié un compte email manipulé dès décembre 2019. Les cyberespions seraient parvenus à utiliser le compte pour corrompre d’autres adresses email, et se répandre au final sur l’intégralité des boîtes email. Ce qui signifie que pendant au moins neuf mois, et peut-être plus d’un an, les pirates ont pu épier les emails internes de l’entreprise et les discussions avec ses partenaires.

Cette déclaration montre que le chantier interne lancé par Ramakrishna semble porter ses fruits : l’enquête progresse certes lentement, mais elle apporte des réponses. Le nouveau CEO a pris ses fonctions le 7 janvier, à peine deux semaines après le déclenchement de la crise, et a donc dû prendre en main le dossier dès son arrivée. Le dirigeant avait accepté le poste début décembre, peu avant la découverte de l’opération de cyberespionnage.

Cette coïncidence est tombée à pic pour SolarWinds. Le prédécesseur de Ramakrishna, Kevin Thompson, comptable de formation, est resté à la tête du groupe pendant 10 ans. Il a certes fait exploser les bénéfices de l’entreprise, mais il a aussi vivement été critiqué pour ses décisions budgétaires. Et pour cause, il aurait grandement réduit le financement de la division de sécurité de l’entreprise, notamment en délocalisant une partie des équipes.

À l’inverse, Sudhakar Ramakrishna vient du monde de la sécurité. Il a fondé et dirigé pendant 5 ans Pulse Secure, un éditeur de VPN d’entreprise. Pendant cette période, il a déjà dû gérer une importante crise : un bug du VPN était exploité pour lancer des attaques au ransomware, selon un avis de la CNIL publié en août dernier. Arrivé chez SolarWinds, il a donc immédiatement renforcé les mesures de sécurité, et dépêché au chevet de l’entreprise des spécialistes du secteur parmi lesquels Crowdstrike et Microsoft. Pour marquer le coup médiatiquement, il a également fait appel à un duo composé de Chris Krebs, anciennement en poste de directeur du CISA de la Sécurité intérieure des États-Unis et Alex Stamos, ancien directeur de la sécurité chez Facebook.

La question qui reste en suspens chez les enquêteurs est de savoir si la compromission des boîtes email est un nouveau symptôme de la cyberattaque sophistiquée, ou bien sa cause première. Dans tous les cas, les enquêtes continuent chez Solarwinds.

Sources : Solarwinds, Trustwave(1 & 2)

Et vous ?

Qu’en pensez-vous ?
Quels commentaires faites-vous de la découverte de deux vulnérabilités dans Orion et une troisième dans un autre produit Solarwinds ?
Devrait-on craindre d’autres failles dans ces produits dont les clients comprennent les agences des gouvernements ?

Voir aussi :

Un ancien conseiller de SolarWinds avait mis en garde contre le laxisme de la sécurité des années avant le piratage, mais son plan pour réduire les risques aurait été ignoré
Le piratage de SolarWinds pourrait être bien pire que ce que l'on craignait au départ, les fédéraux essayant toujours de savoir si ce n'était que de l'espionnage ou quelque chose de plus sinistre
L'attaque de la chaîne d'approvisionnement contre la société SolarWinds expose près de 18 000 organisations, ce piratage peut dévoiler de profonds secrets américains ; les dégâts sont encore inconnus
Les pirates informatiques proposent de vendre à Microsoft et Cisco davantage de code source lié à l'incident Solarwinds, et offrent l'accès au code source de Windows 10 volé pour 600 000 dollars

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de der§en
Membre éclairé https://www.developpez.com
Le 01/03/2021 à 14:26
Rhooo, la faute d'un stagiaire, franchement quel manque d'imagination...
6  0 
Avatar de TotoParis
Membre éprouvé https://www.developpez.com
Le 14/03/2021 à 11:05
« Wow, je suis complètement sans voix ici », a écrit sur Twitter Dave Kennedy, fondateur de la société de sécurité TrustedSec. « Microsoft a vraiment retiré le code PoC de Github. C'est énorme, retirer de GitHub le code d'un chercheur en sécurité contre leur propre produit et qui a déjà été patché ».

Wow, le mec, il déconne à donf ! Microsoft à pris cette décision car il restait 125 000 serveurs non encore "patchés". Ben ouais, c'est ballot, mais ils protègent un peu leurs clients aussi.
Si des chercheur en securité sont en désaccord, ils peuvent aller voir ailleurs que sur GitHub.

Quant au fond de l'affaire, des groupes terroristes soutenus par l'Etat chinois, ils en pensent quoi, ces "chercheurs" ?
6  1 
Avatar de Fagus
Membre chevronné https://www.developpez.com
Le 16/04/2021 à 13:50
Les USA écoutent et piratent le monde entier notamment pour voler les secrets industriels et diplomatiques (allo Merkel ;-) ?). La belle affaire, les chancelleries occidentales en remercient leurs alliés américains et en demandent encore. Demandez à Snowden et Assange ce qu'ils en pensent. Ah ? on me dit que le dernier est au secret dans une prison de haute sécurité britannique ? (alors que toutes les charges contre lui ont été abandonnées ou les peines ont expiré ?).

Les Américains et les vassaux européens ont tellement acculé la Russie qu'au final, on semble en sortir plutôt perdants nous les Européens. On aurait pu avoir un allié, on avait un partenaire économique, et on se retrouve face à une puissance militaire qu'on rend hostile et qu'on pousse à s'allier à la Chine.

Tiens, le jour où la Chine mangera Taïwan, et obtiendra ainsi l'hégémonie mondiale sur quasi toute la chaîne de production de composants électroniques, on fera moins nos malins puisqu'il n'y en a plus en occident, notamment grâce aux entreprise françaises sans usines, puis sans R&D, puis finalement sans entreprises.

Peut être que si les Russes ne sont pas trop vaches, ils voudront bien nous faire un prix d'ami sur leurs processeurs russes
5  0 
Avatar de
https://www.developpez.com
Le 17/02/2021 à 7:33
Haa ! Les américains ! Tellement fiers de leur Quick and Dirty ! Et voilà...
4  0 
Avatar de Arya Nawel
Membre extrêmement actif https://www.developpez.com
Le 22/03/2021 à 10:56
Comment peut-on critiquer les actions de ses ennemis lorsque l'on démontre que l'on tout aussi mauvais que lui ? Ça ressemble juste à une banale rivalité enfantine... Et dans ces cas là, tout le monde fini toujours trempé
3  0 
Avatar de Anselme45
Membre extrêmement actif https://www.developpez.com
Le 22/03/2021 à 10:58
Les USA disposent de 18 agences de renseignement disposant d'un effectif supérieur à 100'000 collaborateurs avec un budget annuel supérieur à 55 milliards de dollar. A cela s'ajoute des milliers d'entreprises privées sous contrat avec le gouvernement américain portant l'effectif des services de renseignement américains à plus de 400'000 personnes...

Et donc, on veut nous faire croire que c'est seulement dans quelques semaines que les USA ayant perdu patience vont finir par organiser une action cybernétique "agressive"... C'est une farce?
5  2 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 23/03/2021 à 20:23
Citation Envoyé par Arya Nawel Voir le message
Le déclenchement d'une cyberguerre est très mauvais pour toutes les parties concernées au niveau mondial.
Pas forcément: c'est très mauvais pour nous, pas pour certains.

Avant, il fallait dire qu'un pays fabriquait des armes de destruction massive pour le piller/mettre sous sanctions se défendre. Maintenant il suffira de dire que l'on a reçu des cyberattaques!
4  1 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 20/04/2021 à 9:36
Citation Envoyé par Bruno Voir le message

Quel est votre avis sur le fait que le FBI aurait accédé à l’insu des entreprises pour supprimer les portes dérobées des serveurs Microsoft Exchange ?
Éthiquement parlant, c'est quand même limite.

Je trouve l'approche du NCSC bien plus louable, surtout que d'après l'article, les failles ne sont pas corrigées suite à l'action du FBI, puisque sans patch, les serveurs peuvent être à nouveau compromis. Là on donne une fausse impression de sécurité.
3  0 
Avatar de weed
Membre expérimenté https://www.developpez.com
Le 20/04/2021 à 10:12
Je me poserais également la question si les PME se détournaient de Exchange et se tourneraient vers des alternatives tel que Postfix.

Le problème serait que le FBI n'aurait plus accès à des portes dérobés pour s'infiltrer sur les réseaux des PME et faire leur travail de renseignements.

Je suis bien conscient que Postfix n'offre pas d'écosystème (mail + réunion Teams), il y a peu de risque que les PME migrent, mais certains directeurs devraient tout de même se poser la question ..

EDIT : correction des fautes de frappes
3  0 
Avatar de kain_tn
Expert éminent https://www.developpez.com
Le 20/04/2021 à 23:40
Citation Envoyé par TotoParis Voir le message
"Nous ne voulons pas d'un avenir où le FBI détermine qu'une personne peut être vulnérable, puis s'en sert comme prétexte pour obtenir un accès."
Pourquoi pas. Mais ces 30 000 organisations ont été défaillantes en terme de cyber-sécurité.
On peut toujours discuter des inconvénients de la méthode, mais les inconvénients de ce laxisme sont pour le moins bien plus graves.
Encore une fois, ils n'ont pas corrigé les vulnérabilités, ils ont juste supprimé les portes dérobées, ce qui est réversible, donc non pérenne. Ça ne va pas éduquer ces 30 000 organisations, et en plus côté intrusion ce n'est pas fantastique.

S'ils ont les moyens de s'introduire chez ces 30 000 organisations, alors c'est qu'ils ont le moyen d'identifier les serveurs Exchange non-patchés: un message à ces 30 000 organisations pour leur donner un délai d'application des patchs sous menace d'intrusion du FBI aurait été plus constructif sur le long terme, et ça ne leur aurait sans doute pas coûté bien cher.

Ça sent la panique, tout ça.
3  0