Apple, Google, Cisco et Nvidia publient des mises à jour sur leurs produits

Google, Apple, Cisco, et Nvidia ont, la semaine du 3 juin, publié des mises à jour de leurs systèmes. Sur l’ensemble des constructeurs, 26 vulnérabilités sont corrigées dont certaines d’entre elles sont considérées comme importantes.

Détails techniques :

Google

Cette semaine, Google a mis à disposition Chrome 75 corrigeant 13 vulnérabilités, 2 d’entre elles sont qualifiées d’importantes selon Google :

• CVE-2019-5828 [Score CVSSv3 8.8] : Cette vulnérabilité critique permet une utilisation de la mémoire vive après libération ("Use After Free") sur l’agent de service (service worker) de Chrome.  L'utilisation d'un pointeur non valide pointant vers une zone mémoire libérée peut permettre à un attaquant de venir y déposer du code arbitraire, qui pourra être exécuté. Cet agent est un script que le navigateur exécute en arrière-plan, indépendamment d'une page Web, permettant des fonctions ne nécessitant pas de connexion internet ou d'interaction avec un utilisateur.
• CVE-2019-5829 [Score CVSSv3 8.8] : Cette vulnérabilité critique permet également une utilisation de la mémoire vive après libération sur le gestionnaire de téléchargement. Cela peut permettre à un attaquant d’exécuter du code arbitraire sur un système, par exemple, en invitant la victime sur un site web malveillant.

Les utilisateurs de Chrome peuvent mettre à jour cette version en allant dans le menu d’option situé tout en haut à droite => "Aide" => "À propos de Google Chrome" qui lance alors une mise à jour automatique.

Apple

Apple a récemment corrigé 8 failles de sécurité sur AirPort, un routeur Wi-Fi, mettant ainsi à disposition la version 7.1.9.

• CVE-2019-8581 : Un attaquant pourrait exploiter cette vulnérabilité pour effectuer une fuite de mémoire. Apple a corrigé cette faille en établissant une meilleure validation des données en entrée.
• CVE-2019-8575 : La vulnérabilité a révélé qu'une réinitialisation d'usine d'une station pourrait ne pas supprimer toutes les informations utilisateur présentes. L’entreprise a corrigé ce bogue en améliorant la suppression des données.
• CVE-2019-8580 : Cette lacune a démontré que les paquets IPv4 routés à la source pouvaient être acceptés de manière inattendue. Désactiver les paquets IPv4 routés par défaut a résolu cette vulnérabilité.
• CVE-2018-6918 ; CVE-2019-7291 ; CVE-2019-8588 : Ces failles pourraient être exploitées par des attaquants pour exécuter du code arbitraire sur ces périphériques. Une meilleure gestion de la mémoire est maintenant mise en place.  
• CVE-2019-8572 ; CVE-2019-8578 : Ces 2 vulnérabilités permettent à un attaquant d’exécuter du code arbitraire à distance sur les appareils AirPort. La première a été corrigée en améliorant la validation des données d’entrée et la deuxième a été corrigée en appliquant une meilleure gestion de la mémoire évitant sa libération après utilisation.

Les possesseurs d’appareils AirPort sont invités à effectuer la mise à jour logicielle du produit.

Cisco

Cisco a mis à jour 2 produits, Cisco IOS XR et Cisco NX-OS corrigeant 3 vulnérabilités dont 2 importantes :

• CVE-2019-1849 [Score CVSSv3 : 7.4] : Cette vulnérabilité affecte Cisco IOS XR, la faille réside dans l’implémentation de EVPN (Ethernet VPN) basé sur les protocoles réseau BGP (Boder Gateway Protocol) et MPLS (Multi Protocol Label Switching). Un attaquant non authentifié pourrait effectuer un déni de service sur cet appareil. Cela est dû à une erreur logique lors de la réception d’un flux EVPN malveillant. Les versions vulnérables sont : Cisco IOS XR 6.1 ; 6.2 ; 6.3 ; 6.4 ; 6.5 ; 6.6 (pour plus d’informations sur les sous-versions se référer au bulletin Cisco).
• CVE-2019-1769 [Score CVSSv3 : 6.7] : Cette vulnérabilité affecte CISCO NX-OS, un attaquant authentifié possédant les droits CLI (Command Line Injection) du produit. Les appareils vulnérables sont ceux possédant les logiciels :
  • Nexus 3000 Series Switches 
  • Nexus 3500 Platform Switches
  • Nexus 3600 Platform Switches 
  • Nexus 9000 Series Switches in standalone NX-OS mode
  • Nexus 9500 R-Series Switching Platform

Les utilisateurs de ces produits sont invités à effectuer ces mises à jour.

Nvidia

Nvidia a publié une mise à jour de sécurité pour son logiciel GeForce Experience Center qui traite de plusieurs vulnérabilités portant atteinte à la confidentialité des données, l'escalade des privilèges, le déni de service ou l'exécution de code arbitraire. Toutes les versions antérieures à 3.19 sont affectées par les deux vulnérabilités suivantes :

• CVE-2019-5678 [Score CVSSv3 7.8] : Le composant Web Helper contient une vulnérabilité qui permet aux attaquants d'exécuter du code arbitraire, d’effectuer un déni de service ou de divulguer des informations à l'aide d'entrées malveillantes.
• CVE-2019-5676 [Score CVSSv3 6.7] : Cette faille est due au chargement des bibliothèques de liens dynamiques (DLL) du système Windows sans validation de chemin ou de signature appropriée, permettant ainsi aux attaquants ayant un accès local de précharger des DLL.

Du fait de leur criticité, les utilisateurs sont invités à appliquer les mises à jour le plus rapidement possible.