RadioCSIRT – Votre actu cybersécurité du Mercredi 10 décembre 2025 (Ép.513)

Bienvenue sur votre podcast quotidien consacré à la cybersécurité.

Microsoft refuse de corriger une vulnérabilité RCE critique dans le framework .NET affectant la classe SoapHttpClientProtocol. Révélée lors de Black Hat Europe par le chercheur Piotr Bazydło de WatchTowr, la faille permet l’écriture arbitraire de fichiers via manipulation d’URLs SOAP. L’exploitation repose sur le support inattendu des protocoles FILE et FTP par une classe censée gérer uniquement HTTP. Les produits vulnérables confirmés incluent Ivanti Endpoint Manager, Umbraco 8 CMS et Barracuda Service Center, mais le nombre réel d’applications affectées est probablement massif.

Le CERT-FR publie l’avis CERTFR-2025-AVI-1088 concernant quatre vulnérabilités critiques dans Ivanti Endpoint Manager 2024. Les CVE-2025-10573, CVE-2025-13659, CVE-2025-13661 et CVE-2025-13662 permettent l’exécution de code arbitraire à distance, le contournement de la politique de sécurité et l’injection XSS. Seules les versions antérieures à 2024 SU4 SR1 sont affectées. Le patch est disponible depuis le 9 décembre 2025.

Le CERT-FR émet également l’avis CERTFR-2025-AVI-1084 concernant 17 bulletins de sécurité Fortinet couvrant 18 CVE. L’intégralité du portefeuille Fortinet est affecté : FortiOS, FortiProxy, FortiManager, FortiAnalyzer, FortiWeb, FortiSandbox, FortiExtender, FortiAuthenticator, FortiVoice, FortiSOAR, FortiPAM, FortiSRA, FortiSASE, FortiSwitchManager et FortiPortal. Les vulnérabilités critiques incluent l’exécution de code à distance, l’élévation de privilèges et l’injection SQL.

Enfin, la Police Nationale espagnole arrête un individu de 19 ans à Igualada pour vol et commercialisation de 64 millions d’enregistrements de données personnelles provenant de neuf entreprises. Les données exfiltrées incluent numéros DNI, adresses, téléphones, emails et codes IBAN. Le suspect utilisait six comptes en ligne et cinq pseudonymes pour vendre les bases de données sur des forums underground. Les autorités ont saisi du matériel électronique et gelé un portefeuille crypto.

On ne réfléchit pas, on patch !

Sources :

• The Register : https://www.theregister.com/2025/12/10/microsoft_wont_fix_net_rce/
• CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2025-AVI-1088/
• CERT-FR : https://www.cert.ssi.gouv.fr/avis/CERTFR-2025-AVI-1084/
• The Record : https://therecord.media/spain-arrests-teen-suspect-data-theft-and-sale

Vos retours sont les bienvenus.
Répondeur : 07 68 72 20 09
Email : radiocsirt@gmail.com
Site web : www.radiocsirt.org
Newsletter Hebdo : https://radiocsirt.substack.com