Le 26 février 2025, l’agence américaine CISA a ajouté deux vulnérabilités majeures à son catalogue des vulnérabilités exploitées activement (KEV). Ces failles affectent le Microsoft Partner Center et la suite de collaboration Zimbra de Synacor, qui sont toutes deux exploitées activement par des cybercriminels.
Les Vulnérabilités Ajoutées
CVE-2024-49035 : Une vulnérabilité de contrôle d’accès dans Microsoft Partner Center permet à un attaquant d’escalader ses privilèges. Cette faille, avec un score CVSS de 8.7, a été corrigée en novembre 2024.
CVE-2023-34192 : Une vulnérabilité XSS dans Zimbra Collaboration Suite permet à un attaquant authentifié d’exécuter du code arbitraire via un script malveillant envoyé à la fonction /h/autoSaveDraft. Cette faille, avec un score CVSS de 9.0, a été corrigée en juillet 2023 avec la version 8.8.15 Patch 40.
Contexte et Implications
Microsoft a déjà confirmé que la CVE-2024-49035 a été exploitée dans des attaques réelles, mais n’a pas fourni de détails sur la façon dont cette vulnérabilité est utilisée. En revanche, aucune exploitation active n’a été observée concernant CVE-2023-34192.
Les agences fédérales doivent impérativement installer les mises à jour de sécurité avant le 18 mars 2025 pour protéger leurs réseaux contre ces vulnérabilités.
Sources et Liens
CISA – Microsoft CVE-2024-49035Zimbra Patch
Cette mesure fait suite à l’ajout récent de vulnérabilités affectant Adobe ColdFusion et Oracle Agile PLM.
