Vulnérabilité dans le produit Endpoint Security Tool de Bitdefender

Date de publication :

CVE-2021-3554[Score CVSS v3.1: 9.0]

L’expert en cyber sécurité Nicolas Verdier du groupe TEHTRIS a découvert une vulnérabilité du type « manipulation des données » dans l’API PatchesUpdate du produit Endpoint Security Tool de l’entreprise Bitdefender.  Elle permet de réaliser des mises à jour avec un système tiers.

L’expertise a révélé que le contrôle d’accès à cette API était géré de manière incorrecte et permettait à un attaquant non-authentifié exploitant cette vulnérabilité de modifier l’adresse du service distant concernant les mises à jour du produit.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Manipulation des données

Criticité

  • Score CVSS v3.1: 9.0

CVE

Composants vulnérables.

  • Les versions antérieures à 6.6.27.390 du produit Endpoint Security Tools de Bitdefender (Linux) sont concernées par cette vulnérabilité.
  • Les versions antérieures à 6.24.1-1 du produit GravityZone de Bitdefender sont concernées par cette vulnérabilité.
     
  • Les versions antérieures à 6.2.21.160 du produit UnifiedEndpoint de Bitdefender sont concernées par cette vulnérabilité.

Solutions ou recommandations

  • Pour le produit Endpoint Secuirty Tools de Linux, la mise à jour 6.6.27.390 est automatique et corrige le problème.

Liens