Vulnérabilité d’exécution de code à distance dans le service « Microsoft Message Queuing » (MSMQ) de Microsoft : QUEUEJUMPER

  • Auteur/autrice de la publication :
  • Post category:Alertes et Avis

Origine : bjCSIRT

Numéro : 2023/ALERTE/018

Date de l’alerte : 13/04/2023

APERÇU :

Microsoft Message Queuing, un service de Microsoft, est affecté par une vulnérabilité de type exécution de code à distance (RCE) qui permet à un acteur malveillant d’exécuter du code ou des commandes non autorisés en envoyant un paquet MSMQ à un serveur en écoute sur le port TCP 1801.

DESCRIPTION :

MSMQ (Microsoft Message Queuing) est un service de messagerie asynchrone de Microsoft qui facilite la communication entre différentes applications, même si elles ne sont pas en ligne en même temps. Il utilise des files d’attente de messages pour envoyer et recevoir des messages, permettant ainsi une communication fiable et asynchrone entre des composants d’application distribués sur des réseaux locaux ou distants.

Ce service présente une vulnérabilité d’exécution de code libellée CVE-2023-21554 qui permet à un attaquant d’envoyer un paquet MSMQ spécialement conçu qui contient du code malveillant. Lorsque le paquet MSMQ est traité par le serveur MSMQ vulnérable, le code malveillant peut être exécuté avec les privilèges du compte ou du processus qui exécute le service MSMQ, ce qui peut permettre à l’attaquant de prendre le contrôle du système, d’accéder à des informations sensibles, de causer des dommages ou de mener d’autres activités malveillantes.

Cette vulnérabilité est de sévérité critique avec un score de 9.8. 

IMPACT :

  • Atteinte à la confidentialité des données. 
  • Atteinte à l’intégrité des données. 
  • Atteinte à la disponibilité des données. 

SYSTEMES AFFECTÉS : 

Tous les systèmes Windows qui utilisent MSMQ comme service de messagerie asynchrone.

MESURES À PRENDRE :

Mettre à jour les systèmes d’exploitation Windows dès que la dernière version est disponible pour corriger la vulnérabilité. Néanmoins, vous pouvez restreindre l’accès aux adresses IP autorisées à se connecter au serveur sur le port 1801/TCP.

REFERENCES :

Partagez sur vos réseaux.