Le FBI publie le top 30 des failles à pirates !

Posted On 29 Juil 2021

Le FBI a publié une liste des 30 vulnérabilités les plus populaires chez les pirates informatiques au cours des deux dernières années.

En 2020, les pirates informatiques ont facilement exploité les vulnérabilités récemment révélées pour compromettre les systèmes non corrigés. Sur la base des données disponibles, le gouvernement américain, par le biais du FBI, a mis en ligne les informations sur les principales vulnérabilités ciblées en 2020.

L’exploitation par les black hats de failles logicielles plus récemment révélées en 2020 découle probablement, en partie, de l’expansion des options de travail à distance au milieu de la pandémie de COVID-19.

L’évolution rapide et l’utilisation accrue des options du télétravail, telles que les réseaux privés virtuels (VPN) et les environnements cloud, ont probablement imposé un fardeau supplémentaire aux « cyberdéfenseurs » qui ont du mal à maintenir et à suivre le rythme des correctifs logiciels de routine.

Quatre des vulnérabilités les plus ciblées en 2020 ont affecté le travail à distance, les VPN ou les technologies basées sur le cloud. De nombreux dispositifs de passerelle VPN n’ont pas été corrigés en 2020, la croissance des options de travail à distance remettant en cause la capacité de l’organisation à mener une gestion rigoureuse des correctifs.

La CISA, l’ACSC, le NCSC et le FBI proposent de regarder rapidement les 30 vulnérabilités les plus régulièrement exploitées par les cyber malveillants en 2020

CVE-2021-26855: It is a Microsoft Exchange Server Remote Code Execution
CVE-2021-26857: It is a Microsoft Exchange Server Remote Code Execution
CVE-2021-26858: It is a Microsoft Exchange Server Remote Code Execution
CVE-2021-27065: It is a Microsoft Exchange Server Remote Code Execution
CVE-2021-22893: It is an Improper Authentication vulnerability that is marked as critical
CVE-2021-22894: It is a buffer overflow vulnerability that enables an attacker to execute arbitrary code
CVE-2021-22899: It is a command injection vulnerability that enables an attacker to execute remote code
CVE-2021-22900: It is an Improper Control of Generation of Code vulnerability
CVE-2021-27101: It is an Improper Neutralization of Special Elements used in an SQL Command
CVE-2021-27102: It is an Improper Neutralization of Special Elements used in an OS Command
CVE-2021-27103: It is a Server-Side Request Forgery (SSRF) vulnerability
CVE-2021-27104: It is an Improper Neutralization of Special Elements used in an OS Command vulnerability
CVE-2021-21985: It is an Improper Input Validation vulnerability
CVE-2018-13379: It is an Improper Limitation of a Pathname to a Restricted Directory (‘Path Traversal’)
CVE-2020-12812: It is an Improper Authentication vulnerability
CVE-2019-5591: It is a Missing Authentication for Critical Function vulnerability
CVE-2019-19781: It is an Improper Limitation of a Pathname to a Restricted Directory
CVE 2019-11510: It is an Improper Limitation of a Pathname to a Restricted Directory
CVE 2018-13379: It is an Improper Limitation of a Pathname to a Restricted Directory
CVE 2020-5902: Inclusion of Functionality from Untrusted Control Sphere and Improper Limitation of a Pathname to a Restricted Directory vulnerability
CVE 2020-15505: It is an Insufficient Information vulnerability
CVE-2017-11882: Microsoft Office Memory Corruption vulnerability that enables an attacker to execute arbitrary code.
CVE-2019-11580: It is an Insufficient Information vulnerability
CVE-2018-7600: It is an Improper Input Validation vulnerability
CVE 2019-18935: It is a Deserialization of Untrusted Data vulnerability
CVE-2019-0604: It is a Microsoft SharePoint Remote Code Execution Vulnerability
CVE-2020-0787: It is a Windows Background Intelligent Transfer Service Elevation of Privilege vulnerability
CVE-2020-1472: It is a Netlogon Elevation of Privilege vulnerability
CVE-2020-15505: It is an Insufficient Information vulnerability
CVE-2020-0688: It is a Use of Hard-coded Credentials vulnerability

Au sujet de l'auteur

Damien Bancal (damienbancal.fr) est un expert internationalement reconnu en cybersécurité. Il a fondé le projet Zataz en 1989. ZATAZ.com est devenu une référence incontournable en matière d'information sur la sécurité informatique et les cybermenaces pour le grand public. Avec plus de 30 ans d'expérience, Damien Bancal s'est imposé comme une figure majeure dans ce domaine, contribuant à la sensibilisation et à la protection des internautes contre les cyberattaques. Sa carrière est marquée par une forte implication dans l'éducation à la cybersécurité, notamment à travers des conférences et des publications spécialisées. Il est l'auteur de plusieurs ouvrages (17) et articles (plusieurs centaines : 01net, Le Monde, France Info, Etc.) qui explorent les divers aspects du piratage informatique et de la protection des données. Il a remporté le prix spécial du livre du FIC/InCyber 2022. Finaliste 2023 du 1er CTF Social Engineering Nord Américain. Vainqueur du CTF Social Engineering 2024 du HackFest 2024 (Canada). Damien Bancal a également été largement reconnu par la presse internationale dont le New York Times, qui souligne non seulement son expertise mais aussi son parcours inspirant. Par exemple, un portrait de La Voix du Nord le décrit comme "Monsieur Cybersécurité", soulignant son influence et son rôle essentiel dans ce domaine. Enfin, il figure parmi les personnalités les plus influentes dans la cybersécurité, comme le souligne Le Big Data, et a été classé parmi les 500 personnalités tech les plus influentes en 2023 selon Tyto PR. Chroniqueur TV et Radio (France Info, M6, RTL, Medi1, Etc.) Volontaires de la réserve citoyenne - Gendarmerie Nationale et de l'Éducation Nationale. Médaillé de la DefNat (Marine Nationale) et de la MSV (Gendarmerie Nationale). Entrepreneur, il a lancé en 2022 la société veillezataz.com.