BeyondTrust Command Injection : Prise de contrôle à distance CVSS 9.8 🎯

Résumé exécutif

En décembre 2024, le monde de la cybersécurité a été témoin de l’une des attaques de chaîne d’approvisionnement les plus importantes ciblant l’infrastructure de gestion des accès privilégiés. BeyondTrust a révélé une vulnérabilité critique d’injection de commandes (CVE-2024-12356) avec un score CVSS de 9.8, permettant à des attaquants non authentifiés d’exécuter des commandes arbitraires à distance. Cette faille a non seulement compromis plusieurs organisations, mais a aussi montré pourquoi les outils de gestion des accès privilégiés sont des cibles de choix pour les acteurs étatiques. L’attaque, attribuée au groupe chinois Silk Typhoon (également connu sous le nom de Hafnium), a conduit à la compromission de systèmes du Département du Trésor américain, exposant des informations sensibles sur les sanctions et les revues d’investissement étranger.

Comprendre la vulnérabilité : CVE-2024-12356

Aperçu technique

La vulnérabilité provient d’une neutralisation incorrecte des éléments spéciaux utilisés dans les commandes, répertoriée sous CWE-77. Cette faille d’injection de commandes affecte les deux produits phares de BeyondTrust : Privileged Remote Access (PRA) et Remote Support (RS), en particulier les versions 24.3.1 et antérieures.

La gravité de cette vulnérabilité réside dans ses caractéristiques d’exploitation :

• Vecteur d’attaque : basé sur le réseau, permettant une exploitation à distance
• Complexité d’attaque : faible, nécessitant peu de sophistication technique
• Privilèges requis : aucun - pas d’authentification nécessaire
• Interaction utilisateur : aucune requise pour exploiter avec succès
• Portée de l’impact : compromission totale avec des impacts sur la confidentialité, l’intégrité et la disponibilité

Les attaquants pouvaient exploiter cette vulnérabilité en utilisant des requêtes client conçues pour exécuter des commandes du système d’exploitation sous le contexte de l’utilisateur du site. Ce niveau d’accès offrait aux acteurs de menace une position stratégique dans les réseaux d’entreprise, permettant des mouvements latéraux et l’exfiltration de données.

La vulnérabilité associée : CVE-2024-12686

Lors de l’enquête forensique, BeyondTrust a identifié une seconde faille d’injection de commandes, CVE-2024-12686, nécessitant des privilèges administratifs pour télécharger des fichiers malveillants et exploiter la vulnérabilité. Bien que classée avec une gravité moyenne (CVSS 6.6), cette vulnérabilité montre l’approche en couches utilisée par les attaquants pour maintenir leur persistance et augmenter leurs privilèges dans les environnements compromis.

CISA a ajouté CVE-2024-12686 à son catalogue de vulnérabilités exploitées connues le 13 janvier 2025, avec une date limite de remédiation fédérale fixée au 3 février 2025, indiquant une exploitation active en parallèle de la CVE-2024-12356 plus critique.

La brèche du Département du Trésor américain : étude de cas sur les attaques de chaîne d’approvisionnement

Chronologie de l’attaque

La compromission du Département du Trésor américain représente l’une des violations de données gouvernementales les plus importantes de ces dernières années :

• 2 décembre 2024 : Les acteurs de menace ont commencé à utiliser une clé API SaaS de Remote Support volée
• 8 décembre 2024 : BeyondTrust a informé le Trésor de la faille de sécurité
• 16 décembre 2024 : BeyondTrust a appliqué des correctifs aux clients cloud
• 18 décembre 2024 : Divulgation publique des vulnérabilités
• 19 décembre 2024 : CISA a ajouté CVE-2024-12356 au catalogue KEV
• 30 décembre 2024 : Le Département du Trésor a officiellement informé le Congrès

Portée de la compromission

Les attaquants ont accédé à plusieurs bureaux du Trésor, notamment le Comité sur les investissements étrangers aux États-Unis (CFIUS), qui examine les investissements étrangers pour les risques de sécurité nationale, et l’Office of Foreign Assets Control (OFAC), qui administre les sanctions commerciales et économiques.

Selon des rapports de Bloomberg, les attaquants ont compromis au moins 400 ordinateurs appartenant au Trésor et ont volé plus de 3 000 fichiers, comprenant des documents de politique, des organigrammes, du matériel sur les sanctions et l’investissement étranger, ainsi que des données marquées comme ‘Sensibles pour l’application de la loi’. La faille a également touché des systèmes utilisés par des hauts responsables, dont la secrétaire du Trésor Janet Yellen.

L’acteur de menace : Silk Typhoon (APT27)

Silk Typhoon est un groupe de hackers chinois étatique connu pour cibler un large éventail de cibles, notamment des contractants de défense, des think tanks politiques, des ONG, des organisations de santé, des cabinets d’avocats et des établissements d’enseignement supérieur. Les campagnes de cyberespionnage du groupe se concentrent principalement sur le vol de données et la reconnaissance, utilisant des vulnérabilités zero-day et des outils spécialisés.

Le bureau du Département du Trésor américain chargé du contrôle des actifs étrangers a imposé des sanctions contre Yin Kecheng, un cyberacteur basé à Shanghai affilié au Ministère de la Sécurité d’État de la Chine, qui aurait été associé à la faille du réseau du Trésor. De plus, Sichuan Juxinhe Network Technology Co., LTD., une société de cybersécurité, a été sanctionnée pour son implication directe dans des cyberattaques visant l’infrastructure critique américaine.

Les renseignements de Microsoft ont documenté que Silk Typhoon a fait évoluer ses tactiques pour cibler la chaîne d’approvisionnement informatique mondiale, y compris des sociétés de services informatiques, des entreprises de surveillance et de gestion à distance, et des fournisseurs de services gérés. Le groupe démontre une compréhension sophistiquée des environnements sur site et cloud, exploitant des outils comme les services de Microsoft pour la reconnaissance et l’exfiltration de données.

Pourquoi les outils de gestion des accès privilégiés sont des cibles de grande valeur

Les clés du royaume

Les solutions de gestion des accès privilégiés représentent le prix ultime pour les cyberattaquants car elles offrent un contrôle centralisé sur les comptes les plus critiques d’une entreprise. Comprendre pourquoi ces systèmes sont si précieux nécessite d’examiner ce que protègent les PAM :

Comptes administrateurs : Ces comptes disposent de permissions élevées pour effectuer des modifications à l’échelle du système, installer des logiciels, modifier les paramètres de sécurité et accéder à des données sensibles dans toute l’organisation.

Comptes de service : Comptes non humains utilisés par les applications et systèmes pour interagir entre eux, souvent avec des permissions étendues permettant le fonctionnement automatisé.

Comptes d’accès d’urgence : Comptes de type