Un score CVSS de 4,3 , correspondant à un niveau de gravité moyen, ne suffirait peut-être pas à lui seul à vous mettre la puce à l'oreille. Toutefois, l'exploitation active modifie la manière dont les organisations doivent évaluer ce risque et y faire face.
Cet article explique en quoi consiste cette vulnérabilité, quelles versions sont concernées, comment les pirates l'exploitent, ainsi que les mesures à prendre pour la détecter et y remédier dans l'ensemble de votre environnement.
Qu'est-ce que le CVE-2025-47813 ?
La vulnérabilité CVE-2025-47813 est une faille de divulgation d'informations dans Wing FTP Server, une application de transfert de fichiers dont le site compte plus de 10 000 clients à travers le monde. La faille se trouve sur la page loginok.html , qui ne gère pas correctement les valeurs trop volumineuses dans le cookie UID.
Lorsqu'un utilisateur authentifié envoie une requête contenant une valeur de cookie UID excessivement longue, le serveur génère une erreur qui révèle le chemin d'accès complet de l'application sur le système local. Ce type de faille relève de la divulgation de chemin d'accès.
En soi, cela ne permet pas aux pirates de prendre le contrôle direct d'un système. Mais les informations qu'il divulgue constituent des renseignements précieux pour la planification d'attaques ultérieures.
- Type de vulnérabilité : divulgation d'informations « » (divulgation du chemin d'accès)
- Composants concernés :
loginok.html - Cause première : Validation insuffisante des données saisies concernant le cookie UID
- Informations exposées : Chemin d'accès complet au système de fichiers de l'installation de Wing FTP Server
Score CVSS et niveau de gravité
Le système commun d'évaluation des vulnérabilités (CVSS) fournit un cadre normalisé permettant d'évaluer la gravité des vulnérabilités. La vulnérabilité CVE-2025-47813 présente un score CVSS de base de 4,3, ce qui la classe dans la catégorie de gravité moyenne.
| Système métrique | Valeur |
|---|---|
| Score de base CVSS | 4,3 (Moyen) |
| Vecteur d'attaque | Réseau |
| Complexité de l'attaque | Faible |
| Droits requis | Faible |
| Interaction avec l'utilisateur | Aucun |
Une vulnérabilité de niveau moyen peut sembler moins urgente que les vulnérabilités critiques. Mais voici le hic : la CISA n'ajoute pas de vulnérabilités au catalogue KEV en se basant uniquement sur les scores CVSS.
Une gestion efficace des menaces et des vulnérabilités tient compte des signaux d'exploitation active, et l'inscription sur la liste KEV confirme que les attaquants exploitent cette faille, ce qui modifie complètement l'évaluation des risques.
Versions concernées du serveur FTP Wing
Toutes les versions de Wing FTP Server antérieures à la version 7,4,4 sont vulnérables à la faille CVE-2025-47813. L'éditeur a remédié à ce problème dans la version 7,4,4, qui corrige le traitement incorrect des valeurs de cookies trop volumineuses.
- Vulnérabilité : Toutes les versions antérieures à la version 7,4,4
- Correctif : Version 7,4,4 et suivantes
- Plateformes : Les déploiements sous Windows, Linux et macOS sont tous concernés
Si vous utilisez Wing FTP Server dans votre environnement, la première étape consiste à vérifier quelle version est installée. Les organisations dont l'inventaire des logiciels est incomplet découvrent souvent des instances vulnérables dont elles ignoraient l'existence.
Pourquoi la CISA a-t-elle ajouté cette vulnérabilité au catalogue KEV ?
Le catalogue des vulnérabilités connues et exploitées de la CISA n'est pas une liste de risques théoriques. La CISA ajoute des vulnérabilités au catalogue KEV en se fondant sur les trois critères définis par l' , notamment la preuve fiable que la vulnérabilité a fait l'objet d'une exploitation active. Lorsqu'un CVE apparaît dans KEV, cela indique une activité d'exploitation vérifiée et un besoin accru de prendre des mesures correctives.
Preuves d'une exploitation active
L'inscription de la vulnérabilité CVE-2025-47813 dans la liste KEV confirme que les pirates exploitent activement cette faille. Même si les détails spécifiques de l'attaque ne sont pas toujours rendus publics, cette fiche de catalogue indique que l'exploitation est passée du stade de la « preuve de concept » à celui d'une utilisation opérationnelle.
Date limite fixée par l'agence fédérale pour la remise en état
En vertu de la directive opérationnelle contraignante (BOD) n° 22-01 de l’ , intitulée « », les agences civiles fédérales américaines relevant du pouvoir exécutif sont tenues de remédier aux vulnérabilités répertoriées dans le KEV dans un délai précis. Pour le cours CVE-2025-47813, cette date limite est le 30 mars 2026.
Conséquences pour les organisations du secteur privé
La directive BOD 22-01 s'applique uniquement aux agences fédérales de l' . Mais le catalogue KEV de l' , accessible à l'adresse , est devenu de facto une liste de priorités pour les organisations de tous les secteurs. Si la CISA confirme l'existence d'une exploitation active, considérer la date limite fédérale comme votre propre date butoir constitue une approche raisonnable en matière de gestion des risques et des vulnérabilités d' .
Comment les pirates exploitent cette vulnérabilité
La procédure d'exploitation de la faille CVE-2025-47813 est simple pour toute personne disposant d'un accès authentifié au serveur.
Le vecteur d'attaque par cookie UID
Un attaquant crée une requête HTTP destinée au serveur Wing FTP et manipule le cookie UID en définissant sa valeur sur une chaîne de caractères excessivement longue. Lorsque le serveur tente de traiter cette entrée mal formée, il échoue et renvoie un message d'erreur. Cette erreur indique le chemin d'accès complet au système de fichiers où Wing FTP Server est installé.
En quoi la divulgation des chemins permet-elle le déplacement latéral ?
Le fait de connaître le chemin d'installation exact fournit aux attaquants une carte du système cible, ce qui leur permet d'effectuer le type de déplacement latéral lors de cyberattaques qui transforme un incident de gravité moyenne en une faille majeure. Grâce à ces informations, les pirates peuvent mieux cerner l'environnement cible et faciliter les opérations d'exploitation ultérieures, notamment en combinant cette faille avec d'autres vulnérabilités de Wing FTP Server.
Les vulnérabilités liées à la divulgation des chemins d'accès servent souvent de tremplin. Elles fournissent aux attaquants les informations de reconnaissance dont ils ont besoin pour élever leurs privilèges ou se déplacer latéralement au sein d'un réseau.
Modèles d'attaque observés
Les failles de divulgation d'informations comme celle-ci apparaissent généralement au début d'une chaîne d'attaque. Les pirates exploitent les informations de chemin d'accès divulguées pour affiner leur stratégie, en les combinant avec d'autres vulnérabilités, notamment une faille RCE associée à (CVSS 10,0 ), afin de causer des dommages plus importants.
Comment détecter le CVE-2025-47813 dans votre environnement
Pour identifier les instances vulnérables, il est nécessaire de recourir à une évaluation des vulnérabilités de type « » ( ), qui repose sur une visibilité précise et actualisée des logiciels exécutés sur l'ensemble de vos terminaux.
Découverte des installations de Wing FTP Server
De nombreuses organisations sont confrontées à des inventaires de logiciels incomplets. L'informatique parallèle, les serveurs de test oubliés et les déploiements décentralisés peuvent tous dissimuler des installations vulnérables. La visibilité en temps réel sur les terminaux permet de détecter toutes les instances de Wing FTP Server, quel que soit l'endroit où elles s'exécutent.
Identification des versions vulnérables
Une fois que vous aurez repéré toutes les installations, vérifiez les numéros de version. Toute instance fonctionnant sous une version antérieure à la 7,4,4 est vulnérable. Les analyses ponctuelles peuvent ne pas détecter les appareils hors ligne ou dont la connexion est intermittente ; c'est pourquoi une surveillance continue offre une vision plus précise de la situation.
Recherche de menaces visant à détecter les indicateurs de compromission
Pour déterminer si une exploitation a déjà eu lieu, recherchez dans les journaux du serveur des valeurs de cookies UID anormalement longues ou mal formées, des pics dans les messages d'erreur liés au traitement des cookies, ainsi que des activités de reconnaissance ultérieures provenant des adresses IP à l'origine de ces erreurs.
Comme il s'agit d'une faille de divulgation d'informations, les indices peuvent être discrets. La mise en corrélation des données de journaux avec d'autres activités suspectes, grâce à la recherche proactive de menaces par l' , peut aider à identifier d'éventuelles compromissions.
Mesures correctives
Suivez cette procédure en quatre étapes pour résoudre le problème CVE‑2025‑47813 dans votre environnement :
1. Dressez l'inventaire de tous les systèmes concernés : Commencez par dresser un inventaire complet et en temps réel de tous les terminaux sur lesquels Wing FTP Server est exécuté. Cela inclut les systèmes sur site, les appareils distants et toutes les instances dans les environnements cloud.
2. Effectuez la mise à jour vers la version corrigée : Mettez à jour Wing FTP Server vers la version 7,4,4 ou une version ultérieure, conformément aux instructions fournies dans la fiche CVE officielle de l' et dans les avis de sécurité émis par des tiers.
3. Vérifier que la correction a bien été appliquée : Après le déploiement, effectuez une nouvelle analyse de tous les systèmes afin de vous assurer qu'ils exécutent bien la version corrigée. La correction n'est pas terminée tant qu'une vérification n'a pas confirmé qu'il ne reste plus aucune instance vulnérable.
4. Mettre en place une surveillance continue : Une solution ponctuelle ne suffit pas. Les nouvelles installations, les restaurations du système à une version antérieure ou les restaurations à partir de sauvegardes peuvent réintroduire cette vulnérabilité. La surveillance continue permet de détecter les dérives de version avant qu'elles ne réintroduisent une faille de sécurité.
Mesures compensatoires lorsque la remise en état n'est pas possible dans l'immédiat
Il arrive que des contraintes opérationnelles retardent la mise en œuvre des mesures correctives. Dans ces cas-là, la mise en place de contrôles compensatoires peut réduire les risques pendant que vous travaillez à la mise en place d'une solution définitive.
Segmentation du réseau et restrictions d'accès
Limitez l'accès au réseau au serveur Wing FTP. Limitez les connexions aux adresses IP de confiance ou imposez l'utilisation d'un VPN. La réduction de la surface d'attaque empêche d'emblée les utilisateurs non autorisés d'accéder au serveur.
Amélioration de la journalisation et des alertes
Augmentez le niveau de détail des journaux sur le serveur Wing FTP et configurez votre SIEM pour qu'il vous alerte en cas de comportements suspects. Créez des règles permettant de signaler les requêtes dont les valeurs de cookies sont anormalement élevées.
Politiques de contrôle des applications
Les règles du pare-feu d'applications Web (WAF) permettent d'inspecter les requêtes entrantes et de bloquer celles dont les cookies UID sont trop volumineux. Cela permet d'assurer une protection pendant que la correction est en cours.
Comment vérifier que la mise en conformité a bien été effectuée
La vérification est l'étape qui est souvent négligée. Une fois la correction effectuée, lancez des analyses de détection afin de vérifier que toutes les instances auparavant vulnérables indiquent désormais la version 7,4,4 ou une version ultérieure. Consignez cette validation à des fins de conformité et d'audit.
N'attendez pas votre prochain scan de vulnérabilités prévu. Effectuez une validation immédiatement après le cycle de mise à niveau afin de vérifier que celui-ci s'est déroulé avec succès et de boucler la boucle.
Foire aux questions sur le CVE-2025-47813
Quelle est la classification CWE de cette vulnérabilité ?
Le cas n° CVE-2025-47813 est classé sous la référence CWE-209 : Génération d'un message d'erreur contenant des informations sensibles. La « Common Weakness Enumeration » (CWE) est un répertoire, élaboré par la communauté, des types de vulnérabilités logicielles et matérielles.
Cette vulnérabilité peut-elle être exploitée sans authentification ?
Non. Pour exploiter la faille « CVE-2025-47813 », il faut disposer d'un accès authentifié de bas niveau au serveur. Un attaquant ne disposant pas d'identifiants ne peut pas provoquer la divulgation du chemin d'accès.
Ce problème concerne-t-il Wing FTP Server sur tous les systèmes d'exploitation ?
Oui. La vulnérabilité se trouve dans le code de l'application, et non dans la plateforme sous-jacente. Les déploiements sous Windows, Linux et macOS sont tous concernés.
Que se passerait-il si nous trouvions des preuves d'exploitation ?
Mettez immédiatement en œuvre votre plan d'intervention en cas d'incident. Isolez les systèmes concernés, conservez les journaux et les images système en vue d'une analyse judiciaire, et signalez l'incident si la politique ou la réglementation l'exige.
En quoi cette vulnérabilité diffère-t-elle des autres vulnérabilités de Wing FTP Server ?
La vulnérabilité CVE-2025-47813 est plus précisément une faille de divulgation d'informations. Son impact direct réside dans la divulgation d'informations sur le système plutôt que dans l'exécution de code à distance ou l'escalade de privilèges. Cependant, les informations divulguées permettent souvent de mener ces attaques plus graves dans le cadre d'une chaîne d'attaques plus large.
Une réponse efficace face à des menaces telles que la CVE-2025-47813 repose sur la rapidité et la précision. Les entreprises bénéficiant d’une visibilité en temps réel sur leurs terminaux peuvent identifier chaque installation vulnérable en quelques secondes, déployer des correctifs à grande échelle et valider immédiatement la mise en œuvre des mesures correctives.
Tanium a été conçu pour aider les entreprises à faire évoluer leur approche de la « » vers une gestion moderne des risques en combinant des informations en temps réel sur les terminaux avec des workflows intégrés de gestion des vulnérabilités et de mise en œuvre des mesures correctives au sein d’une plateforme unique. Cela permet de réduire les périodes d'exposition et donne aux équipes les moyens d'intervenir en toute confiance. Au lieu d'attendre plusieurs jours, voire plusieurs semaines, pour obtenir les résultats des analyses, les équipes peuvent agir rapidement et vérifier les résultats en temps réel.
Prenez rendez-vous pour une démonstration gratuite et personnalisée afin de découvrir comment Tanium permet d'accélérer la réponse aux CVE.