Firefox 0-day CVE-2019-17026 : ce que vous pouvez faire pour vous préparer et remédier à la situation
Le 8 janvier 2020 , Mozilla a annoncé la publication d'une mise à jour critique visant à corriger une faille de sécurité exploitable qui ciblait des ordinateurs dans la nature. Firefox a publié une mise à jour (version 72,0,1) afin de corriger cette faille de sécurité ; toutefois, les versions antérieures restent exposées à ce risque. Pour plus d'informations, veuillez consulter , ainsi que le bulletin de Mozilla.
Les utilisateurs de Tanium peuvent rapidement identifier et corriger cette vulnérabilité à l'échelle de l'entreprise ; l'article suivant vous présentera quelques exemples courants à l'aide de solutions prêtes à l'emploi.
Grâce à Tanium Interact, identifiez rapidement les terminaux vulnérables
La visibilité en temps réel offerte par Tanium fournit à ses clients une vue d'ensemble de leur environnement à la fois actualisée et précise. La requête Interact suivante peut être utilisée pour rechercher rapidement les terminaux en ligne concernés par cette vulnérabilité :
Installations vulnérables de Mozilla Firefox :
Récupérez les applications installées dont le nom contient « Mozilla Firefox » sur toutes les machines répondant aux critères suivants : version de l'application installée [Mozilla Firefox] < 72,0,1 et le nom de l'application installée correspond à « ^Mozilla Firefox(?!.ESR.).*$” )
Installations vulnérables de Mozilla Firefox ESR :
Récupérez les applications installées dont le nom contient « Mozilla Firefox » sur toutes les machines où la version de l’application installée [Mozilla Firefox] est inférieure à 68,4,1 et où le nom de l’application installée correspond à « ^Mozilla Firefox.ESR.$ » )
Pour recenser les actifs susceptibles d'être hors ligne, vous pouvez utiliser Tanium Asset ou enregistrer une question et la lancer périodiquement. Pour plus d'informations, veuillez consulter cet article de la communauté Tanium ainsi que ce message :
Créez facilement des rapports complets et détaillés avec Asset
Tanium Asset fournit des rapports complets sur les données des terminaux et inclut des données concernant à la fois les hôtes connectés et ceux hors ligne. Pour générer un rapport sur cette vulnérabilité à l'aide d'Asset, ajoutez « Applications installées » en tant qu'attribut simple dans Asset, puis créez un rapport personnalisé afin d'afficher la version. Vous pourrez alors établir un rapport sur les versions vulnérables de Firefox présentes dans votre environnement.
Pour plus d'informations sur la création de rapports à l'aide d'Asset, consultez les pages suivantes : , et.
Pour plus d'informations sur la création d'un rapport dans Asset, consultez , et.
Utilisez Tanium Comply pour identifier les instances de Firefox vulnérables
Dès qu’une vulnérabilité CVE est officiellement publiée dans la base de données nationale des vulnérabilités (National Vulnerability Database) de l’ , la bibliothèque de vulnérabilités Tanium (TVL), utilisée par Comply, est automatiquement mise à jour avec les contrôles appropriés permettant d’identifier l’exposition ainsi que les informations relatives aux mesures correctives nécessaires pour résoudre le problème. Elle est détectée en effectuant une analyse standard des vulnérabilités dans le service Comply.
REMARQUE : À la date du 9 janvier,/2020, les CVE mentionnées conservent le statut « Réservé » et n'ont pas encore fait l'objet d'un examen officiel ni d'une publication dans le NVD.
Pour plus d'informations sur la création d'un rapport basé sur une vulnérabilité ou un CVE spécifique, veuillez consulter ici :.
Utilisez Tanium Threat Response pour identifier et analyser les terminaux ayant fait l'objet d'une exploitation
Dès qu'une vulnérabilité exploitable est identifiée, il est nécessaire de rechercher les machines compromises et d'enquêter sur les résultats obtenus. Voici quelques exemples illustrant comment les utilisateurs peuvent rechercher des systèmes susceptibles d'avoir été piratés :
- Origine des processus suspects : Tanium peut vous alerter en temps réel ou effectuer une recherche rétrospective pour identifier les processus suspects issus de firefox.exe.
- Analyse de la mémoire du processus : Tanium permet de répertorier les DLL chargées, d'identifier les threads injectés, de répertorier les mutex suspects et d'énumérer d'autres artefacts présents en mémoire afin de faciliter la détection d'une compromission.
- Mécanismes de persistance : L'une des activités courantes après l'exploitation consiste à établir une présence persistante sur un système. Tanium est capable de répertorier tous les mécanismes de persistance présents dans un environnement afin d'identifier les entrées anormales.
- Tanium Signals : Les flux d'informations sur les menaces de Tanium, appelés « Tanium Signals », sont conçus pour identifier les activités initiales ou ultérieures pouvant indiquer une intrusion. Les signaux permettent une surveillance en temps réel des comportements d'attaque correspondant au référentiel MITRE ATT&CK.
Répondez avec Tanium
Les utilisateurs de Tanium peuvent prévenir les infections ou remédier aux vulnérabilités des hôtes. Voici quelques mesures que vous pourriez envisager pour remédier à cette vulnérabilité :
- Effectuez la mise à jour avec Tanium Deploy. Utilisez Tanium Deploy pour gérer Firefox et effectuer la mise à jour vers la dernière version disponible pour les systèmes d'exploitation Windows. Deploy met à votre disposition une galerie proposant des versions de Firefox préconfigurées pour l'installation, la mise à jour ou la désinstallation.
- Effectuez la mise à jour avec Core. Grâce à Tanium Core, vous pouvez créer un package personnalisé afin de déployer la mise à jour logicielle sur vos terminaux vulnérables. Pour plus d'informations sur la création d'un package personnalisé, consultez , ou rendez-vous ici :.
- Mettez en quarantaine les systèmes infectés. Si vous soupçonnez qu'un ou plusieurs systèmes ont été compromis, envisagez de les mettre en quarantaine jusqu'à ce qu'ils aient été remédiés. Vous trouverez plus d'informations sur la mise en quarantaine d'un système ici :. Vous trouverez des informations sur la quarantaine réseau à l'adresse , et ici :.
- Bloquez les versions vulnérables grâce à Tanium Protect. Tanium Protect permet de bloquer l'exécution des versions vulnérables de Firefox ou de vous alerter à ce sujet jusqu'à ce qu'elles soient corrigées.
- Supprimez les versions vulnérables à l'aide de Core. Tanium peut être configuré pour exécuter régulièrement une action « Kill Process » sur les hôtes exécutant des versions vulnérables de Firefox.
De par leur nature même, les vulnérabilités « zero-day » se caractérisent souvent par un manque d'informations disponibles au départ ; nous continuerons à mettre à jour cet article dès que de nouvelles informations pertinentes seront disponibles. Si vous avez des questions, veuillez contacter votre responsable technique de compte.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
