Une des manières les plus efficaces pour que les professionnels de la technologie de l’information (TI) découvrent les faiblesses d’une entreprise avant les cybercriminels est à travers des tests de pénétration. En simulant des attaques cybernétiques du monde réel, les tests de pénétration, souvent appelés pentests, fournissent une information inestimable sur la posture de sécurité d’une organisation, révélant des faiblesses qui pourraient mener à des fuites de données ou d’autres incidents de sécurité.

Vonahi Security, les créateurs de vPenTest, une plateforme automatisée de tests de pénétration de réseaux, vient de publier son rapport annuel, «Les 10 Principales Découvertes Critiques de Pentest 2024». Dans ce rapport, Vonahi Security a réalisé plus de 10.000 pentests de réseaux automatisés, découvrant les 10 principaux résultats de pentest de réseaux internes dans plus de 1.200 organisations.

Ci-dessous, sont présentées ces découvertes critiques pour mieux comprendre les vulnérabilités exploitables communes auxquelles font face les organisations et comment les aborder de manière efficace.

1. Usurpation de Multicast DNS (mDNS)

Le Multicast DNS (mDNS) est un protocole utilisé dans des petits réseaux pour résoudre les noms DNS sans un serveur DNS local. Ceci peut être exploité par des attaquants qui peuvent répondre avec l’adresse IP de leur propre système.

Recommandations :

• Désactiver mDNS s’il ne sert pas, ce qui peut être fait en désactivant le service Apple Bonjour ou avahi-daemon.

2. Usurpation du Service de Noms NetBIOS (NBNS)

Le Service de Noms NetBIOS (NBNS) est utilisé sur des réseaux internes pour résoudre des noms DNS quand un serveur DNS n’est pas disponible. Ceci peut être exploité par des attaquants qui peuvent répondre avec l’adresse IP de leur propre système.

Recommandations :

• Configurer la clé de registre UseDnsOnlyForNameResolutions pour prévenir que les systèmes utilisent des requêtes NBNS.
• Désactiver le service NetBIOS pour tous les hôtes Windows sur le réseau interne.

3. Usurpation de Résolution de Noms Multicast de Lien Local (LLMNR)

LLMNR est un protocole utilisé dans des réseaux internes pour résoudre des noms DNS quand un serveur DNS n’est pas disponible. Ceci peut être exploité par des attaquants.

Recommandations :

• Configurer la clé de registre de Résolution de Noms Multicast pour prévenir que les systèmes utilisent des requêtes LLMNR.
• Utiliser des Politiques de Groupe pour désactiver LLMNR.

4. Usurpation DNS IPv6

L’usurpation DNS IPv6 survient quand un faux serveur DHCPv6 est déployé sur un réseau.

Recommandations :

• Désactiver IPv6 sauf si nécessaire pour les opérations commerciales.
• Implémenter une protection DHCPv6 sur les commutateurs de réseau.

5. Systèmes Microsoft Windows Obsolètes

Un système Windows obsolète est vulnérable aux attaques car il ne reçoit pas de mises à jour de sécurité.

Recommandations :

• Remplacer les versions obsolètes de Microsoft Windows par des systèmes d’exploitation récents et supportés.

6. Contournement de l’Authentification IPMI

L’Interface de Gestion de Plate-forme Intelligente (IPMI) permet aux administrateurs de gérer les serveurs de manière centralisée, mais elle comporte des vulnérabilités permettant aux attaquants de contourner l’authentification.

Recommandations :

• Restreindre l’accès IPMI à un nombre limité de systèmes.
• Désactiver le service IPMI s’il n’est pas nécessaire.
• Changer le mot de passe d’administrateur par défaut pour un plus sécurisé.

7. Vulnérabilité RCE de Microsoft Windows (BlueKeep)

Des systèmes vulnérables à CVE-2019-0708 (BlueKeep) ont été identifiés pendant les tests.

Recommandations :

• Appliquer immédiatement des mises à jour de sécurité sur les systèmes affectés.

8. Réutilisation de Mot de Passe d’Administrateur Local

De nombreux systèmes utilisant le même mot de passe d’administrateur local ont été trouvés.

Recommandations :

• Utiliser des solutions comme Microsoft Local Administrator Password Solution (LAPS) pour assurer que les mots de passe d’administrateur local ne soient pas consistent.

9. Vulnérabilité RCE de Microsoft Windows (EternalBlue)

Des systèmes vulnérables à MS17-010 (EternalBlue) ont été identifiés pendant les tests.

Recommandations :

• Appliquer immédiatement des mises à jour de sécurité sur les systèmes affectés.

10. Injection CGI de Dell EMC IDRAC 7/8 (CVE-2018-1207)

Les versions de Dell EMC iDRAC7/iDRAC8 antérieures à 2.52.52.52 sont vulnérables à CVE-2018-1207, permettant aux attaquants d’exécuter des commandes avec des privilèges de root.

Recommandations :

• Mettre à jour le firmware à la version la plus récente disponible.