{"id":4126,"date":"2026-11-10T09:50:34","date_gmt":"2026-11-10T17:50:34","guid":{"rendered":"https:\/\/cyber.mag212.com\/?p=4126"},"modified":"2026-11-10T09:50:34","modified_gmt":"2026-11-10T17:50:34","slug":"cisa-kev-freeswitch-gpustack-ibm-aspera-faspex-12-november-deadline","status":"publish","type":"post","link":"https:\/\/cyber.mag212.com\/fr\/cisa-kev-freeswitch-gpustack-ibm-aspera-faspex-12-november-deadline\/","title":{"rendered":"La CISA donne trois jours pour corriger les failles exploit\u00e9es dans FreeSWITCH, GPUStack et IBM Aspera Faspex"},"content":{"rendered":"

Le 9 novembre, la CISA a ajout\u00e9 quatre vuln\u00e9rabilit\u00e9s activement exploit\u00e9es \u00e0 son catalogue des vuln\u00e9rabilit\u00e9s exploit\u00e9es connues et a donn\u00e9 aux agences f\u00e9d\u00e9rales seulement trois jours, jusqu'au 12 novembre, pour les corriger. L'une d'elles est le contournement de la faille \u201c sshole \u201d d'OpenSSH. Les trois autres affectent des parties tr\u00e8s diff\u00e9rentes du r\u00e9seau : le moteur de t\u00e9l\u00e9phonie FreeSWITCH, la plateforme de diffusion de mod\u00e8les d'IA GPUStack et le syst\u00e8me de transfert de fichiers IBM Aspera Faspex. Ces quatre vuln\u00e9rabilit\u00e9s n\u00e9cessitent une analyse forensique approfondie ; la CISA attend donc des agences qu'elles recherchent une compromission, et pas seulement qu'elles corrigent les failles.CISA KEV<\/a>).<\/p>\n\n\n\n

Produit<\/th>CVE<\/th>Affect\u00e9<\/th>Fix\u00e9 dans<\/th>CVSS<\/th><\/tr><\/thead>
SignalWire FreeSWITCH<\/td>CVE-2026-116779<\/td>1.11.2 et versions ant\u00e9rieures<\/td>1.11.3<\/td>9,8 (signal\u00e9)<\/td><\/tr>
GPUStack<\/td>CVE-2026-102895<\/td>Avant la version 2.2.0<\/td>2.2.0 (2.2.2 recommand\u00e9)<\/td>9,8 (signal\u00e9)<\/td><\/tr>
IBM Aspera Faspex<\/td>CVE-2026-123218<\/td>5.0.0 \u00e0 5.0.19<\/td>5.0.19 PL1<\/td>9.8 (IBM ; voir conflit ci-dessous)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Les trois dossiers ont \u00e9t\u00e9 ajout\u00e9s au KEV le 9 novembre 2026\u00a0; date limite f\u00e9d\u00e9rale\u00a0: 12 novembre 2026\u00a0; un triage m\u00e9dico-l\u00e9gal est requis. Les scores CVSS n\u2019ont pas \u00e9t\u00e9 v\u00e9rifi\u00e9s aupr\u00e8s du NVD.<\/em><\/p>\n\n\n\n

Pourquoi l'horloge est-elle si courte ?<\/h2>\n\n\n\n

Chaque action requise dans le catalogue cite la directive BOD 26-04 de la CISA sur la priorisation des mises \u00e0 jour de s\u00e9curit\u00e9 en fonction des risques, ainsi que les exigences de triage forensique (CISA KEV<\/a>). Analyse CYBER MAG212\u00a0:<\/strong> Le d\u00e9lai de trois jours semble li\u00e9 \u00e0 la proc\u00e9dure de triage m\u00e9dico-l\u00e9gal pr\u00e9vue par cette directive\u00a0; nous n\u2019avons pas pu consulter le texte de la directive pour le confirmer. Pour les organisations non f\u00e9d\u00e9rales, le signal est le m\u00eame\u00a0: elles sont actuellement exploit\u00e9es.<\/p>\n\n\n\n

\"Gantt
Les \u00e9ch\u00e9ances KEV tombent cette semaine, \u00e0 compter de la date d'ajout de chaque entr\u00e9e \u00e0 sa date d'\u00e9ch\u00e9ance f\u00e9d\u00e9rale (catalogue KEV CISA v2026.11.09). Diagramme\u00a0: MAG212 CYBER<\/figcaption><\/figure>\n\n\n\n

FreeSWITCH\u00a0: un message de chat qui ex\u00e9cute des commandes<\/h2>\n\n\n\n

Le rapport de la CISA indique que la faille permet la divulgation de la configuration et des identifiants, le contr\u00f4le arbitraire des appels et l'ex\u00e9cution de commandes (CISA KEV<\/a>Selon SecurityOnline, qui r\u00e9sume l'avis de s\u00e9curit\u00e9 FreeSWITCH du 28 octobre, un message SIP entrant peut atteindre le gestionnaire de protocole de chat \u201c\u00a0api\u00a0\u201d et ex\u00e9cuter des commandes avec les privil\u00e8ges du serveur. Le chat est activ\u00e9 par d\u00e9faut pour les profils internes et externes, l'authentification d'un message ne n\u00e9cessite qu'un seul compte sur le profil, et d'anciennes configurations d'exemple incluent un utilisateur d'annuaire sans mot de passe. L'avis indique que l'exploitation de cette faille a \u00e9t\u00e9 observ\u00e9e en conditions r\u00e9elles.S\u00e9curit\u00e9 en ligne<\/a>Deux failles connexes, CVE-2026-116785 et CVE-2026-116790, ne sont pas signal\u00e9es comme exploit\u00e9es.<\/p>\n\n\n\n

Rechercher:<\/strong> Trafic de messages SIP et activit\u00e9 API inattendus dans les journaux FreeSWITCH. Corrigez, dans l'ordre\u00a0:<\/strong><\/p>\n\n\n\n

    \n
  1. Mettez \u00e0 jour FreeSWITCH vers la version 1.11.3.<\/li>\n\n\n
  2. Garder enable-chat-api-proto<\/code> d\u00e9sactiv\u00e9 (par d\u00e9faut).<\/li>\n\n\n
  3. Ensemble enable-chat=false<\/code> sur les profils qui n'ont pas besoin de chat SIP.<\/li>\n\n\n
  4. Supprimer les utilisateurs du r\u00e9pertoire qui n'ont pas de mot de passe.<\/li>\n\n\n
  5. Ensemble ice_verify_message_integrity<\/code>.<\/li>\n\n\n
  6. Laisser mod_xml_rpc enable-websocket<\/code> non d\u00e9fini.<\/li>\n\n<\/ol>\n\n\n\n

    Il s'agit des param\u00e8tres de configuration signal\u00e9s par SecurityOnline\u00a0; nous n'avons pas pu r\u00e9cup\u00e9rer l'avis du fournisseur lui-m\u00eame (GHSA-mg63-h38w-8p9p<\/a>Nous ignorons \u00e9galement quels produits PBX commerciaux int\u00e8grent une version vuln\u00e9rable de FreeSWITCH\u00a0; veuillez donc interroger directement votre fournisseur VoIP.<\/p>\n\n\n\n

    GPUStack\u00a0: acc\u00e8s administrateur en se faisant passer pour l\u2019h\u00f4te local<\/h2>\n\n\n\n

    CISA d\u00e9crit un acc\u00e8s administratif non authentifi\u00e9 qui conduit \u00e0 des cl\u00e9s API d'administration persistantes, \u00e0 la divulgation de secrets de travailleurs et de fournisseurs de cloud, et \u00e0 l'ex\u00e9cution de code via un point de terminaison de cr\u00e9ation de backend (CISA KEV<\/a>SecurityOnline signale que les versions ant\u00e9rieures \u00e0 la 2.2.0 font confiance aux requ\u00eates provenant de l'interface de bouclage en tant qu'administrateur car force_auth_localhost<\/code> La valeur par d\u00e9faut est \u00ab\u00a0false\u00a0\u00bb\u00a0; un attaquant peut y acc\u00e9der via un proxy inverse sur le m\u00eame h\u00f4te ou en usurpant l\u2019identit\u00e9 du proxy. X-GPUStack-Real-IP: 127.0.0.1<\/code> En-t\u00eate. Une exploitation a \u00e9t\u00e9 signal\u00e9e contre la version 2.1.1, les attaquants cr\u00e9ant des backends personnalis\u00e9s pour lancer des shells invers\u00e9s (S\u00e9curit\u00e9 en ligne<\/a>).<\/p>\n\n\n\n

    R\u00e9parer:<\/strong> Mettez \u00e0 jour vers la version 2.2.2 ou ult\u00e9rieure, ce qui corrige \u00e9galement une faille de contournement SAML associ\u00e9e (CVE-2026-102894, non signal\u00e9e comme exploit\u00e9e). Si vous ne pouvez pas effectuer la mise \u00e0 jour imm\u00e9diatement, les solutions de contournement signal\u00e9es consistent \u00e0 d\u00e9finir force_auth_localhost=true<\/code>, d\u00e9pouiller le X-GPUStack-Real-IP<\/code> en-t\u00eate au niveau de votre proxy et blocage \/auth\/saml\/callback<\/code>. Analyse CYBER MAG212\u00a0:<\/strong> \u00c9tant donn\u00e9 que cette faille expose des secrets relatifs au fournisseur de cloud et aux n\u0153uds de calcul, il est imp\u00e9ratif de renouveler ces identifiants sur toute instance accessible, m\u00eame apr\u00e8s l'application du correctif.<\/p>\n\n\n\n

    IBM Aspera Faspex\u00a0: appliquer le correctif comme si aucune connexion n'\u00e9tait requise<\/h2>\n\n\n\n

    Le bulletin d'IBM couvre Faspex 5.0.0 \u00e0 5.0.19, corrig\u00e9 dans la version 5.0.19 PL1, sans solution de contournement\u00a0; apr\u00e8s application du correctif, l'image faspex-core devrait indiquer la version 5.0.19 avec le Fix Pack 1. Le bulletin ne mentionne aucune exploitation\u00a0; la liste KEV est la seule preuve d'exploitation dont nous disposons (Bulletin IBM<\/a>).<\/p>\n\n\n\n

    Conflit \u00e0 noter\u00a0:<\/strong> IBM attribue \u00e0 cette faille la note de 9,8, avec un vecteur indiquant qu'aucun privil\u00e8ge n'est requis. Pourtant, la description d'IBM et la fiche de la CISA mentionnent toutes deux qu'un authentifi\u00e9<\/em> L'utilisateur peut r\u00e9diger un message pour contourner l'autorisation et \u00e9lever ses privil\u00e8ges (IBM<\/a>; CISA KEV<\/a>En attendant des pr\u00e9cisions d'IBM, nous recommandons de consid\u00e9rer qu'aucune connexion n'est requise et de commencer par corriger les serveurs Faspex expos\u00e9s \u00e0 Internet.<\/p>\n\n\n\n

    Enqu\u00eater, contenir et r\u00e9parer<\/h2>\n\n\n\n
      \n
    1. Trouvez tous les exemplaires des trois produits, en commen\u00e7ant par tout ce qui est accessible sur Internet.<\/li>\n\n\n
    2. Appliquez le correctif aux versions corrig\u00e9es ci-dessus, ou utilisez les solutions de contournement signal\u00e9es \u00e0 titre provisoire.<\/li>\n\n\n
    3. Recherchez les signes d'une compromission ant\u00e9rieure\u00a0: cl\u00e9s d'administration ou backends inattendus (GPUStack), activit\u00e9 SIP MESSAGE\/API (FreeSWITCH) et modifications de privil\u00e8ges inattendues (Faspex).<\/li>\n\n\n
    4. Faites tourner les identifiants et les secrets des produits h\u00e9berg\u00e9s, en particulier les cl\u00e9s cloud sur GPUStack.<\/li>\n\n\n
    5. Consignez ce que vous avez v\u00e9rifi\u00e9\u00a0; l\u2019indicateur de triage m\u00e9dico-l\u00e9gal de la CISA nous rappelle que \u201c\u00a0corrig\u00e9\u00a0\u201d ne signifie pas \u201c\u00a0propre\u00a0\u201d.<\/li>\n\n<\/ol>\n\n\n\n

      Aucune des sources ne fournissait de commandes shell, il n'y en a donc aucune de fournies ici.<\/p>\n\n\n\n

      Tout le reste est d\u00fb cette semaine<\/h2>\n\n\n\n

      La s\u00e9rie du 9 novembre s'ajoute aux autres \u00e9ch\u00e9ances KEV. Dates limites f\u00e9d\u00e9rales pour les prochains jours, d'apr\u00e8s le catalogue (CISA KEV<\/a>):<\/p>\n\n\n\n

      CVE<\/th>Produit<\/th>Ajout\u00e9<\/th>Exigible<\/th><\/tr><\/thead>
      CVE-2026-48356<\/td>Adobe Commerce<\/td>27 octobre<\/td>10 novembre<\/td><\/tr>
      CVE-2026-111497<\/td>Google Brotli<\/td>27 octobre<\/td>10 novembre<\/td><\/tr>
      CVE-2026-41709<\/td>Broadcom VMware ESX<\/td>28 octobre<\/td>11 novembre<\/td><\/tr>
      CVE-2026-123158<\/td>OpenSSH<\/td>9 novembre<\/td>12 novembre<\/td><\/tr>
      CVE-2026-116779<\/td>FreeSWITCH<\/td>9 novembre<\/td>12 novembre<\/td><\/tr>
      CVE-2026-102895<\/td>GPUStack<\/td>9 novembre<\/td>12 novembre<\/td><\/tr>
      CVE-2026-123218<\/td>IBM Aspera Faspex<\/td>9 novembre<\/td>12 novembre<\/td><\/tr>
      CVE-2026-118527<\/td>Ivanti Connect Secure<\/td>30 octobre<\/td>13 novembre<\/td><\/tr>
      CVE-2026-19868<\/td>VPN SSL SonicWall SonicOS<\/td>6 novembre<\/td>20 novembre<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

      Les d\u00e9lais f\u00e9d\u00e9raux s'imposent aux agences civiles am\u00e9ricaines, mais ils constituent un signal de priorisation utile pour tous\u00a0: chaque entr\u00e9e comporte des preuves d'exploitation.<\/p>\n\n\n\n

      Le\u00e7ons pour les administrateurs, le personnel et les dirigeants<\/h2>\n\n\n\n