Avis de sécurité de Netskope

NSKPSA-2024-004

Netskope Client installateur avec lien symbolique suite à une vulnérabilité conduisant à une escalade des privilèges

Avis de sécurité ID : NSKPSA-2024-004
Niveau de gravité : Moyenne
Première communication : 15 avril 2025
Score CVSS global : 5.2
Version : 1.0
CVE-ID : CVE-2024-13177

Description
Netskope Client sur Mac OS est impacté par une vulnérabilité dans laquelle le script de post-installation ne valide pas correctement le chemin du fichier "nsinstallation". Un utilisateur standard peut potentiellement créer un lien symbolique vers le fichier "nsinstallation" afin d'augmenter les privilèges d'un autre fichier sur le système.

Affected Product(s) and Version(s)
Nom du produit : Netskope Client
Plate-forme affectée : MacOS
Versions affectées : Toutes les versions inférieures à R123

CVE-ID(s)
CVE-2024-13177
CVSS:4.0/A V:L/AC:H/AT:N/PR:L/UI:N/VC:N/VI:N/V A:N/SC:H/SI:H/SA:H (5.2)

Remediation
Netskope a publié un correctif de sécurité pour ce problème. Voir ci-dessous

Versions des correctifs : R123 et plus
Rattrapage des versions rétroportées : Versions EHF 117.1.11.2310 et 120.1.10.2306

Instructions pour le téléchargement de Netskope - Télécharger Netskope Client et Scripts - Netskope Support

Solution de rechange
Aucune solution de rechange n'est disponible pour le moment.

General Security Best Practices
Netskope recommande d'utiliser les options de renforcement de la sécurité disponibles dans le produit et de les configurer pour renforcer la sécurité - https://docs.netskope.com/en/secure-tenant-configuration-and-hardening/

Special Notes and Acknowledgement
Netskope remercie Max Keasley de WithSecure Consulting d'avoir signalé cette faille.

Exploitation and Public Disclosures
Netskope n'a pas connaissance d'une exploitation active de ce problème de sécurité.

Revision History

Version	Date	Section	Notes
1.0	15 avril 2025		Première publication

Avis de non-responsabilité
Dans toute la mesure permise par la loi applicable, les informations fournies dans le présent avis le sont "en l'état", sans garantie d'aucune sorte. L'utilisation des informations contenues dans le présent avis ou des documents qui y sont liés se fait à vos propres risques. Le présent avis et tous les aspects de la politique de réponse aux incidents de sécurité des produits de Netskope peuvent être modifiés sans préavis. La réponse n'est pas garantie pour une question spécifique ou une catégorie de questions. Vos droits concernant les garanties, l'assistance et la maintenance, y compris les vulnérabilités de tout logiciel ou service de Netskope, sont régis uniquement par l'accord-cadre applicable entre Netskope et vous. Les déclarations contenues dans le présent avis ne modifient pas, n'élargissent pas ou ne modifient pas d'une autre manière les droits dont vous disposez en vertu de l'accord-cadre applicable, et ne créent pas de garanties ou d'engagements supplémentaires.

À propos de Netskope
Netskope, le leader de la SASE, connecte rapidement et en toute sécurité les utilisateurs directement à Internet, à n'importe quelle application et à leur infrastructure à partir de n'importe quel appareil, sur le réseau ou hors réseau. Avec CASB, SWG et ZTNA intégrés nativement dans une seule plateforme, Netskope Security Cloud fournit le contexte le plus granulaire, via une technologie brevetée, pour permettre l'accès conditionnel et la sensibilisation des utilisateurs tout en appliquant les principes de confiance zéro à la protection des données et à la prévention des menaces partout dans le monde. Contrairement à d'autres qui imposent des compromis entre la sécurité et le réseau, le nuage privé de sécurité global de Netskope offre des capacités de calcul complètes à la périphérie.

Les solutions Netskope sont rapides partout, centrées sur les données et pensées pour le cloud, tout en favorisant une bonne citoyenneté numérique et en réduisant le coût total de possession.