azure-vulnerability-remediation-project

Cycle de vie complet de gestion des vulnérabilités sur Azure Windows Server 2025. Comprend les correctifs du système d'exploitation et des mesures de compensation au niveau réseau (NSG) pour atténuer la CVE-2025-14847.

Figure 1 : Scan de base initial identifiant les points d'exposition critiques.

2. Analyse Technique des Risques

• KB5075899 : Correctifs manquants pour plusieurs CVE pouvant conduire à une exécution de code à distance (RCE) ou une élévation de privilèges locale.
• CVE-2025-14847 : Une inadéquation de longueur d'en-tête de protocole dans l'instance MongoDB intégrée (v4.2.24) utilisée par Splunk. Cette vulnérabilité permet à des clients non authentifiés de lire de la mémoire tas non initialisée.

3. Correction et Mise en Œuvre

Tâche A : Mise à Jour du Système d'Exploitation (KB5075899)

• Défi : Les mises à jour automatiques de Windows n'avançaient pas.
• Solution : Intervention manuelle en téléchargeant l'installateur autonome .msu depuis le Microsoft Update Catalog et en le déployant avec des privilèges administratifs.
• Résultat : Mise à jour réussie des binaires système et redémarrage obligatoire pour finaliser le durcissement.

Tâche B : Isolation Réseau (CVE-2025-14847)

• Le Dilemme : La mise à niveau du MongoDB intégré n'était pas envisageable en raison des contraintes de dépendance avec Splunk (risque de disponibilité).
• Le Pivot : Bien que j'aie initialement conçu une Azure Firewall Policy, j'ai réussi à basculer vers une règle entrante de groupe de sécurité réseau (NSG) en raison de contraintes de ressources au niveau de l'abonnement. Cela démontre la capacité à mettre en œuvre des contrôles de sécurité efficaces dans les limites de l'infrastructure.
• Contrôle Mis en Œuvre :
  • Règle : Deny_MongoDB_8191
  • Priorité : 105
  • Action : Deny
  • Description : Contrôle compensatoire préventif pour CVE-2025-14847. Bloque le chemin d'exploitation de la fuite de mémoire tas MongoDB intégrée sur CyberVM.

Figure 2 : Implémentation de l'isolation au niveau de l'hôte via Azure NSG.

4. Vérification et Validation

Après la correction, un scan de validation final a été exécuté pour confirmer la réduction de la surface d'attaque.

• Statut : CORRIGÉ
• Résultat Technique : Le risque RCE au niveau du système d'exploitation et le chemin de fuite mémoire au niveau réseau ont été fermés avec succès.

Figure 3 : Scan final Nessus confirmant l'atténuation réussie des risques.

Compétences Techniques Démontrées

• Gestion des Vulnérabilités : Cycle de vie complet, de la découverte à la vérification.
• Infrastructure Cloud : Configuration des NSG Azure et conception de politiques de pare-feu d'entreprise.
• Chasse aux Menaces (KQL) : Développement de requêtes Kusto pour surveiller les tentatives d'accès non autorisé sur les ports bloqués.
• Pensée Critique : Navigation dans les contraintes d'infrastructure pour fournir des résultats de sécurité efficaces.