Archives de catégorie : Mise à jour

Cybersécurité, Mise à jour

Microsoft sous pression, 65 failles corrigées en juin

Microsoft a publié ce mois-ci des correctifs pour 65 vulnérabilités de sécurité, dont 9 critiques, dans le cadre de son traditionnel Patch Tuesday.

Depuis le début de l’année, le rythme des correctifs s’intensifie pour Microsoft. Avec déjà près de la moitié du total de vulnérabilités corrigées en 2024, l’éditeur est confronté à une pression croissante pour contenir les failles, dont certaines sont activement exploitées. En juin, 65 vulnérabilités (CVE) ont été corrigées, selon les informations officielles publiées par le Microsoft Security Response Center (MSRC), dont 9 critiques. Deux vulnérabilités zero day sont recensées, dont une fait déjà l’objet d’une exploitation active à grande échelle. Plusieurs failles restent cependant non corrigées, comme BadSuccessor, soulevant des inquiétudes sur le rythme et la portée de la réponse sécuritaire de l’éditeur.

Une CVE activement exploitée dès sa divulgation

Parmi les vulnérabilités les plus notables de ce Patch Tuesday figure la CVE-2025-33053. Il s’agit d’une faille d’exécution de code à distance dans le composant WebDAV (Web Distributed Authoring and Versioning), un protocole étendant les capacités de HTTP. Cette CVE est classée comme critique par Microsoft, et son exploitation a été confirmée. Wilfried Bécard, chercheur en cybersécurité chez Synacktiv, a mis au jour cette vulnérabilité majeure dans Active Directory. Elle permet l’exécution de code à distance et l’élévation de privilèges sur les systèmes Windows sans signature SMB (config par défaut). Check Point Research indique que le groupe Stealth Falcon exploiterait ce 0day.

Les attaquants utilisent des fichiers .url piégés pour inciter les cibles à exécuter du code malveillant. Cette méthode a permis une prise de contrôle distante sans interaction supplémentaire. La faille touche les systèmes Windows exposant le service WebDAV non protégé. L’exploitation a été observée dans plusieurs campagnes ciblées.

La CVE-2025-33053 est une des rares vulnérabilités zero day signalées et exploitées activement dès le jour du Patch Tuesday. (une découverte de la société Sinaktiv)

Microsoft a publié un correctif dans son Patch Tuesday de juin. La base de connaissance KB5039705, consultée le 11 juin 2025, fournit les détails de la vulnérabilité ainsi que les systèmes affectés. Les systèmes Windows Server 2016, 2019, 2022 et Windows 10/11 sont concernés, notamment lorsque les services WebDAV sont activés.

BadSuccessor reste non corrigée malgré une divulgation publique

À l’inverse, Microsoft n’a pas encore corrigé la vulnérabilité CVE non référencée mais surnommée « BadSuccessor« , découverte par les chercheurs d’Akamai. Cette faille permet une élévation de privilèges dans les environnements Active Directory. Elle a été divulguée publiquement le 21 mai 2025 par Akamai, preuve de concept à l’appui.

L’exploitation repose sur l’existence d’au moins un contrôleur de domaine sous Windows Server 2025. Selon Tenable, cette configuration ne concerne qu’environ 0,7 % des domaines Active Directory étudiés. Malgré sa portée limitée, la disponibilité publique d’un exploit, notamment via l’outil SharpSuccessor intégré dans les frameworks d’attaque NetExec et BloodyAD, renforce les risques.

Microsoft a confirmé qu’un correctif est prévu, mais aucune date précise n’a été fournie au moment de la publication de cet article. Le MSRC n’a pas encore attribué de CVE officielle à cette faille. Les administrateurs sont invités à limiter les permissions dans Active Directory et à surveiller tout comportement anormal des identités disposant de privilèges élevés.

Une autre zero day divulguée mais non exploitée

La deuxième faille zero day identifiée en juin, selon Microsoft, fait l’objet d’une divulgation publique, mais aucun cas d’exploitation n’a été confirmé à ce jour. Il s’agit de la CVE-2025-33632, une vulnérabilité de type « information disclosure » affectant Windows Kernel. Cette CVE a été notifiée par un chercheur indépendant, mais Microsoft classe le risque comme modéré, la faille ne permettant pas d’exécution de code ou d’élévation directe de privilèges.

Selon le rapport du MSRC, consulté le 11 juin 2025, cette vulnérabilité est cependant considérée comme suffisamment sensible pour avoir justifié un correctif immédiat.

Un patch controversé pour la CVE-2025-21204

En avril dernier, Microsoft corrigeait la CVE-2025-21204, une faille d’élévation de privilèges. Dans le cadre de la mise à jour cumulative publiée ce mois-ci, l’éditeur a modifié sa méthode de sécurisation. Un dossier nommé %systemdrive%\inetpub est désormais généré pour renforcer certaines permissions du système. Cependant, plusieurs utilisateurs l’ont supprimé manuellement, craignant une modification non documentée.

Face aux inquiétudes, Microsoft a publié un script de remédiation, consulté le 11 juin 2025, permettant de restaurer ce répertoire avec les bonnes permissions et de rétablir les listes de contrôle d’accès (ACL) appropriées. Il est explicitement recommandé à toute organisation ayant supprimé manuellement le dossier de lancer ce script, sous peine de dysfonctionnements des services dépendants.

Microsoft publie un script officiel pour corriger manuellement la suppression du dossier système créé lors du correctif de la CVE-2025-21204.

Un volume de correctifs toujours soutenu

Avec les 65 vulnérabilités corrigées ce mois-ci, le total des CVE publiées par Microsoft en 2025 atteint désormais 486, selon le suivi de Tenable Research. À mi-parcours de l’année, ce chiffre représente déjà près de 48 % du total de 2024, qui s’élevait à 1 009 vulnérabilités selon les archives du MSRC.

La majorité des failles de juin sont classées « importantes » par Microsoft, car elles permettent généralement une élévation de privilèges, un contournement de fonctionnalités de sécurité ou une divulgation d’informations. Elles concernent un éventail large de produits, notamment Microsoft Office, Windows Kernel, les navigateurs Edge basés sur Chromium, ainsi que des composants tels que Microsoft Dynamics 365.

Le détail complet de ces vulnérabilités est accessible sur la page officielle MSRC – June 2025 Security Updates, consultée le 11 juin 2025. Chaque CVE y est documentée avec son score CVSS, sa description, les produits concernés et les références aux correctifs correspondants.

Satnam Narang, ingénieur principal chez Tenable, souligne la pression croissante qui s’exerce sur les équipes de sécurité informatique : « Le nombre de CVE corrigées en 2025 nous rapproche déjà de la moitié du total de l’année dernière. À mesure que ce chiffre augmente chaque année, la pression sur les défenseurs du cyberespace pour atténuer efficacement ces vulnérabilités s’intensifie également.« 

Cette dynamique reflète une tendance plus large : l’augmentation continue des surfaces d’attaque, l’évolution rapide des techniques d’exploitation, et la démocratisation d’outils de type « exploit framework » qui facilitent l’industrialisation des campagnes malveillantes.

Certaines failles, comme celles utilisées par le groupe Cl0p en 2023 contre les logiciels de transfert de fichiers (MOVEit, GoAnywhere), ont démontré la vitesse avec laquelle une vulnérabilité zero day peut être exploitée à grande échelle, motivée par des gains financiers immédiats. L’exploitation rapide de la CVE-2025-33053 semble suivre une trajectoire similaire.

Cyber-attaque, Cybersécurité, Mise à jour

Imprimantes piégées : Procolored infecte malgré lui ses clients pendant six mois

Des imprimantes livrées avec un malware, un fabricant pris au piège et des pirates bien rodés : l’affaire Procolored illustre à quel point les cybermenaces peuvent se dissimuler dans les moindres recoins du numérique.

Pendant près de six mois, des imprimantes Procolored ont été distribuées avec des pilotes vérolés, infectant à leur insu de nombreux utilisateurs. Derrière cette compromission, deux malwares particulièrement dangereux, capables de voler des cryptomonnaies ou d’ouvrir une porte dérobée sur les systèmes infectés. Retour sur un scandale qui ébranle la confiance dans les chaînes logicielles.

C’est un petit clic anodin, celui qu’on effectue pour installer les pilotes d’un nouveau périphérique. Mais dans le cas des imprimantes Procolored, ce geste ordinaire s’est transformé en cauchemar pour des dizaines, voire des centaines d’utilisateurs. Depuis octobre 2024, les fichiers proposés en téléchargement sur le site officiel de la marque renfermaient discrètement deux malwares, découverts en mai 2025. En cause : un stockage de pilotes sur la plateforme Mega.nz, utilisé par le fabricant pour héberger les logiciels nécessaires à l’installation de ses modèles d’imprimantes UV. Problème : plusieurs de ces fichiers hébergés étaient infectés. GData Software, entreprise spécialisée en cybersécurité, a tiré la sonnette d’alarme après qu’un YouTuber passionné d’impression UV a vu son antivirus déclencher une alerte. Les analyses ont révélé que les fichiers téléchargés contenaient les malwares XRedRAT et CoinStealer, deux menaces bien connues du paysage cybercriminel.

Une menace insidieuse, masquée derrière des fichiers officiels

39 fichiers suspects ont été détectés, dont 20 avec des empreintes numériques uniques, preuve que les pirates ont conçu des versions personnalisées des malwares pour échapper aux détections classiques. Le premier, XRedRAT, agit comme une porte dérobée : une fois installé, il permet à des attaquants distants de prendre le contrôle d’un ordinateur, d’en exfiltrer des données, ou encore d’y installer d’autres malwares. Le second, CoinStealer, est conçu pour cibler les utilisateurs de cryptomonnaies. Il surveille le presse-papiers à la recherche d’adresses de portefeuille, et les remplace automatiquement par celles du cybercriminel lorsque l’utilisateur tente d’effectuer une transaction.

Les conséquences sont bien réelles. L’adresse de portefeuille identifiée comme réceptrice des fonds détournés a déjà accumulé 9,3 bitcoins, soit environ 593 000 euros au cours actuel. Cette attaque furtive, qui repose sur l’ingénierie sociale et la confiance dans le matériel officiel, a ainsi permis aux hackers de subtiliser des fonds sans que les victimes ne s’en rendent compte immédiatement.

Un cas d’école de compromission logicielle

La faille a été révélée lorsqu’un testeur a voulu passer en revue les performances d’une imprimante Procolored UV et a été interpellé par une alerte de son antivirus. En remontant l’origine de l’alerte, les chercheurs en cybersécurité ont constaté que les fichiers d’installation avaient été modifiés pour la dernière fois en octobre 2024. Pendant six mois, aucun contrôle de sécurité n’a été effectué sur ces ressources pourtant publiques, disponibles sur le site officiel du fabricant.

L’ampleur de la diffusion pose question. Les imprimantes concernées, parmi lesquelles les modèles F8, F13, F13 Pro, V6, V11 Pro et VF13 Pro, sont principalement destinées à un public professionnel : studios de création, ateliers de personnalisation d’objets, ou encore entreprises de design. Ces utilisateurs, souvent bien équipés mais peu sensibilisés aux risques cyber, constituent une cible privilégiée. L’incident met également en lumière un problème de gouvernance : Procolored n’a à ce jour publié aucun communiqué officiel, ni retiré les liens vers les fichiers infectés.

Durant six mois, les pilotes vérolés sont restés en ligne sur le site du fabricant, exposant potentiellement chaque utilisateur à une compromission.

Une faille révélatrice d’un écosystème vulnérable

Ce type d’attaque n’est pas sans précédent. Ces dernières années, de nombreux acteurs ont été victimes d’attaques dites « de la chaîne d’approvisionnement logicielle ». On se souvient de l’affaire SolarWinds en 2020, ou plus récemment des compromissions de bibliothèques open source dans des projets critiques. Ce qui frappe dans le cas Procolored, c’est la simplicité de la méthode : pas besoin de briser des pare-feux ou d’infiltrer un réseau d’entreprise, il suffisait de placer des fichiers piégés sur une plateforme de téléchargement tierce, et de rediriger les utilisateurs vers ceux-ci. Sans parler du matériel (tablette, smartphone, Etc.) piégé par des commerçants pirates comme les faux samsung vendus avec des logiciels espions installés dans les appareils.

Le recours à Mega.nz n’est pas anodin non plus. Bien que légitime, ce service de stockage est fréquemment utilisé par des acteurs malveillants en raison de son anonymat relatif et de la difficulté pour les autorités à y exercer une surveillance efficace. Procolored, en déléguant ainsi l’hébergement de ses pilotes, a sans doute voulu économiser sur des coûts d’infrastructure, mais cette décision s’est révélée désastreuse pour la sécurité de ses clients.

Les victimes en attente de réponses

Aujourd’hui, de nombreuses questions restent sans réponse. Combien d’utilisateurs ont été infectés ? Procolored compte-t-il prendre des mesures pour prévenir de nouvelles attaques ? La marque va-t-elle collaborer avec les autorités ou les éditeurs antivirus pour aider les victimes ? Pour l’heure, aucune mise à jour officielle des pilotes n’a été annoncée, et les fichiers contaminés sont toujours disponibles en ligne. Face à l’absence de réaction, la communauté technique se mobilise. Des utilisateurs ont commencé à alerter les forums et à proposer des méthodes pour vérifier si leur système est compromis. Les antivirus, eux, mettent à jour leurs bases de données pour bloquer la propagation des malwares.

L’affaire pose également un dilemme : comment rétablir la confiance quand la compromission vient d’un outil censé être fiable ? Les professionnels ayant investi plusieurs centaines d’euros dans une imprimante sont aujourd’hui contraints de désinstaller les pilotes, de scanner leur machine et, dans le pire des cas, de changer de matériel.

L’ombre persistante des attaques logicielles

Cette affaire illustre un changement d’ère dans les cybermenaces. Les attaques ne ciblent plus seulement les grandes entreprises, mais s’introduisent dans les usages quotidiens. Le danger n’est plus uniquement dans les pièces jointes d’e-mails douteux ou les sites suspects : il peut désormais venir d’un fichier téléchargé depuis un site officiel, d’un logiciel recommandé par un fabricant reconnu. La sophistication des attaquants croît, mais surtout, leur stratégie évolue. En compromettant des outils professionnels, ils ciblent des victimes à la fois solvables, peu vigilantes et mal préparées.

Le cas Procolored rappelle ainsi que la cybersécurité ne peut plus être traitée comme une option. Elle doit faire partie intégrante du cycle de vie de tout produit technologique, y compris les périphériques matériels. Les fabricants doivent non seulement sécuriser leur matériel, mais aussi contrôler chaque maillon de leur chaîne logicielle. Car en 2025, il ne suffit plus de vendre une bonne imprimante : encore faut-il garantir qu’elle n’ouvre pas une porte aux pirates.

Cybersécurité, Mise à jour, Patch

Correctifs critiques et IA gonflée : Microsoft muscle son Patch Tuesday de mai 2025

Le Patch Tuesday de mai 2025 marque un tournant majeur : 72 failles comblées, cinq Zero Day actives, et des mises à jour Windows massives dopées à l’intelligence artificielle.

Chaque deuxième mardi du mois, les équipes informatiques du monde entier retiennent leur souffle. Le Patch Tuesday de Microsoft, devenu un rendez-vous incontournable, vient rythmer la sécurité des systèmes d’exploitation et des logiciels professionnels. Et celui de mai 2025 n’a pas dérogé à la règle : entre les correctifs de vulnérabilités critiques, les exploits déjà utilisés activement et une poussée technologique du côté de l’intelligence artificielle, la cuvée de ce mois se révèle particulièrement dense. Elle exige des entreprises comme des particuliers une attention soutenue et une application rapide des correctifs. Car cette fois, le danger ne plane pas seulement : il est déjà à l’œuvre.

Une avalanche de failles comblées… et cinq Zero Day

Microsoft annonce avoir corrigé pas moins de 72 vulnérabilités (CVE) dans sa mise à jour mensuelle de mai, dont cinq sont classées Zero Day. Ces dernières désignent des failles de sécurité activement exploitées avant même que le correctif ne soit disponible, ce qui les rend particulièrement dangereuses. Si, selon le classement officiel, elles ne sont que de niveau « Important », l’application d’un modèle de priorisation basé sur les risques les fait passer sans hésitation au niveau « Critique ».

Parmi ces vulnérabilités, on retrouve notamment une faille dans le pilote Ancillary Function Driver de WinSock (CVE-2025-32709), permettant une élévation de privilèges en local pour obtenir un accès Administrateur. Cette brèche affecte toutes les versions de Windows Server depuis 2012. Confirmée comme étant exploitée sur le terrain, elle reçoit un score CVSS 3.1 de 7,8.

Dans la même veine, deux autres failles critiques (CVE-2025-32706 et CVE-2025-32701), touchant le système de fichiers journaux communs de Windows, permettent une élévation de privilèges jusqu’au niveau SYSTEM. Là encore, elles concernent l’ensemble des versions de Windows, avec une exploitation active confirmée.

Un autre Zero Day (CVE-2025-30400) cible la bibliothèque du Gestionnaire de fenêtrage Microsoft, rendant vulnérables Windows 10, Server 2016 et toutes les versions ultérieures. Enfin, la cinquième faille critique (CVE-2025-30397) affecte le moteur de scripts Microsoft et permet l’exécution de code sur le réseau.

Cinq vulnérabilités Zero Day activement exploitées sont corrigées, toutes liées à l’OS Windows, et considérées comme critiques par les experts malgré leur évaluation initiale comme « importantes ».

CVE-2025-30397
Type : Corruption de mémoire dans le moteur de script
Conditions : Nécessite l’usage du mode Internet Explorer dans Microsoft Edge, une authentification côté client, et un clic sur un lien malveillant
Gravité réelle : Faible exploitation à large échelle à cause des nombreuses contraintes
Contexte : Peu de vulnérabilités similaires ces dernières années, sauf CVE-2024-38178, exploitée activement en août 2024

Des failles déjà connues, mais pas encore corrigées

Deux autres vulnérabilités font aussi l’objet d’un correctif, bien qu’elles aient déjà été divulguées publiquement. La première, une exécution de code à distance (CVE-2025-30397) dans Visual Studio, affecte les versions 2019 et 2022. Sa dangerosité reste modérée pour l’instant, car sa maturité est jugée « non prouvée » et son exploitabilité « peu probable ».

La deuxième concerne une faille d’usurpation d’identité (CVE-2025-26685) dans Microsoft Defender for Identity, qui pourrait permettre à un pirate d’imiter un utilisateur sur un réseau adjacent. Là encore, la menace reste théorique, mais la divulgation publique impose de s’en prémunir rapidement.

Ce Patch Tuesday ne se limite pas à la correction de failles : il inaugure également une évolution fonctionnelle importante dans Windows 11 et Server 2025. La mise à jour mensuelle pèse désormais près de 4 Go, un volume inhabituel qui s’explique par l’intégration de trois nouvelles fonctions basées sur l’intelligence artificielle.

Parmi elles, Recall, conçue pour faciliter la mémoire utilisateur à travers des rappels contextuels intelligents, Click to Do, un système d’automatisation des tâches courantes inspiré des macros intelligentes, et une version améliorée de Windows Search, désormais capable d’interpréter des requêtes complexes en langage naturel.

Ces ajouts répondent à la volonté de Microsoft d’intégrer l’IA plus profondément dans l’expérience utilisateur de Windows, dans un contexte où la concurrence — notamment avec Apple et Google — s’intensifie sur le terrain des assistants intelligents.

La mise à jour de mai introduit trois fonctions IA dans Windows, alourdissant le programme d’installation à près de 4 Go. Un changement qui marque un tournant vers des OS toujours plus intelligents.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

CVE-2025-30400
Type : Él evation de privilèges dans Desktop Window Manager (DWM)
Contexte : 26 vulnérabilités similaires dans DWM depuis 2022, mais seules deux autres exploitées comme zero-days (CVE-2024-30051, CVE-2023-36033)
Particularité : Faible visibilité d’exploitation active, mais DWM reste une cible fréquente

Adobe : 39 vulnérabilités corrigées, dont 33 critiques

Le Patch Tuesday ne concerne pas uniquement Microsoft. Adobe s’est également illustré avec la publication de 13 mises à jour couvrant un total de 39 CVE. Parmi elles, 33 sont classées comme critiques, soulignant une fois encore la fragilité de certains logiciels largement utilisés dans les milieux professionnels et créatifs, notamment Photoshop, Acrobat et ColdFusion.

Bien que les détails de chaque faille ne soient pas tous publics, Adobe incite les utilisateurs à appliquer les correctifs sans attendre. Comme pour Microsoft, plusieurs des failles corrigées peuvent permettre l’exécution de code arbitraire, avec des conséquences potentiellement dévastatrices si elles sont exploitées.

Pour les administrateurs système et les responsables de la sécurité informatique, ce Patch Tuesday de mai représente un défi de taille. Les correctifs sont nombreux, les priorités claires, mais la complexité croissante des environnements à maintenir rend leur déploiement délicat. Il ne s’agit plus seulement de corriger des failles : il faut aussi tester, valider, s’assurer que les nouvelles fonctionnalités IA n’introduisent pas d’instabilité ou de conflit avec des systèmes existants.

La pression est d’autant plus forte que les menaces ne sont plus théoriques. Les cinq failles Zero Day prouvées démontrent que des cybercriminels sont déjà à l’œuvre. Dans un contexte géopolitique tendu et face à la recrudescence des attaques par ransomwares, les entreprises savent que chaque jour gagné dans l’application des correctifs peut représenter des milliers d’euros économisés… ou évités en rançon.

CVE-2025-32701 & CVE-2025-32706
Type : Élévation de privilèges dans le pilote CLFS (Common Log File System)
Exploitabilité : Exploitées activement en post-compromission, probablement dans des campagnes de cyberespionnage ou de ransomware
Contexte : 33 failles dans CLFS depuis 2022, dont 6 zero-days activement exploités. Ces deux CVE s’inscrivent dans une tendance inquiétante

Vers une automatisation de la cybersécurité ?

L’ampleur de ce Patch Tuesday soulève une question essentielle : comment faire face durablement à une telle fréquence et complexité de mises à jour ? Les géants du secteur misent de plus en plus sur l’automatisation, l’intelligence artificielle et l’apprentissage automatique pour anticiper les failles et accélérer leur résolution. Mais ces outils nécessitent eux-mêmes des ressources et une gouvernance solides.

À terme, faudra-t-il déléguer entièrement les mises à jour à des systèmes intelligents autonomes ? Ou conserver une supervision humaine pour garder le contrôle des choix techniques et des risques éthiques associés à l’IA ?

Le mois de mai 2025, avec son Patch Tuesday dense et riche en nouveautés, illustre la double tendance actuelle : une sécurité toujours plus pressante et une technologie toujours plus complexe. Entre vulnérabilités critiques et assistants dopés à l’IA, l’équilibre devient aussi stratégique qu’ardu à maintenir.

CVE-2025-32709
Type : Élévation de privilèges dans afd.sys, le pilote associé à l’API WinSock
Usage : Typiquement utilisé après compromission initiale, pour renforcer les privilèges d’un attaquant
Contexte : 10 failles similaires depuis 2022, souvent exploitées comme zero-days dans des contextes post-intrusion

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

 

Cybersécurité, Mise à jour

Zoom muscle sa cybersécurité avec son Bug Bounty 2024

Près de 1 000 experts en cybersécurité ont collaboré avec Zoom pour identifier des failles critiques, réduisant de 90 % le temps de correction et renforçant la défense de ses outils de communication.

Dans un contexte où les cybermenaces évoluent à un rythme effréné, la course à la sécurité numérique s’intensifie. Zoom, acteur majeur des communications unifiées, vient de publier les résultats 2024 de son programme de Bug Bounty. Ce dispositif, qui récompense la découverte responsable de failles de sécurité, a mobilisé près de 1 000 chercheurs à travers le monde, permettant à la plateforme d’opérer une nette avancée dans la sécurisation de ses produits. En seulement un an, le délai de résolution des vulnérabilités critiques a chuté de plus de 90 %, un record pour l’entreprise.

Un tournant stratégique face à l’enjeu cyber

L’année 2024 aura marqué un changement de cap dans la stratégie de cybersécurité de Zoom. Consciente que sa croissance fulgurante depuis 2020 l’a rendue vulnérable à de nombreuses menaces, la société s’est engagée dans une collaboration d’envergure avec la communauté internationale des hackers éthiques. Grâce à sa coopération étroite une plateforme de coordination des programmes de Bug Bounty [comme Yes We Hack ou encore Yogosha], Zoom a pu élargir le champ de recherche de failles à une diversité d’experts, issus aussi bien du secteur académique que de la sécurité offensive. Résultat : plusieurs centaines de vulnérabilités identifiées via HackerOne, analysées et corrigées dans un délai considérablement réduit par rapport aux années précédentes.

Ce gain d’efficacité est particulièrement spectaculaire en matière de failles critiques. Entre février 2024 et janvier 2025, leur résolution a été accélérée de manière drastique. Là où certaines corrections prenaient plusieurs semaines, les équipes de Zoom sont aujourd’hui capables d’apporter une réponse adaptée en quelques jours. Cette performance, qui tient autant à l’efficacité du programme qu’à l’implication des chercheurs, marque une rupture par rapport aux standards du secteur.

Une participation record, des résultats concrets

La participation des chercheurs en sécurité à travers le monde a doublé par rapport à l’année précédente, avec près de 1 000 contributeurs ayant activement participé à la détection des failles. Zoom, qui s’appuie sur une architecture complexe mêlant vidéoconférence, collaboration en ligne et intégration cloud, a vu dans ce vivier de talents une opportunité de durcir ses défenses sur tous les fronts. Les vulnérabilités découvertes n’étaient pas que théoriques : elles ont donné lieu à des correctifs majeurs déployés dans les systèmes de production.

Parmi les améliorations notables, on trouve un renforcement des mécanismes d’authentification sur l’ensemble des services, un durcissement des points d’accès API contre les vecteurs d’attaque émergents, un affinement des permissions au sein des outils collaboratifs ainsi qu’un meilleur contrôle des accès aux données dans l’infrastructure cloud. Autant de chantiers techniques qui témoignent de la complexité du défi, mais aussi de la volonté de Zoom de ne laisser aucun angle mort.

« La résolution des failles critiques a été réduite de 90 % en un an, un record pour la plateforme. »

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Diversification des approches et spécialisation des profils

Le succès du programme repose également sur sa structuration multi-niveaux. Zoom n’a pas misé sur un modèle unique, mais a préféré orchestrer une série de dispositifs adaptés à différents profils de chercheurs. Le programme public “VDP” (Vulnerability Disclosure Program) a ouvert les portes à toute la communauté mondiale des white hats. En parallèle, un programme privé a été lancé, ciblant des fonctionnalités spécifiques et permettant des tests en conditions quasi réelles. Les chercheurs VIP, sélectionnés pour leur expertise pointue, ont travaillé sur les systèmes critiques de l’écosystème Zoom.

Enfin, les challenges spécialisés ont constitué une forme de compétition ciblée sur des technologies émergentes, à l’image des outils d’intelligence artificielle ou des nouveaux services de réalité augmentée que l’entreprise développe. Cette segmentation stratégique permet à Zoom de tirer parti d’un large éventail de compétences, tout en s’assurant que les tests effectués répondent aux besoins spécifiques de chaque produit ou service.

Cette organisation a permis d’identifier non seulement des failles inattendues, mais aussi des zones de friction dans les flux d’utilisation, offrant un retour d’expérience précieux aux équipes produit. Zoom estime ainsi que son approche Bug Bounty constitue désormais un maillon essentiel de son processus de développement sécurisé.

Une dynamique encouragée par les résultats

La reconnaissance du travail des chercheurs n’est pas restée symbolique. Zoom a activement valorisé les contributions les plus importantes, avec un système de récompenses ajusté en fonction de la gravité des failles. Le meilleur contributeur de 2024 a ainsi identifié 12 vulnérabilités majeures, renforçant la crédibilité du programme et incitant d’autres experts à s’impliquer. Certains participants ont même atteint le statut de “chercheur élite”, une distinction attribuée aux profils les plus réguliers et pertinents du programme.

Porté par ces résultats, Zoom a déjà annoncé les grandes lignes de l’évolution de son programme pour 2025. L’un des axes majeurs sera l’élargissement du périmètre des tests à l’ensemble des nouvelles offres produits, incluant notamment les fonctionnalités à base d’IA générative ou les futures applications immersives. Le budget alloué aux récompenses sera lui aussi revu à la hausse, avec une augmentation prévue dans toutes les catégories de failles.

En parallèle, Zoom mise sur l’automatisation du triage des rapports de vulnérabilités grâce à l’intelligence artificielle, afin d’accélérer l’analyse initiale et de prioriser les actions plus efficacement. Des événements internationaux sont également au programme : ils réuniront les meilleurs chercheurs lors de “live hacking events” pour renforcer la sécurité sur des technologies de pointe. Cette approche proactive témoigne d’une volonté d’ancrer la sécurité dans la culture même de l’innovation.

Sandra McLeod, Chief Information Security Officer de Zoom, résume ainsi cette stratégie : « Cette approche nous permet de mobiliser les talents adéquats dans des environnements de test adaptés, ce qui garantit des résultats concrets en matière de sécurité. » Une vision résolument collaborative et orientée vers l’agilité, dans un domaine où la vitesse d’exécution est devenue cruciale.

La cybersécurité comme levier de confiance

Au-delà des aspects techniques, le Bug Bounty s’impose comme un levier de confiance. Pour une plateforme utilisée quotidiennement par des millions d’utilisateurs dans le monde entier, l’assurance d’un environnement sécurisé est devenue un critère de choix incontournable. En se dotant d’un tel programme, Zoom adresse non seulement les enjeux actuels de cybersécurité, mais anticipe aussi les exigences réglementaires croissantes en matière de protection des données.

Alors que les cyberattaques continuent de se multiplier et de se professionnaliser, l’exemple de Zoom montre que l’ouverture, la transparence et la coopération peuvent constituer des armes redoutablement efficaces. En mobilisant les compétences de milliers de chercheurs dans le monde, l’entreprise n’a pas seulement colmaté des brèches : elle a posé les bases d’une cybersécurité vivante, adaptative, en perpétuelle évolution.

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Apple, Cybersécurité, Mise à jour, Patch

AirPlay en péril : les failles « AirBorne » mettent en danger des milliards d’appareils Apple

Des chercheurs ont découvert 23 vulnérabilités dans AirPlay, menaçant potentiellement plus de deux milliards d’appareils Apple et tiers d’attaques informatiques sophistiquées.

La dernière alerte de cybersécurité en date concerne l’un des protocoles les plus utilisés de l’écosystème Apple : AirPlay. Conçu pour permettre la transmission fluide de contenu audio, vidéo ou d’affichage entre appareils Apple – ou vers des appareils tiers compatibles – AirPlay est aujourd’hui au centre d’un problème de sécurité d’envergure. Le 31 mars 2025, Apple a publié une série de correctifs critiques pour iOS, macOS, iPadOS, visionOS ainsi que pour les SDK audio et vidéo AirPlay. En cause : un ensemble de 23 vulnérabilités découvertes par les experts de la société Oligo Security, regroupées sous le nom évocateur de « AirBorne ».

Ces failles permettent notamment l’exécution de code à distance, les attaques Man-in-the-Middle (MitM), le déni de service, l’interaction non autorisée avec l’utilisateur et la lecture de fichiers locaux. Parmi les menaces les plus graves identifiées : deux failles de type « zéro clic », permettant de compromettre un appareil sans aucune interaction de l’utilisateur, et une autre contournant la validation manuelle d’une connexion AirPlay. Ces vulnérabilités peuvent être exploitées via une connexion directe entre appareils ou à travers un réseau Wi-Fi partagé, décuplant ainsi leur potentiel de propagation et de nuisance.

Un risque systémique pour l’écosystème Apple

L’une des forces d’Apple – la connectivité fluide entre ses appareils – devient ici une faiblesse structurelle. Un iPhone compromis par AirBorne pourrait, par exemple, infecter un Mac, une Apple TV ou même un téléviseur tiers connecté au même réseau domestique ou professionnel. Les conséquences sont multiples : espionnage discret via prise de contrôle des flux audiovisuels, déploiement de rançongiciels, compromission de chaînes d’approvisionnement ou sabotage de systèmes critiques dans des environnements sensibles comme les hôpitaux ou les entreprises technologiques.

Les chercheurs d’Oligo Security ont démontré que des haut-parleurs Bose ou des téléviseurs intelligents compatibles AirPlay peuvent aussi être visés. À travers une vidéo de preuve de concept, ils ont montré qu’il est possible d’afficher des images arbitraires sur un appareil tiers, soulignant le potentiel d’un contrôle complet à distance.

« AirPlay est omniprésent et vulnérable »

Selon Oligo, pas moins de 2,35 milliards d’appareils Apple dans le monde sont concernés. À ce chiffre déjà vertigineux s’ajoutent des dizaines de millions d’appareils tiers, comme les haut-parleurs connectés, les téléviseurs intelligents et les systèmes de divertissement embarqués prenant en charge CarPlay. En clair, la surface d’attaque dépasse largement les seuls produits Apple.

« Étant donné qu’AirPlay est pris en charge par un grand nombre d’appareils, il faudra des années pour que beaucoup d’entre eux soient corrigés, ou ils ne le seront jamais« , avertissent les chercheurs.

Cette prédiction fait froid dans le dos. Car si Apple a rapidement publié des correctifs pour ses propres appareils, les fabricants tiers devront adapter, tester et déployer leurs propres mises à jour pour les intégrer. Or, dans le monde de l’électronique grand public, où les mises à jour logicielles tardent souvent – voire sont complètement négligées – ce délai représente un danger concret et durable.

Veille ZATAZ : adoptée et approuvée par 96 % de nos abonnés !

Des attaques potentiellement autonomes et persistantes

Les failles AirBorne sont d’autant plus préoccupantes qu’elles pourraient être utilisées pour créer un ver, c’est-à-dire un logiciel malveillant capable de se propager de manière autonome d’un appareil vulnérable à un autre. Cela rappelle les grands incidents informatiques comme WannaCry ou NotPetya, qui ont paralysé des réseaux entiers à l’échelle mondiale.

Dans le cas présent, un tel ver pourrait tirer parti de la connectivité sans fil entre les appareils pour s’infiltrer sans laisser de trace visible. Il suffirait qu’un utilisateur se connecte à un réseau Wi-Fi public ou mal sécurisé pour voir son téléphone ou son ordinateur portable compromis, devenant alors un vecteur d’infection pour tous les autres appareils compatibles AirPlay du réseau.

« Ce type de vulnérabilités peut avoir de graves conséquences« , écrivent les experts, soulignant que l’attaque peut débuter par un simple partage de contenu AirPlay entre deux appareils de confiance.

Des réponses à mettre en œuvre rapidement

Face à cette menace, la réponse ne peut pas se limiter à des correctifs techniques. Les chercheurs appellent les entreprises à mettre immédiatement à jour tous les appareils Apple qu’elles utilisent, y compris les terminaux personnels des employés, et à désactiver AirPlay lorsqu’il n’est pas indispensable.

Ils recommandent également de limiter l’accès à AirPlay par le biais de pare-feux ou de règles de sécurité réseau, en s’assurant que seuls des appareils connus et approuvés puissent établir une connexion. Ces mesures sont relativement simples à mettre en œuvre dans un environnement d’entreprise, mais beaucoup plus complexes dans le grand public, où la commodité prime souvent sur la sécurité.

Du côté d’Apple, la réponse a été rapide, mais reste partielle. En publiant des mises à jour pour iOS 18.4, macOS Sonoma 14.7.5, Ventura 13.7.5, Sequoia 15.4 et visionOS 2.4, l’entreprise a montré sa capacité à réagir efficacement. Toutefois, elle ne peut pas imposer aux fabricants tiers de patcher leurs produits, ni contraindre les utilisateurs à installer les mises à jour.

Cela pose la question de la gestion de la sécurité dans les écosystèmes interconnectés, où la responsabilité est répartie entre plusieurs acteurs : Apple, les fabricants tiers, les développeurs de logiciels, les fournisseurs d’accès et, bien sûr, les utilisateurs eux-mêmes.

La promesse d’AirPlay se heurte à la réalité des cybermenaces

Depuis son lancement, AirPlay a été présenté comme un symbole d’innovation, de simplicité et d’interopérabilité. Mais en 2025, cette vision est remise en question par une réalité plus sombre : celle de systèmes complexes, où chaque fonction peut devenir un vecteur de compromission.

À mesure que les objets connectés prolifèrent, que les voitures s’équipent de CarPlay, et que les foyers adoptent des téléviseurs toujours plus intelligents, la sécurité des protocoles comme AirPlay devient une priorité stratégique. Car si ces failles venaient à être exploitées à grande échelle, les conséquences pourraient être dramatiques pour les particuliers comme pour les organisations.

D’autant que la connectivité AirPlay est souvent active par défaut, exposant sans le savoir de nombreux utilisateurs à des risques qu’ils ne soupçonnent même pas. L’illusion de sécurité procurée par la marque Apple pourrait ainsi jouer contre elle, en incitant à un excès de confiance.

L’affaire AirBorne pose, en filigrane, la question fondamentale de la confiance dans les technologies que nous utilisons chaque jour. Quand un protocole aussi central et populaire qu’AirPlay se révèle vulnérable à des attaques sophistiquées, c’est l’ensemble de l’édifice numérique qui vacille.

Les prochaines semaines diront si les mises à jour d’Apple suffiront à juguler la menace ou si, comme le craignent certains experts, une vague d’attaques exploitant ces failles se prépare. Mais une chose est sûre : l’affaire AirBorne marquera un tournant dans la manière dont la sécurité des protocoles sans fil est perçue, tant par les ingénieurs que par le grand public.

En fin de compte, cette alerte pourrait-elle inciter les fabricants à repenser l’architecture de leurs systèmes et à accorder une priorité absolue à la sécurité dès la conception ?

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à notre newsletter.

Cybersécurité, Mise à jour

Vers la fin des certificats SSL longue durée

À partir de 2029, les certificats SSL/TLS ne seront valides que pendant 47 jours. Une révolution discrète mais cruciale dans la sécurité du web vient d’être actée.

C’est un changement majeur dans l’infrastructure invisible du web. Le CA/Browser Forum, organe central réunissant les géants du numérique et les autorités de certification, a voté pour une réduction drastique de la durée de validité des certificats SSL/TLS. Actuellement fixée à 398 jours, cette durée sera ramenée à seulement 47 jours d’ici mars 2029. L’objectif affiché : améliorer la sécurité des connexions HTTPS en limitant la période pendant laquelle un certificat compromis pourrait être exploité. Si cette évolution bénéficie du soutien unanime des grands noms du secteur – Apple, Google, Microsoft et Mozilla en tête – elle suscite aussi l’inquiétude des administrateurs système. Car derrière cette décision technique se cache une transformation radicale de la gestion des certificats numériques, qui exigera des entreprises une adaptation rapide vers des systèmes d’automatisation plus robustes.

Le web est en mutation. Si l’internaute lambda ne remarque jamais les certificats SSL/TLS, ces petits fichiers sont pourtant les garants de la confidentialité et de la sécurité de ses échanges en ligne. En garantissant qu’un site est bien celui qu’il prétend être et en chiffrant les données échangées, ces certificats sont au cœur de l’architecture du HTTPS, le protocole sécurisé devenu standard sur internet.

15 mars 2026 : nouveaux certificats émis, y compris leur validation de contrôle de domaine (DCV), devront être renouvelés tous les 200 jours.
15 mars 2027 : Cette durée de validité sera réduite à 100 jours.
15 mars 2029 : nouveaux certificats SSL/TLS limités à 47 jours, et les DCV à seulement 10 jours.

Jusqu’ici, les certificats pouvaient être valides pendant plus d’un an. Mais dès le 15 mars 2026, cette durée tombera à 200 jours. Et trois ans plus tard, en 2029, la validité maximale sera divisée par plus de huit : un certificat SSL/TLS ne pourra être émis que pour 47 jours. La validation de contrôle de domaine (DCV), qui garantit que le demandeur du certificat contrôle bien le nom de domaine, tombera quant à elle à 10 jours.

« Le soutien unanime des grandes plateformes numériques montre à quel point la sécurité est devenue une priorité absolue. »

Cette décision n’est pas un coup de tête. En réalité, elle s’inscrit dans une tendance amorcée il y a plusieurs années. En 2020, Apple avait déjà pris l’initiative de refuser, via Safari, les certificats valables plus de 13 mois. Depuis, la firme de Cupertino n’a cessé de pousser pour une réduction encore plus sévère de cette durée, arguant que des certificats plus courts limitent les risques d’exploitation en cas de compromission.

Le raisonnement est simple : si un certificat est volé ou compromis, plus sa durée est courte, moins l’attaquant peut l’exploiter. Un certificat valable 398 jours donne aux cybercriminels plus d’un an de champ libre. Un certificat valable 47 jours, c’est autant de jours de moins pour commettre des attaques ou intercepter des données. De quoi limiter significativement les dégâts potentiels en cas de faille.

Mais ce changement a un coût. Pour les autorités de certification, c’est l’assurance d’un marché plus dynamique, avec des renouvellements plus fréquents. Cela pourrait sembler cynique, mais dans les faits, des acteurs comme Let’s Encrypt proposent déjà des certificats gratuits valables seulement 90 jours – et encouragent même l’automatisation complète de leur renouvellement. Leur modèle, basé sur des API et des scripts, montre que l’approche est viable, à condition d’avoir une infrastructure moderne.

C’est justement là que le bât blesse. Car toutes les entreprises ne sont pas prêtes. Dans les forums spécialisés comme Reddit, les réactions des administrateurs système oscillent entre résignation et colère. Beaucoup soulignent que dans un monde idéal, entièrement automatisé, ce changement ne poserait pas de problème. Mais dans la réalité quotidienne des infrastructures informatiques, souvent vieillissantes ou dépendantes de systèmes propriétaires rigides, la mise en place de processus de renouvellement automatique représente un défi de taille.

« La réduction à 47 jours est un pari sur l’avenir, mais elle oblige les entreprises à revoir en profondeur leurs pratiques de gestion des certificats. »

Certains équipements industriels, notamment dans les secteurs de l’énergie, de la santé ou des transports, reposent encore sur des systèmes où le renouvellement d’un certificat est une opération manuelle, parfois lourde, parfois risquée. La multiplication des certificats courts risque donc, à court terme, de générer un surcroît de travail et des coûts d’adaptation non négligeables.

Les cinq abstentions au sein du CA/Browser Forum – Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems et TWCA – reflètent cette tension entre idéal de sécurité maximale et réalité de terrain. Aucun acteur n’a voté contre, mais l’unanimité n’était pas totale. Cela montre que, malgré les avantages évidents sur le plan de la sécurité, tous ne sont pas convaincus de la faisabilité immédiate d’une telle transition.

Du côté des éditeurs de navigateurs, en revanche, le consensus est clair. Apple, Google, Microsoft et Mozilla ont tous approuvé la réduction drastique. Leur position est stratégique : en imposant ces règles via leurs navigateurs, ils forcent de facto tout l’écosystème à s’adapter. Les entreprises qui ne suivent pas verront leurs sites marqués comme non sécurisés, ce qui, à l’heure de la confiance numérique, est un désastre d’image.

Cette pression par le haut s’accompagne toutefois d’une certaine souplesse dans le calendrier. En introduisant une étape intermédiaire en 2026, le CA/Browser Forum espère laisser le temps aux entreprises de moderniser leurs outils. L’enjeu est aussi de préparer le web à des menaces futures, notamment celles que pourrait faire peser l’arrivée de l’informatique quantique sur les systèmes cryptographiques actuels. La flexibilité offerte par des certificats à courte durée permettra de réagir plus vite à de nouveaux risques.

Dans ce contexte, les entreprises doivent désormais considérer la gestion des certificats non plus comme une tâche ponctuelle, mais comme un processus intégré à part entière dans leur politique de cybersécurité. Les outils d’automatisation comme Certbot, déjà largement utilisés avec Let’s Encrypt, devraient devenir la norme. De nouveaux standards d’orchestration et d’intégration dans les pipelines DevOps sont également en cours d’élaboration pour accompagner cette transition.

Ce tournant technique, bien que discret, marque un changement de paradigme. La sécurité n’est plus une barrière à franchir une fois pour toutes, mais une boucle continue, un processus dynamique qui s’adapte en permanence. Et les certificats SSL/TLS, autrefois perçus comme de simples formalités, deviennent les marqueurs de cette nouvelle exigence.

La vraie question, désormais, est de savoir si l’ensemble des acteurs du web seront capables de suivre le rythme imposé par cette évolution. Car si les grandes plateformes disposent des moyens pour s’adapter rapidement, ce sont les petites structures, les administrations et les secteurs aux infrastructures figées qui risquent de se retrouver en difficulté.

La réduction à 47 jours des certificats SSL/TLS pourrait bien renforcer la sécurité du web, mais elle impose une refonte complète des pratiques de gestion des certificats. Dans un monde numérique en perpétuelle évolution, les entreprises sauront-elles faire preuve de l’agilité nécessaire pour relever ce défi ?

Cybersécurité, Mise à jour, Patch

Sécurité en alerte : Microsoft corrige 126 failles, dont une déjà exploitée

Microsoft a publié une mise à jour de sécurité massive pour corriger 126 vulnérabilités, dont une, critique, est déjà activement exploitée par des groupes de hackers.

C’est un rituel désormais bien rôdé : chaque deuxième mardi du mois, Microsoft déploie son « Patch Tuesday », la grande mise à jour mensuelle de sécurité de ses produits. Mais celle d’avril 2025 a fait l’effet d’un coup de semonce dans le secteur. Avec pas moins de 126 failles comblées, dont 11 jugées critiques, 112 importantes et 2 de moindre gravité, le géant de Redmond montre l’ampleur des menaces qui pèsent aujourd’hui sur les utilisateurs de ses systèmes. Surtout, une vulnérabilité particulièrement dangereuse, identifiée sous le code CVE-2025-29824, attire toutes les attentions : déjà exploitée activement dans la nature, elle concerne un composant central de Windows et laisse des millions d’appareils à la merci de pirates.

La faille CVE-2025-29824 touche le pilote Windows CLFS (Common Log File System), un composant chargé de la gestion des journaux système. La nature de la brèche est connue : il s’agit d’une erreur de type use-after-free, un bug de gestion de mémoire bien documenté qui permet, dans certains cas, à un attaquant local de prendre le contrôle complet de la machine. Le plus inquiétant est que cette faille ne nécessite pas de droits administrateur pour être exploitée. Un simple accès local suffit pour élever ses privilèges au niveau système, ouvrant la voie à toutes les dérives, notamment l’installation de rançongiciels. Microsoft a confirmé que cette vulnérabilité était déjà utilisée dans des attaques réelles.

La faille critique CVE-2025-29824, activement exploitée, permet à un utilisateur local d’obtenir un contrôle total sur un système Windows sans droits d’administrateur.

Ce type d’attaque n’en est pas à son premier coup d’essai. Depuis 2022, c’est la sixième vulnérabilité du même genre exploitée dans CLFS, ce qui souligne une faiblesse structurelle dans le composant. En réaction à la menace, la CISA (Cybersecurity and Infrastructure Security Agency) américaine a ajouté cette faille à son catalogue des vulnérabilités activement exploitées. Elle impose aux agences fédérales de déployer le correctif avant le 29 avril 2025, une mesure exceptionnelle qui traduit l’urgence de la situation.

Mais tout le monde ne peut pas encore respirer. Le correctif de Microsoft n’est pas disponible pour certaines versions de Windows 10, en particulier les éditions 32 et 64 bits, toujours largement utilisées dans le monde professionnel comme chez les particuliers. Cela signifie que des millions d’appareils restent vulnérables à cette faille, sans solution immédiate. Pour ces utilisateurs, la seule défense reste la prudence et la limitation des accès physiques aux machines.

Outre CVE-2025-29824, la vague de correctifs d’avril couvre un large éventail de services et d’applications critiques. Des failles ont été corrigées dans des protocoles d’authentification comme Kerberos, dans le bureau à distance RDP, le service LDAP, la suite bureautique Microsoft Office (dont Excel), ainsi que dans la pile réseau TCP/IP de Windows et l’hyperviseur Hyper-V. Plusieurs de ces vulnérabilités permettaient l’exécution de code à distance, ce qui, dans les mains d’un pirate, peut se traduire par une prise de contrôle totale du système ciblé.

Certaines failles corrigées ce mois-ci permettaient l’exécution de code à distance, ouvrant la porte à des compromissions totales de système.

Ces failles, combinées à la montée en puissance des attaques par rançongiciel, posent de sérieuses questions sur la résilience des infrastructures informatiques. Aujourd’hui, les cyberattaques ne visent plus seulement les grandes entreprises ou les institutions : elles touchent aussi les PME, les collectivités, les hôpitaux et les particuliers. Chaque faille non corrigée devient une porte d’entrée potentielle pour des groupes cybercriminels de plus en plus organisés, souvent liés à des États.

La publication de cette mise à jour n’est pas un événement isolé. Avril 2025 a vu un véritable branle-bas de combat dans l’ensemble de l’industrie technologique. Outre Microsoft, des entreprises comme Adobe, Google, Apple, Cisco, HP, AMD, Mozilla, Fortinet, SAP, Zoom et les éditeurs de distributions Linux ont également publié des mises à jour de sécurité importantes. Cela montre à quel point les failles sont omniprésentes, souvent découvertes par des chercheurs en cybersécurité, mais aussi parfois après avoir été utilisées à mauvais escient.

Pour les professionnels de l’IT et les responsables de la sécurité, cette cascade de correctifs signifie des heures de travail supplémentaires pour tester, déployer et vérifier les mises à jour dans des environnements parfois complexes. Le moindre oubli, le moindre retard peut avoir des conséquences dramatiques. Dans ce contexte, les politiques de gestion des correctifs (patch management) deviennent une composante essentielle de la stratégie de cybersécurité d’une organisation.

Microsoft, de son côté, continue d’améliorer ses systèmes de détection et de réponse face aux menaces. L’entreprise s’appuie sur des données récoltées à travers son vaste écosystème pour repérer rapidement les nouvelles attaques. Mais face à l’ingéniosité des cybercriminels, la simple réactivité ne suffit plus. Il faut une approche proactive, avec des audits réguliers, une réduction de la surface d’attaque et une sensibilisation constante des utilisateurs aux bons comportements.

À moyen terme, la dépendance à des composants anciens et parfois mal sécurisés comme CLFS interroge sur la durabilité des architectures logicielles actuelles. Faut-il réécrire des pans entiers du code de Windows pour éviter les mêmes erreurs ? Est-il encore viable de maintenir autant de versions du système d’exploitation en parallèle ? Ces questions, stratégiques, dépassent le cadre technique et engagent l’ensemble de l’écosystème numérique.

Enfin, cette actualité rappelle une réalité trop souvent ignorée : la cybersécurité n’est plus un sujet réservé aux experts. C’est une préoccupation quotidienne, qui touche directement la vie des utilisateurs et la stabilité des entreprises. Face à des menaces de plus en plus sophistiquées, la seule stratégie gagnante reste la vigilance.

Cybersécurité, Mise à jour, Patch

Coupure brutale dans la cybersécurité : la base CVE s’éteint

Le gouvernement américain a mis fin au financement de la base de données CVE, pilier mondial de la cybersécurité, provoquant sa fermeture immédiate et laissant un vide critique dans la détection des vulnérabilités… pour faire marche arrière ensuite !

C’est un tournant inquiétant pour l’écosystème de la cybersécurité mondiale. Ce mercredi, la célèbre base de données CVE (Common Vulnerabilities and Exposures), référence universelle en matière d’identification des failles informatiques, s’éteint. En cause : la fin du contrat entre la MITRE Corporation, organisme à but non lucratif gestionnaire du projet, et la CISA, l’agence fédérale américaine chargée de la cybersécurité. Un non-renouvellement abrupt, inscrit dans une politique budgétaire restrictive menée par l’administration Trump, qui provoque l’interruption immédiate de cette infrastructure pourtant essentielle. Depuis 1999, le système CVE permettait une classification claire et standardisée des failles de sécurité. Sa disparition temporaire bouleverse le fonctionnement quotidien de milliers de professionnels à travers le monde.

Un tournant que Datasecuritybreach.fr avait mis en avant, en février et mars 2025. La Maison Blanche ayant mis une pression économique auprès de plusieurs structures dédiées à la cybersécurité, dont la CISA.

La scène se passe presque dans le silence. Pas de conférence de presse ni de communiqué tapageur. Pourtant, l’arrêt de la base de données CVE constitue l’un des événements les plus marquants de ces dernières années pour la cybersécurité internationale. Des millions de professionnels s’appuyaient sur cette base pour identifier, référencer et corriger les vulnérabilités affectant les logiciels, les systèmes d’exploitation ou les composants matériels. L’arrêt de sa mise à jour signifie que les vulnérabilités découvertes à partir d’aujourd’hui ne seront plus répertoriées de manière centralisée, unique et accessible à tous.

Depuis plus de deux décennies, le CVE a été l’épine dorsale de la coordination dans la réponse aux menaces. À l’origine, le projet avait été lancé pour mettre fin au chaos régnant dans les années 1990, où chaque entreprise utilisait ses propres référentiels, rendant les échanges sur les failles complexes et peu efficaces. Grâce au CVE, une faille se voyait attribuer un identifiant unique – une sorte de matricule – permettant à toutes les équipes de cybersécurité, quels que soient leurs outils ou leur pays, de parler le même langage.

« La fin du CVE n’est pas seulement symbolique, elle est structurelle : c’est la disparition d’un standard global sans équivalent immédiat. »

Mais le contrat entre la MITRE Corporation et le ministère de la Sécurité intérieure américain, via la CISA, prend fin ce mercredi, sans reconduction. Cette décision, confirmée par le gouvernement, s’inscrit dans une logique de réduction budgétaire engagée par l’exécutif, au détriment de certains outils considérés comme coûteux ou non prioritaires. Et c’est là que le bât blesse : le coût de fonctionnement du programme CVE, pourtant relativement modeste à l’échelle des budgets fédéraux, est jugé superflu dans le cadre de cette politique d’austérité numérique.

Ce choix soulève l’incompréhension chez de nombreux acteurs du secteur, tant publics que privés. Car si la base de données CVE était officiellement américaine, sa portée, elle, était universelle. Des centaines de chercheurs, de laboratoires, de grandes entreprises de cybersécurité, mais aussi d’organisations gouvernementales et non gouvernementales du monde entier y contribuaient. Le modèle collaboratif du CVE en faisait un bien commun numérique, sans équivalent dans sa structuration et sa portée.

La fermeture brutale du système a pris de court nombre de professionnels. Si les anciennes données restent disponibles via des archives sur GitHub, elles ne seront plus mises à jour tant qu’aucune solution alternative n’aura été trouvée. Et c’est bien là que se situe le danger : selon les chiffres récents, plus de 25 000 nouvelles vulnérabilités ont été enregistrées dans la base CVE rien qu’en 2023. Leur absence de référencement officiel risque d’entraver sérieusement les réponses coordonnées à venir.

L’impact pourrait être particulièrement sévère pour les petites et moyennes entreprises, ainsi que pour les institutions publiques ne disposant pas de moyens pour accéder à des services commerciaux de suivi de vulnérabilités. De nombreuses solutions logicielles de gestion des risques ou de patching automatisé s’appuient directement sur les identifiants CVE pour détecter et corriger les failles. Sans ces repères, les délais de réaction risquent de s’allonger, laissant la porte ouverte à des cyberattaques d’envergure.

« Sans CVE, chaque organisation devra réinventer sa propre méthode de suivi des failles, avec les risques d’erreurs et de lenteurs que cela implique. »

Dans l’urgence, plusieurs pistes sont envisagées pour pallier ce vide. Certains évoquent la création d’un consortium international qui prendrait en charge la continuité du projet, sur un modèle similaire à celui de l’ICANN pour la gouvernance des noms de domaine. D’autres misent sur une reprise du flambeau par des entreprises majeures du secteur, comme Google, Microsoft ou encore IBM, qui disposent des moyens techniques et humains pour maintenir une base à jour. Mais ces options posent aussi des questions éthiques et politiques. Une base gérée par une entreprise privée pourrait perdre sa neutralité, tandis qu’une gouvernance internationale impliquerait des négociations complexes, longues et souvent ralenties par des logiques géopolitiques divergentes.

Dans l’intervalle, certains acteurs, notamment européens, pourraient saisir l’opportunité pour développer une alternative ouverte et souveraine. La question d’une autonomie stratégique en cybersécurité est de plus en plus discutée sur le Vieux Continent, et la fin de la base CVE pourrait accélérer cette dynamique. Un projet européen, financé par des institutions comme l’ENISA ou la Commission européenne, aurait le mérite de réduire la dépendance aux infrastructures américaines et de redonner une impulsion aux politiques de cybersécurité européennes.

Mais rien de tout cela ne sera immédiat. La construction d’une base de données fiable, exhaustive et reconnue prend du temps. Il faudra recréer des réseaux de contributeurs, des protocoles d’évaluation et des processus d’attribution normalisés. En attendant, le secteur devra composer avec une zone grise, où l’identification et la diffusion des vulnérabilités se feront de manière fragmentée.

Certains experts alertent d’ailleurs sur le risque d’une recrudescence de failles non signalées ou mal documentées dans les semaines à venir. Dans ce contexte d’instabilité, les cybercriminels pourraient profiter de cette désorganisation pour exploiter des brèches non encore corrigées. Une situation que les gouvernements comme les entreprises redoutent particulièrement.

Alors que le numérique structure aujourd’hui tous les pans de notre société – santé, finance, énergie, transports – la cybersécurité n’a jamais été aussi stratégique. Or, l’arrêt d’un outil aussi fondamental que le CVE fragilise un édifice déjà sous pression constante. Cette décision marque aussi un signal politique inquiétant : la cybersécurité ne semble plus figurer parmi les priorités stratégiques immédiates des États-Unis, du moins dans sa dimension coopérative et ouverte.

Le CVE n’est pas qu’une base de données. Il est le socle invisible sur lequel repose la coordination mondiale en matière de sécurité informatique. Sa disparition, même temporaire, doit alerter sur la fragilité des infrastructures numériques essentielles lorsqu’elles dépendent d’un unique acteur public ou privé. C’est l’un des paradoxes de notre ère numérique : à l’heure où tout est interconnecté, les outils critiques reposent encore sur des fondations institutionnelles trop peu résilientes.

Alors que le monde cherche une solution de remplacement à la base CVE, une question persiste : la cybersécurité mondiale peut-elle continuer de reposer sur des initiatives isolées, ou est-il temps d’envisager une gouvernance réellement collective et pérenne de la sécurité numérique ?

Mise à jour : La CISA (Cybersecurity and Infrastructure Security Agency) a finalement prolongé mardi soir son contrat avec le programme CVE (Common Vulnerabilities and Exposures), géré par le MITRE.

Le programme CVE, utilisé depuis 25 ans pour identifier et cataloguer les failles de cybersécurité à l’échelle mondiale, risquait de perdre ses financements dès mercredi. Heureusement, un prolongement de 11 mois a été acté in extremis pour éviter une interruption des services critiques.

Cependant, des tensions apparaissent : une partie du conseil du programme CVE envisage de créer une nouvelle entité indépendante, la CVE Foundation, pour garantir la neutralité et la pérennité du programme, actuellement trop lié à un financement gouvernemental unique.

Ce rebondissement intervient alors que la CISA fait face à des réductions budgétaires, des résiliations de contrats et des critiques politiques, notamment sur son rôle durant les élections de 2020. La secrétaire à la Sécurité intérieure Kristi Noem souhaite une réduction de taille et de dépenses pour rendre l’agence « plus efficace et agile« .

Mise à jour : des rebondissements qui ont permis à l’Europe de sortir de la cave https://euvd.enisa.europa.eu/– au moment de cette mise à jour, le site attend de passer en … 2025 !

Cybersécurité, Mise à jour, Patch

Un outil gratuit pour vaincre le ransomware Akira sur Linux

Un outil gratuit pour décrypter le ransomware Akira sur Linux grâce à la puissance des GPU.

Un chercheur en cybersécurité, Yohanes Nugroho, a développé un outil de décryptage gratuit permettant de vaincre le ransomware Akira sur Linux. Ce projet complexe a nécessité trois semaines de travail intensif, un investissement de 1 200 $ en ressources GPU, et une approche innovante basée sur la force brute pour récupérer les clés de chiffrement.

Une percée majeure dans la lutte contre Akira

Face à la menace persistante du ransomware Akira, une nouvelle avancée pourrait changer la donne. Yohanes Nugroho, expert en cybersécurité, a récemment publié un outil de décryptage gratuit capable de restaurer des fichiers chiffrés par ce malware ciblant les systèmes Linux. Le projet, initialement prévu pour durer une semaine, a finalement nécessité trois semaines de travail et 1 200 $ de ressources GPU en raison de la complexité inattendue du processus.

Akira est un ransomware redoutable, actif depuis la fin de 2023, qui chiffre les fichiers à l’aide de clés générées à partir de quatre horodatages précis à la nanoseconde. Grâce à une analyse approfondie des fichiers journaux et des métadonnées des fichiers, Nugroho a pu mettre au point une méthode permettant de contourner le chiffrement en exploitant cette faiblesse dans la génération des clés. Son outil repose sur la puissance des GPU pour effectuer une attaque par force brute, une méthode inhabituelle dans le domaine du décryptage.

« Akira génère des clés de chiffrement uniques pour chaque fichier en utilisant quatre moments précis à la nanoseconde. En utilisant une force brute GPU optimisée, nous avons pu retrouver ces clés et restaurer les fichiers sans payer de rançon. » – Yohanes Nugroho

La faille dans le chiffrement d’Akira

Le ransomware Akira utilise une méthode de chiffrement complexe basée sur la génération de clés uniques pour chaque fichier. Cette génération repose sur l’algorithme de hachage SHA-256, appliqué en 1 500 tours sur quatre horodatages distincts, mesurés à la nanoseconde près. Cette complexité rend le processus de déchiffrement extrêmement difficile, voire impossible avec des méthodes classiques.

Cependant, Nugroho a découvert une faille : l’utilisation de ces horodatages permet de recréer les clés de chiffrement par rétro-ingénierie. Les deux premiers et les deux derniers horodatages sont liés, ce qui a permis à Nugroho de restreindre le champ de recherche et d’augmenter la vitesse du processus de force brute.

Akira chiffre les fichiers en utilisant une combinaison de KCipher2 et Chacha8, des algorithmes de chiffrement réputés pour leur robustesse. Les clés sont ensuite chiffrées avec RSA-4096 et intégrées dans les fichiers. Cette double couche de sécurité rend normalement le décryptage très complexe. Cependant, en identifiant les plages de temps précises utilisées pour générer les clés, Nugroho a réussi à réduire considérablement la difficulté du processus.

« Le malware ne s’appuie pas sur un seul moment dans le temps, mais sur quatre moments distincts avec une précision à la nanoseconde. La corrélation entre ces moments permet de limiter le champ de recherche, rendant la force brute plus efficace. » – Yohanes Nugroho

La puissance des GPU au service de la cybersécurité

Face à la complexité du chiffrement, Nugroho a d’abord tenté d’utiliser des GPU locaux, mais la lenteur du processus l’a conduit à se tourner vers des solutions basées sur le cloud. Après avoir écarté Google Cloud en raison de son coût élevé, il a opté pour RunPod et Vast.ai, deux services offrant une puissance de calcul GPU à moindre coût.

Il a mobilisé 16 GPU RTX 4090, connus pour leur nombre élevé de cœurs CUDA, pour exécuter l’attaque par force brute. Ce choix stratégique a permis de ramener le temps de déchiffrement à 10 heures pour une plage de 4,5 millions de nanosecondes. Le coût de traitement pour cette plage s’élève à environ 261 $, ce qui, multiplié par le volume de fichiers à traiter, a porté le coût total du projet à 1 200 $.

L’utilisation de GPU haut de gamme a permis de traiter un volume de données important en un temps record. Ce succès démontre le potentiel des solutions de décryptage basées sur la force brute GPU dans la lutte contre les ransomwares modernes.

Le décryptage des fichiers chiffrés par Akira est désormais possible sans payer de rançon. Les entreprises et les utilisateurs touchés par ce ransomware peuvent utiliser l’outil de Nugroho pour restaurer leurs données en toute autonomie. Cette percée pourrait également servir de modèle pour lutter contre d’autres variantes de ransomware utilisant des techniques similaires.

Nugroho a précisé que le processus de déchiffrement pourrait encore être optimisé pour améliorer les performances. Actuellement, le temps de récupération dépend de la taille du volume de fichiers à traiter et de la précision des horodatages contenus dans les fichiers journaux.

Un avenir prometteur pour le décryptage des ransomwares ?

L’approche novatrice de Yohanes Nugroho ouvre la voie à de nouvelles stratégies de lutte contre les ransomwares. L’utilisation de la force brute par GPU, combinée à une analyse fine des mécanismes de génération des clés, pourrait inspirer d’autres chercheurs à développer des solutions similaires.

Akira reste une menace active, mais cette avancée donne un avantage considérable aux équipes de cybersécurité. Les ransomwares basés sur des mécanismes de chiffrement temporel pourraient désormais être contournés grâce à une combinaison de rétro-ingénierie et de puissance GPU.

En partageant gratuitement son outil, Nugroho offre une ressource précieuse à la communauté de la cybersécurité et aux victimes de ransomware. Cette initiative illustre l’importance de l’innovation et de la collaboration dans la lutte contre les cybermenaces modernes.

Cybersécurité, Mise à jour, Patch

vulnérabilité initialement localisée, désormais mondiale !

Une vulnérabilité critique affectant les scripts PHP, connue sous le nom de CVE-2024-4577, est devenue une menace à l’échelle mondiale, obligeant les défenseurs de la cybersécurité à agir rapidement. Découverte initialement dans le cadre d’attaques ciblant des organisations japonaises, cette faille est désormais exploitée dans plusieurs régions du monde, ont averti les experts en cybersécurité de GreyNoise et Cisco Talos.

Une vulnérabilité initialement localisée, désormais mondiale

La faille CVE-2024-4577 affecte une configuration spécifique appelée PHP-CGI, utilisée pour exécuter des scripts PHP sur des serveurs Web. Détectée pour la première fois au Japon en janvier 2025, elle a été rapidement exploitée par des attaquants cherchant à voler des identifiants d’accès et à établir une présence persistante dans les systèmes compromis.

Dans un rapport publié jeudi, l’équipe de Cisco Talos a révélé que les attaques initiales visaient principalement des organisations japonaises. L’objectif apparent des attaquants était non seulement de voler des identifiants d’accès, mais aussi de s’implanter durablement dans les systèmes ciblés, ouvrant la voie à de futures intrusions et compromissions.

Cependant, ce qui semblait être une campagne de piratage localisée s’est rapidement transformé en une menace mondiale. Vendredi, GreyNoise, une société spécialisée dans le renseignement sur les menaces, a publié un rapport alarmant indiquant que l’exploitation de cette faille s’est étendue à d’autres régions du globe. Des tentatives d’attaques ont été détectées aux États-Unis, à Singapour, au Japon et dans plusieurs autres pays tout au long du mois de janvier 2025.

Un correctif disponible, mais une menace persistante

Le correctif pour cette vulnérabilité a été publié à l’été 2024, mais de nombreuses entreprises n’ont pas encore mis à jour leurs systèmes, laissant un large éventail de cibles potentielles à la merci des attaquants.

La faille CVE-2024-4577 permet une exécution de code à distance (RCE), ce qui signifie que les pirates peuvent prendre le contrôle d’un serveur vulnérable, exécuter des commandes arbitraires et, potentiellement, compromettre l’ensemble du réseau.

GreyNoise a identifié 79 méthodes connues pour exploiter cette faille, soulignant la complexité et la diversité des vecteurs d’attaque. Les chercheurs ont également détecté une augmentation des tentatives d’attaques utilisant cette faille dans le cadre de campagnes coordonnées.

« L’ampleur de l’exploitation de CVE-2024-4577 dépasse de loin nos prévisions initiales », a déclaré un chercheur de GreyNoise. « Les attaquants utilisent des outils sophistiqués, y compris des cadres d’attaque avancés et des serveurs de commande et de contrôle (C2), ce qui laisse penser qu’il s’agit d’une campagne bien organisée. »

Une menace bien plus complexe qu’un simple vol d’identifiants

Selon Cisco Talos, l’attaquant à l’origine des premières attaques au Japon utilisait un serveur de commande et de contrôle (C2) pour déployer une suite complète d’outils malveillants. Cette approche suggère que les motivations vont au-delà du simple vol d’identifiants.

Le serveur C2 permet de contrôler à distance les systèmes compromis, d’exécuter des commandes, d’installer des malwares et de lancer de nouvelles attaques. Les chercheurs craignent que cette faille ne soit utilisée pour installer des backdoors (portes dérobées) et déployer des logiciels espions sur des cibles stratégiques, comme des infrastructures critiques ou des institutions financières.

« Cela ne ressemble pas à une simple campagne d’espionnage économique », a ajouté un chercheur de Cisco Talos. « L’ampleur des outils utilisés et la persistance démontrée par les attaquants laissent penser à une opération à caractère géopolitique. »

Une attaque documentée depuis plusieurs mois

La vulnérabilité CVE-2024-4577 avait déjà été signalée en août 2024 par des chercheurs de Symantec, après avoir été exploitée contre une université de Taiwan. Peu de temps après la publication du correctif, les attaquants avaient testé la faille contre plusieurs cibles en Asie, avant d’étendre leurs opérations à une échelle mondiale.

GreyNoise a également constaté une augmentation notable du trafic lié à cette faille à partir de la fin décembre 2024, avec des pics d’activité importants début janvier 2025. Cette chronologie suggère que les attaquants ont pu peaufiner leurs outils et leurs méthodes avant de lancer une campagne d’envergure mondiale.

L’appel à une action immédiate

Face à cette menace croissante, GreyNoise et Cisco Talos appellent les entreprises et les administrateurs système à une mise à jour immédiate de leurs serveurs PHP.

« Les organisations qui utilisent PHP-CGI doivent immédiatement vérifier leur configuration et installer les derniers correctifs de sécurité », a déclaré GreyNoise dans son rapport. « Le temps presse : chaque heure qui passe sans correction augmente le risque d’une compromission. »

Les chercheurs recommandent également une surveillance renforcée du trafic réseau pour détecter les comportements suspects associés à l’exploitation de CVE-2024-4577. La mise en place de pare-feu et de systèmes de détection d’intrusion (IDS) pourrait également permettre de contenir la menace.

Cisco Talos a également suggéré que les entreprises désactivent la configuration PHP-CGI si elle n’est pas strictement nécessaire, une mesure qui pourrait réduire considérablement la surface d’attaque.

Une faille symptomatique de la fragilité du web

Ce nouvel incident met une fois de plus en lumière la fragilité des infrastructures web face à des menaces sophistiquées. Le langage PHP, créé il y a près de trois décennies, est l’un des piliers du développement web, mais il est aussi une cible privilégiée en raison de son adoption massive et de la complexité de sa gestion.

Pour les experts, cette vulnérabilité souligne le besoin urgent de renforcer les pratiques de sécurité autour des technologies web historiques. Si la faille CVE-2024-4577 est corrigée rapidement, la menace pourrait être contenue. Dans le cas contraire, elle pourrait devenir le point de départ d’une vague d’attaques sans précédent.

Face à une exploitation déjà mondiale, une action rapide s’impose. Les défenseurs de la cybersécurité sont désormais engagés dans une véritable course contre la montre pour éviter que cette vulnérabilité ne soit utilisée dans des attaques de grande ampleur.

Cybersécurité, Mise à jour

Failles critiques de voitures connectées et infrastructures de recharge mises en lumière par des français

Des experts en cybersécurité ont identifié des vulnérabilités majeures dans les véhicules électriques et leurs infrastructures de recharge. Ces failles pourraient être exploitées pour compromettre la sécurité des utilisateurs et perturber la distribution d’énergie.

Les avancées technologiques dans le domaine de l’automobile et des infrastructures énergétiques ont ouvert la voie à de nouveaux risques de cybersécurité. Synacktiv, spécialiste de la cybersécurité offensive, a démontré au Japon que plusieurs failles critiques existent au sein de l’écosystème des véhicules électriques et connectés. Ces vulnérabilités concernent notamment les infrastructures de recharge, mais également les systèmes embarqués des véhicules. L’exploitation de ces failles pourrait avoir de lourdes conséquences pour les utilisateurs et les opérateurs énergétiques. Ce constat souligne la nécessité d’une collaboration accrue entre les industriels et les experts en cybersécurité afin de protéger cet écosystème essentiel.

Des infrastructures de recharge vulnérables

Les chercheurs ont identifié plusieurs dispositifs critiques présentant des vulnérabilités exploitables :

  • Tesla Energy Wall Connector : Une faille de dépassement de tampon (buffer overflow) via le câble de charge pourrait permettre des manipulations malveillantes.
  • Autel MaxiCharger et ChargePoint Home Flex : Ces bornes présentent des failles dans leur protocole de communication, mettant en péril la sécurité des transactions énergétiques.
  • Systèmes d’infodivertissement embarqués (IVI) : Ces systèmes pourraient être compromis, ouvrant la voie à une prise de contrôle à distance de certaines fonctionnalités du véhicule.

« Les infrastructures de recharge, considérées comme secondaires, constituent en réalité des points d’entrée stratégiques pour les cyberattaques. »

Un risque pour l’ensemble de l’écosystème automobile

L’exploitation de ces vulnérabilités pourrait avoir des répercussions majeures :

  • Intrusions réseau : Les attaquants pourraient accéder aux réseaux internes des opérateurs de recharge et des constructeurs automobiles.
  • Manipulation des flux d’énergie : Une prise de contrôle des systèmes de charge pourrait fausser la facturation et perturber la distribution d’énergie.
  • Interruption des services : Des bornes de recharge pourraient être rendues inopérantes, affectant directement les utilisateurs et la continuité du service.

Avec l’essor de l’intelligence artificielle, les cybercriminels sont en mesure d’automatiser leurs attaques, les rendant plus complexes à détecter. Les stratégies de défense doivent donc s’adapter en temps réel, en intégrant des protocoles de communication sécurisés et des outils de détection avancés.

« L’automatisation des cyberattaques complique leur détection et renforce l’urgence d’une cybersécurité proactive. »

Un appel à la collaboration entre industriels et experts en cybersécurité

Synacktiv exhorte les acteurs de l’industrie à renforcer la sécurité de l’ensemble de l’écosystème automobile. Parmi les recommandations essentielles :

  • Tests de sécurité réguliers : Pour identifier et corriger les failles avant qu’elles ne soient exploitées.
  • Audits de sécurité : Des évaluations approfondies des systèmes doivent être menées pour assurer leur résilience.
  • Intégration de la cybersécurité dès la conception : Les infrastructures et les véhicules doivent être conçus en tenant compte des menaces cyber.

Lors du concours international Pwn2Own Automotive 2025, organisé à Tokyo, l’équipe française a remporté la deuxième place en identifiant plusieurs failles critiques, notamment sur des systèmes Tesla. C’est la quatrième fois que l’entreprise se distingue dans ce domaine.

Les constructeurs disposent généralement de 90 jours pour corriger ces vulnérabilités avant la publication des détails techniques, leur permettant de développer et déployer des correctifs de sécurité.

Suivez les dernières actualités sur la cybersécurité automobile en vous inscrivant à notre newsletter, rejoignez notre groupe WhatsApp et suivez-nous sur nos réseaux sociaux pour ne rien manquer.

 

Mise à jour, Patch

Une faille critique dans 7-Zip expose les utilisateurs à des logiciels malveillants

Une vulnérabilité critique a été découverte dans le célèbre archiveur 7-Zip, permettant à des attaquants d’installer des logiciels malveillants tout en contournant le mécanisme de sécurité Mark of the Web (MoTW) de Windows.

Des chercheurs du Zero Day Initiative ont identifié une faille (CVE-2025-0411) dans 7-Zip, un outil largement utilisé pour compresser et extraire des fichiers. Cette vulnérabilité a reçu un score de 7 sur l’échelle CVSS, la classant comme modérément critique. Découverte mi-2022, cette faille exploite une faiblesse dans la gestion des archives, exposant ainsi les utilisateurs à des risques importants.

Le mécanisme MoTW, introduit par Windows, est conçu pour avertir les utilisateurs lorsqu’ils ouvrent des fichiers téléchargés depuis des sources non fiables. Cependant, dans les versions vulnérables de 7-Zip, ce système peut être contourné. Les fichiers extraits d’archives malveillantes ne portent pas la marque du Web, privant ainsi l’utilisateur d’un avertissement crucial.

Comment fonctionne cette faille ?

La faille repose sur la manipulation des archives. Lorsqu’un utilisateur extrait des fichiers depuis une archive spécialement conçue, 7-Zip ne leur applique pas la marque de sécurité MoTW. Cela signifie qu’un fichier potentiellement dangereux peut être exécuté sans que l’utilisateur ne reçoive d’alerte de sécurité.

Selon Trend Micro, cette faille peut être exploitée pour exécuter du code malveillant dans le contexte de l’utilisateur actuel. En d’autres termes, un attaquant peut utiliser cette vulnérabilité pour déployer des logiciels malveillants sur l’ordinateur de la victime.

Les mesures prises par 7-Zip pour corriger la vulnérabilité

Face à cette faille, les développeurs de 7-Zip ont rapidement réagi. Une nouvelle version de l’archiveur, numérotée 24.09, a été publiée. Cette mise à jour inclut un correctif pour le CVE-2025-0411, rétablissant la sécurité des utilisateurs.

Les utilisateurs qui n’ont pas encore installé la dernière version de 7-Zip restent vulnérables. Ignorer cette mise à jour expose les systèmes à des cyberattaques potentielles, en particulier si des fichiers sont téléchargés depuis des sources non vérifiées.

Le correctif a renforcé la gestion des fichiers extraits. Désormais, 7-Zip applique correctement le marquage MoTW, garantissant ainsi une protection accrue. Il est conseillé de télécharger la version 24.09 directement depuis le site officiel de 7-Zip pour éviter les versions compromises.

Cette vulnérabilité souligne une fois de plus l’importance de maintenir ses logiciels à jour. Elle illustre également comment des failles dans des outils couramment utilisés peuvent avoir des répercussions importantes sur la sécurité des utilisateurs.

Apple, Cybersécurité, Mise à jour

Crash de Docker et faille SIP sur macOS : mise à jour critique indispensable

Les utilisateurs macOS de Docker rencontrent un crash critique bloquant le lancement de l’application. Une signature de fichiers incorrecte en est la cause, mais une mise à jour est déjà disponible.

Depuis le 7 janvier, de nombreux utilisateurs de Docker sur macOS se plaignent d’un blocage inattendu de l’application. En tentant de lancer Docker, un message d’erreur signalant un code malveillant s’affiche, provoquant la panique chez certains utilisateurs. Une enquête approfondie a révélé que ces avertissements du système sont infondés, la cause réelle étant une signature incorrecte de certains fichiers du bundle Docker. Heureusement, une solution est déjà disponible avec la mise à jour vers la version 4.37.2. Toutefois, la mise en place de ce correctif n’est pas encore étendue à tous les utilisateurs. Retour sur cette crise technique et les étapes pour y remédier.

Origine du problème et conséquences

Les premiers signalements concernant le crash de Docker sur macOS sont apparus le 7 janvier 2025. Le problème a immédiatement attiré l’attention en raison de l’impact sur les flux de travail des développeurs utilisant Docker pour la gestion de conteneurs. Lors du lancement de l’application, un message d’alerte s’affichait indiquant un code potentiellement malveillant. Cette notification, générée par macOS, a rapidement été identifiée comme une fausse alerte, liée à des anomalies dans le système de certificat de macOS.

L’analyse a mis en lumière une signature incorrecte de certains fichiers du bundle Docker. Ce dysfonctionnement a perturbé les vérifications de sécurité effectuées par le système d’exploitation, interprétant ces fichiers comme potentiellement dangereux. À en juger par les informations disponibles, cette situation a entraîné un blocage complète de l’application chez de nombreux utilisateurs.

En réponse à cet incident, Docker Inc. a rapidement publié une mise à jour (4.37.2) incluant un correctif pour cette anomalie. Les utilisateurs peuvent résoudre le problème en installant cette nouvelle version. Pour les versions précédentes, des correctifs ont également été déployés sur les branches 4.32 à 4.36.

Cependant, la résolution n’est pas encore totale. La page d’état de Docker indique que certains utilisateurs n’ont pas encore effectué la mise à jour, ce qui complique l’évaluation globale de l’efficacité des correctifs.

Procédures de correction et solutions alternatives

Pour ceux qui rencontrent toujours des problèmes après la mise à jour, Docker a proposé des solutions supplémentaires. Les administrateurs systèmes peuvent utiliser un script MDM spécial pour corriger les erreurs persistantes. Ce script permet de réinitialiser certains composants de Docker et de réinstaller les binaires correctement signés.

Pour une résolution manuelle, les étapes suivantes sont nécessaires :

  1. Arrêter l’application Docker, ainsi que les services vmetd et socket.
  2. Supprimer les anciens binaires de vmetd et socket.
  3. Installer les versions corrigées de ces fichiers.
  4. Redémarrer Docker pour finaliser la procédure.

Ces opérations peuvent s’avérer chronophages pour les équipes techniques gérant un parc informatique important. D’où l’importance de privilégier la mise à jour automatique avec les fichiers signés.

Malgré ces efforts, il reste des doutes sur la stabilité globale du service. Certains utilisateurs rapportent encore des dysfonctionnements mineurs, laissant penser que le problème n’est pas entièrement résolu. À mesure que davantage d’utilisateurs adoptent les correctifs, l’impact des problèmes résiduels devrait diminuer.

Une vulnérabilité SIP révélée en parallèle

Parallèlement à cet incident, une autre menace sécuritaire a été mise en évidence sur macOS. Microsoft a découvert une vulnérabilité critique, identifiée sous le nom de CVE-2024-44243, qui permet à des attaquants locaux de contourner la protection d’intégrité du système (SIP).

SIP, ou System Integrity Protection, est un mécanisme conçu pour empêcher les programmes malveillants d’accéder à certains répertoires ou de modifier des fichiers systèmes critiques. Cette protection restreint les privilèges du compte root et limite l’accès à certains composants aux seuls processus signés par Apple.

Cependant, la faille CVE-2024-44243 permet de désactiver cette protection en exploitant une vulnérabilité dans le démon Storage Kit, qui surveille l’état des disques. Une fois exploitée, cette faille permet à des attaquants de contourner SIP et d’installer des rootkits, compromettant ainsi gravement la sécurité du système.

Apple a corrigé cette faille avec la version macOS Sequoia 15.2, publiée en décembre. Il est donc essentiel pour les utilisateurs de s’assurer que leur système est à jour. Microsoft, quant à elle, a publié les détails techniques de cette vulnérabilité afin d’informer les administrateurs systèmes et d’accélérer la mise en œuvre des correctifs.

Cybersécurité, Mise à jour, Patch

Vulnérabilité zero-day impactant un outil VPN pour entreprise

Mandiant a publié aujourd’hui des détails approfondis sur une vulnérabilité zero-day critique, référencée CVE-2025-0282, récemment divulguée et corrigée par Ivanti. Cette faille affecte les appliances Ivanti Connect Secure VPN (ICS), largement utilisées pour assurer la connectivité sécurisée des entreprises.

Ivanti a détecté cette compromission grâce à son outil dédié, Integrity Checker Tool (ICT), ainsi qu’à des outils tiers de surveillance de sécurité. Selon l’analyse de Mandiant, cette vulnérabilité a été exploitée activement dans la nature dès décembre 2024, vraisemblablement par un acteur de l’espionnage lié à la Chine.

Une exploitation avancée et ciblée

Mandiant rapporte que la CVE-2025-0282 [alerte du CERT SSI France] a été utilisée par des cybercriminels. Bien qu’il ne soit pas encore possible de confirmer l’identité exacte des attaquants, les chercheurs pensent avec une confiance modérée qu’ils appartiennent au groupe connu de bad hacker sous le nom UNC5221, un acteur déjà associé à des campagnes d’espionnage numérique.

Le malware SPAWN, précédemment lié à UNC5337, a été observé dans cette nouvelle attaque. En complément, d’autres familles de malwares comme DRYHOOK et PHASEJAM ont été identifiées. Cependant, les chercheurs précisent qu’ils ne disposent pas encore de données suffisantes pour attribuer ces attaques à un ou plusieurs acteurs spécifiques.

Impacts de la vulnérabilité CVE-2025-0282

L’exploitation de cette faille permet aux attaquants de réaliser des actions critiques :

Exécution de code à distance
Les cybercriminels peuvent prendre le contrôle des systèmes affectés, compromettant ainsi l’intégrité des données et la sécurité des environnements réseau.

Déplacement latéral
Une fois la brèche initiale exploitée, les attaquants se déplacent latéralement dans les systèmes connectés pour élargir leur accès, créant des impacts potentiellement dévastateurs au-delà de l’appareil directement visé.

Installation de portes dérobées persistantes
Des backdoors sont implantées pour maintenir l’accès aux systèmes compromis. Certaines de ces portes peuvent persister même après des mises à jour, ce qui incite Ivanti à recommander une réinitialisation complète pour les clients concernés.

Tactiques avancées des attaquants
Mandiant a observé deux techniques sophistiquées utilisées par les attaquants exploitant la CVE-2025-0282 :

Déploiement de PHASEJAM

Après avoir exploité la faille, les cybercriminels déploient un malware personnalisé nommé PHASEJAM, conçu pour empêcher l’installation des mises à jour système, garantissant ainsi un accès prolongé au système compromis.

Fausse barre de progression de mise à jour
Pour éviter de susciter la méfiance des administrateurs, une fausse barre de progression de mise à jour est affichée, simulant le bon déroulement des mises à jour alors qu’en réalité, le processus est bloqué par l’attaquant.

Mesures de détection et prévention
Les versions récentes d’Ivanti Connect Secure intègrent un outil performant, l’Integrity Checker Tool (ICT), qui s’est avéré efficace pour identifier les compromissions liées à la CVE-2025-0282. Cet outil exécute régulièrement des diagnostics pour détecter des anomalies ou des comportements inhabituels.

Cependant, Mandiant a signalé des tentatives des attaquants pour manipuler le registre des fichiers vérifiés par l’ICT, y intégrant leurs propres fichiers malveillants pour contourner les mécanismes de détection.

Cette vulnérabilité zero-day met en lumière les défis constants auxquels les entreprises sont confrontées en matière de sécurité numérique. Ivanti et Mandiant recommandent aux utilisateurs de déployer les mises à jour correctives immédiatement, de surveiller leurs systèmes pour détecter des anomalies, et de réinitialiser si nécessaire.

Pour en savoir plus sur les risques et les opportunités liés à l’intelligence artificielle, abonnez-vous gratuitement à notre newsletter.

Cybersécurité, Mise à jour, Securite informatique

ChatGPT comme moteur de recherche : une révolution fragile face aux abus

ChatGPT, désormais doté de capacités de recherche en ligne, ouvre de nouvelles possibilités aux utilisateurs, mais révèle aussi des failles significatives. Ses vulnérabilités à la manipulation mettent en lumière les défis que doivent relever les modèles d’intelligence artificielle face aux abus.

Depuis l’ouverture de ses fonctionnalités de recherche à tous les utilisateurs, ChatGPT s’est positionné comme un assistant innovant dans le domaine des requêtes en ligne. Cependant, ce nouvel usage n’est pas exempt de risques. Les chercheurs en cybersécurité ont démontré que le chatbot peut être trompé par des techniques comme l’injection de stimuli (prompt injection), qui exploitent sa confiance en l’information fournie. Cette faille permet de manipuler ses réponses pour promouvoir des produits douteux ou diffuser des contenus potentiellement dangereux. Bien que prometteur, le système reste vulnérable, notamment face aux tactiques employées par des acteurs malveillants.

Un chatbot vulnérable à l’injection de stimuli

L’une des principales failles de ChatGPT en tant que moteur de recherche réside dans sa capacité à interpréter et à répondre aux instructions dissimulées. Cette technique, connue sous le nom de prompt injection, permet à un tiers de contrôler indirectement les réponses du chatbot. En intégrant des instructions dans des textes invisibles ou peu visibles sur une page web, les manipulateurs peuvent orienter les résultats générés par ChatGPT.

Par exemple, un site frauduleux peut afficher de faux avis positifs sur un produit en masquant ces commentaires dans le code HTML de la page. Lorsque ChatGPT consulte ce site, il interprète ces avis comme authentiques, ce qui influence sa réponse lorsqu’un utilisateur pose une question sur le produit. Pire encore, si une instruction cachée oblige le modèle à toujours promouvoir un produit, même en présence d’avertissements légitimes, le chatbot obéira sans évaluer les risques.

Cette vulnérabilité n’est pas propre à ChatGPT, mais elle illustre les limites des grands modèles de langage. Comme l’explique Karsten Nohl, expert chez Security Research Labs, ces modèles « sont très crédules, presque comme des enfants ». Leurs vastes capacités de mémoire et leur absence de subjectivité les rendent particulièrement sensibles à la désinformation dissimulée.

L’absence d’expérience face à un défi de taille

En tant que nouvel acteur dans le domaine de la recherche en ligne, ChatGPT souffre d’un manque d’expérience comparé aux moteurs traditionnels comme Google. Ce dernier a développé, au fil des années, des mécanismes sophistiqués pour ignorer les contenus cachés ou les reléguer en bas des résultats. ChatGPT, de son côté, n’a pas encore acquis cette capacité d’analyse critique, le rendant vulnérable aux pages web manipulées.

Les experts soulignent que cette limitation est aggravée par l’absence de filtres robustes pour distinguer les contenus fiables des contenus frauduleux. Contrairement à un moteur de recherche classique, ChatGPT ne hiérarchise pas les résultats en fonction de critères de fiabilité, mais s’appuie sur les données accessibles au moment de la requête. Cela le rend particulièrement sensible aux stratégies malveillantes visant à manipuler son processus décisionnel.

L’impact potentiel de ces failles

Les vulnérabilités de ChatGPT posent des risques significatifs pour les utilisateurs et les entreprises. À court terme, elles peuvent être exploitées pour promouvoir des produits contrefaits, diffuser de la désinformation ou même fournir des instructions nuisibles. Par exemple, un utilisateur cherchant des informations sur un médicament ou une technologie pourrait recevoir des recommandations basées sur des informations manipulées, mettant en danger sa sécurité ou celle de son entreprise.

À long terme, ces failles pourraient éroder la confiance dans les systèmes d’intelligence artificielle. Si les utilisateurs commencent à percevoir ChatGPT comme peu fiable, cela pourrait ralentir l’adoption de ces technologies dans des secteurs critiques, tels que la santé, la finance ou l’éducation.

Vers une intelligence artificielle plus résiliente

Pour surmonter ces défis, les développeurs d’OpenAI doivent renforcer la capacité de ChatGPT à détecter et ignorer les contenus manipulés. Cela pourrait inclure des algorithmes plus avancés pour analyser les sources, des protocoles pour limiter l’influence des contenus cachés et une transparence accrue sur la manière dont le chatbot sélectionne ses réponses.

Cependant, la responsabilité ne repose pas uniquement sur OpenAI. Les utilisateurs doivent être sensibilisés aux limites des modèles d’intelligence artificielle et adopter une approche critique lorsqu’ils interprètent les réponses fournies. Comme le souligne Karsten Nohl, il est essentiel de ne pas prendre les résultats générés par ces modèles « pour argent comptant ».

Conclusion : une technologie prometteuse à perfectionner

ChatGPT en tant que moteur de recherche représente une avancée significative, mais ses vulnérabilités actuelles rappellent que l’intelligence artificielle reste une technologie en développement. Pour éviter les abus et garantir la fiabilité de ses réponses, des efforts supplémentaires sont nécessaires, tant de la part des développeurs que des utilisateurs.

Pour en savoir plus sur les risques et les opportunités liés à l’intelligence artificielle, abonnez-vous gratuitement à notre newsletter.

Cybersécurité, Mise à jour

Nvidia met en garde contre des vulnérabilités critiques dans ses cartes graphiques

Aprés des failles sérieuses pour Android de Google, c’est au tour de NVIDIA, le géant de la carte graphique, d’alerter de problèmes de sécurité visant certains de ses hardwares.

Dans un récent rapport de sécurité, le principal développeur de GPU et SoC, Nvidia, met en garde les utilisateurs contre les vulnérabilités critiques de ses cartes graphiques.

La récente publication de la mise à jour du pilote 566.03 de Nvidia corrige un certain nombre de vulnérabilités critiques qui menacent la sécurité des propriétaires de cartes graphiques Nvidia. Parmi les vulnérabilités les plus dangereuses figure CVE-2024-0126, avec un score CVSS de 8,2, qui pourrait permettre aux attaquants d’exécuter du code arbitraire, d’élever les privilèges et de voler des données sur les appareils vulnérables. Cette vulnérabilité affecte les cartes graphiques des séries Nvidia RTX, Quadro, NVS et Tesla, ainsi que les produits GeForce sur les systèmes Windows et Linux.

Les vulnérabilités CVE-2024-0117, CVE-2024-0118 et d’autres ont également été découvertes, qui permettent à des utilisateurs non privilégiés d’interférer avec le système, provoquant des plantages et pouvant potentiellement obtenir un accès complet aux données.

Les pirates utilisant ces vulnérabilités peuvent obtenir un accès non autorisé aux systèmes de l’entreprise en exécutant du code à distance et en obtenant des privilèges élevés. Cela peut entraîner une fuite de données confidentielles, un sabotage des processus métier et de graves perturbations des services critiques. De plus, de telles attaques peuvent provoquer des temps d’arrêt, endommager les réseaux d’entreprise et nuire à la situation financière et à la réputation d’une entreprise si les données des clients sont compromises.

Cybersécurité, Mise à jour

Ma classe à la rentrée ? Le reveal piégé !

Une escroquerie en ligne, loin d’être nouvelle, cible les parents et les élèves impatients de découvrir avec qui ils partageront leur prochaine rentrée scolaire. Le site « RevealClasse » se présente sous une apparence trompeuse, reprenant les codes visuels des sites gouvernementaux français, notamment l’utilisation des couleurs tricolores et des logos similaires à ceux de la police.

La Gendarmerie Nationale a alerté, en plein été 2024, l’apparition d’un site frauduleux exploitant la curiosité des futurs collégiens et lycées. Une arnaque qui fait son apparition chaque année. La référence des blogs sur la cybersécurité, ZATAZ.COM, en révèle chaque année depuis plus de 20 ans ! Voici trois exemples en 2017 ; 2019 ou encore 2023.

Le faux site repéré par la Gendarmerie.

La Gendarmerie rappelle que ce faux site à trois missions :

  1. Collecte d’informations : Les utilisateurs sont invités à saisir leurs nom, prénom, ville et nom de l’établissement scolaire. Cette étape donne l’illusion de légitimité et de sécurité.
  2. Vérification fallacieuse : Une fois les informations saisies, une liste partielle apparaît, avec des noms floutés. Pour accéder à la liste complète, les utilisateurs doivent prouver qu’ils ne sont pas des robots en accomplissant des « missions » comme l’installation d’applications ou la participation à des jeux-concours.
  3. Escroquerie finale : Malgré toutes ces étapes, les utilisateurs ne reçoivent jamais la liste attendue. À la place, leurs informations personnelles sont volées, les exposant à divers types de fraudes.

La jeune génération : une cible facile

Contrairement aux idées reçues, une étude britannique récente a révélé que les jeunes de moins de 20 ans sont plus vulnérables aux arnaques en ligne que les personnes de plus de 55 ans. Bien que cette génération soit fortement connectée aux réseaux sociaux et aux outils numériques, elle ne détecte pas toujours les pièges en ligne. Il est crucial de ne jamais divulguer d’informations personnelles sur des sites suspects. En cas de doute, contactez votre brigade de gendarmerie ou la brigade numérique. Vous pouvez également signaler ces arnaques sur le site officiel : www.internet-signalement.gouv.fr. La vigilance est de mise pour éviter de tomber dans les pièges tendus par ces cyberdélinquants, surtout lorsque cela concerne la sécurité des informations personnelles des enfants.

Cybersécurité, Mise à jour

Signal, Instagram et Roblox interdits sur Internet

Le ministère des télécommunications Russe fait interdire l’utilisation de la messagerie Signal sur le territoire Russe. Roblox et Instagram en Turquie.

La Russie a annoncé l’interdiction de la messagerie Signal, qui utilise un chiffrement de bout en bout rendant les communications entre utilisateurs inaccessibles aux autorités. Cette mesure s’inscrit dans un renforcement de la législation russe visant à contrôler les services internet étrangers. Roskomnadzor, l’autorité de régulation, a déclaré que Signal enfreint les lois en ne se conformant pas aux exigences de lutte contre le terrorisme et l’extrémisme.

Suite à cette annonce, de nombreux utilisateurs en Russie ont signalé que le service était devenu indisponible. Depuis l’invasion de l’Ukraine par la Russie en 2022, Roskomnadzor a déjà bloqué des milliers de sites internet non approuvés par le gouvernement, renforçant ainsi son contrôle sur l’accès à l’information en ligne. L’interdiction de Signal s’ajoute à cette liste croissante de services restreints en Russie, accentuant la censure et limitant les moyens de communication sécurisés pour les citoyens.

A noter que Signal fonctionne parfaitement, avec un VPN.

De son côté, Telegram fonctionne toujours sur le sol Russe.

Pendant ce temps, en Turquie, Instagram vient d’être de nouveau autorisé après une dizaine de jours de blocage. « À la suite de nos négociations avec les responsables d’Instagram, nous débloquerons l’accès […] après qu’ils se soient engagés à répondre à nos demandes« , indique le ministre des Transports et des infrastructures sur son compte X. Instagram avait été accusé de plusieurs « maux » allant de « censure » en passant par diffusion de « contenus illicites ».

Une autre plateforme ludique et communautaire a été bloquée en Turquie : Roblox. Selon le ministre turc de la Justice, Yilmaz Tunç, il existe un risque d’incitation à la maltraitance des mineurs sur ce jeu vidéo.

« Comme l’exige notre constitution, l’État est tenu de prendre les mesures nécessaires pour protéger nos enfants. L’utilisation de la technologie à des fins négatives ne peut être acceptée », a déclaré le ministre turc de la Justice. Parent, jouez au jeu avec vos enfants, cela vous donnera une vraie idée du contenu et des interactions avec la communauté locale. Cela pourrait éviter de colpoter de fausses informations de « sortie d’école » comme ce fût le cas, en 2018, avec un faux message de la police du Kent trés largement diffusé et déformé.

Cybersécurité, Mise à jour, Patch

Une vulnérabilité zero-day pour des caméras en vente

Les « inventeurs » de 0day préfèrent vendre leurs créations directement dans le dark web plutôt que de passer par des brokers ou des programmes de bug bounty. Une vulnérabilité pour caméra IP est vendue 400 000 dollars.

Il y a quelques semaines, la référence de l’actualité dédiée à la cybersécurité et au monde des pirates informatiques ZATAZ.COM, expliquait l’apparition de vendeurs de 0day dans le dark web et le web de maniére moins discrète qu’à l’accoutumé. D’habitude, ces « inventeurs » de failles inconnues se voulaient plus cachés, préférant passer par des brokers (Zerodium, Operation Zero, etc.) ou des programmes de bug bounty pouvant rémunérer à hauteur de dizaines de milliers de dollars la faille.

Source : veillezataz.com

Les créateurs de 0day préfèrent, dorénavant, vendre directement. Sur le forum BreachForums par exemple, après la vente d’un présumé exploit pour Android, voici la vente d’une vulnérabilité pour les caméras IP de la société Dahua. Ce fabricant est le plus grand en Chine, et ses produits sont largement vendus dans le monde.. « La vulnérabilité permet un accès illimité à toutes les fonctions de la caméra, y compris la possibilité de gestion et de contrôle complets« , indique ce commerçant malveillant. Ce vendeur réclame au minimum 400 000 dollars pour cette « rare opportunité d’accéder à une solution clé sur le marché de la surveillance« . Il est également prêt à fournir aux acheteurs potentiels une description technique détaillée et une preuve de concept fonctionnelle. Difficile de savoir si ces ventes de 0day ont un véritable intérêt ou ne sont que des escroqueries.

Source : veillezataz.com

Pirater des caméras, pourquoi ?

En janvier 2024, des hackers russes ont piraté des webcams résidentielles à Kyiv pour recueillir des renseignements sur les systèmes de défense aérienne de la ville avant de lancer une attaque de missiles. Les pirates ont manipulé les angles des caméras pour surveiller les infrastructures critiques et ont diffusé les images en direct sur YouTube. Cet incident a conduit l’Ukraine à ordonner aux opérateurs de webcams de cesser les diffusions en direct​.

Source : veillezataz.com

En 2016, le fabricant suédois de caméras de sécurité Axis Communications a subi une attaque cybernétique majeure. Les pirates ont exploité une faille dans le logiciel des caméras pour accéder de manière non autorisée aux flux vidéo.

L’accès non autorisé aux flux de caméras peut entraîner des violations importantes de la vie privée, avec des séquences pouvant être utilisées pour le chantage ou d’autres fins malveillantes. Comme vu dans l’incident de Kyiv, des caméras compromises peuvent fournir des renseignements précieux à des acteurs hostiles, impactant ainsi la sécurité nationale. La correction des vulnérabilités et la mitigation des dommages causés par ces attaques peuvent être coûteuses pour les entreprises et les gouvernements. De telles violations peuvent entraîner une perte de confiance dans la sécurité et la fiabilité des systèmes de surveillance.

Source : veillezataz.com
Cybersécurité, Mise à jour, Patch

Google Chrome corrige sa deuxième vulnérabilité exploitable de 2024

Google a publié une mise à jour de Chrome pour corriger une nouvelle vulnérabilité Zero Day. Selon la société, cette faille est activement exploitée dans des cyberattaques.

Identifiée sous le nom CVE-2024-4671 [Gravité élevée], cette vulnérabilité concerne un problème dans le navigateur Chrome. Google a découvert cette faille grâce à un chercheur anonyme le 7 mai 2024. Dans un communiqué officiel, le géant de l’Internet a confirmé que les développeurs étaient conscients de l’exploitation de CVE-2024-4671 dans des attaques réelles. Aucun détail supplémentaire n’a été fourni.

Il est fortement recommandé à tous les utilisateurs d’installer la dernière version de Google Chrome : 124.0.6367.201/.202 pour Windows et macOS, et 124.0.6367.201 pour Linux. « Google est conscient qu’un exploit pour CVE-2024-4671 existe dans la nature. » affiche Google dans son alerte.

Depuis le début de l’année, Google a déjà corrigé deux vulnérabilités Zero Day. La première, identifiée en janvier sous le nom CVE-2024-0519, affectait les moteurs JavaScript et WebAssembly V8, permettant un accès mémoire hors limites.

Le « Stable channel » (canal stable) est l’une des versions de distribution de Google Chrome, conçue pour offrir aux utilisateurs une expérience de navigation fiable et sécurisée.

Le canal stable a été mis à jour vers la version 124.0.6367.201/.202 pour Mac et Windows et 124.0.6367.201 pour Linux, qui sera déployée dans les jours/semaines à venir. Une liste complète des modifications apportées dans cette version est disponible dans le journal des modifications.

L’accès aux détails des bogues et aux liens peut être restreint jusqu’à ce que la majorité des utilisateurs aient installé la mise à jour. « Nous maintiendrons également les restrictions si le bogue existe dans une bibliothèque tierce dont dépendent d’autres projets, mais qui n’ont pas encore été corrigés. » explique Google.

Cybersécurité, Entreprise, Mise à jour

Hypershield de cisco : une avancée dans la sécurité des réseaux et applications ?

Dans un contexte où les menaces numériques évoluent constamment, Cisco affirme avoir développé une méthode révolutionnaire pour sécuriser les réseaux et leurs applications contre les vulnérabilités avant même la disponibilité d’un correctif. Cette innovation arrive alors que les infrastructures numériques restent exposées en moyenne 49 jours, le temps que les correctifs soient appliqués après la découverte d’une faille.

Les systèmes d’information sont particulièrement vulnérables pendant la période qui s’étend entre la découverte d’une vulnérabilité et le déploiement d’un correctif. Bien que certaines mesures provisoires telles que la désactivation de ports ou de fonctionnalités spécifiques puissent offrir une protection temporaire, leur mise en œuvre reste complexe dans des réseaux d’envergure.

Pour combler ce vide de sécurité, Cisco a lancé Hypershield, une architecture de sécurité qui intègre l’intelligence artificielle pour offrir une protection rapide et efficace en attendant un patch. Cette technologie promet d’être opérationnelle sur le marché d’ici août.

Fonctionnement d’hypershield

Hypershield fonctionne en segmentant automatiquement les réseaux et applications, empêchant ainsi toute tentative de mouvement latéral d’un intrus à travers les applications ou zones d’un data center. Chuck Robbins, président et CEO de Cisco, explique que cette technologie fusionne les capacités avancées de gestion de trafic et de données de l’entreprise avec son expertise en sécurité, infrastructure et observabilité, plaçant Cisco en position idéale pour maximiser les avantages de l’IA pour ses clients.

Technologie et intégration avancées

Le système utilise des data processing units (DPU), des puces matérielles conçues pour analyser et réagir aux comportements des applications et du réseau, tout en étant évolutives en fonction de la taille du réseau. De plus, l’utilisation de la technologie open source acquise auprès de la firme suisse Isolvent renforce les capacités de Hypershield.

Pour faciliter l’application des mises à jour et des correctifs, Hypershield intègre un mécanisme d’automatisation qui utilise des jumeaux numériques pour tester les mises à jour dans un environnement virtuel. Cela permet de simuler l’environnement spécifique du client, y compris le trafic de données et les règles stratégiques, avant d’appliquer effectivement la mise à jour au système.

Cybersécurité, Mise à jour, Securite informatique

Violation de données chez owasp : exposition accidentelle de cv de membres

La Fondation OWASP (Open Worldwide Application Security Project), une référence dans le domaine de la sécurité logicielle, a récemment révélé une fuite de données due à une configuration incorrecte de leur ancien serveur Web Wiki. Ce problème a mené à l’exposition publique des curriculum vitae de certains de ses membres.

Fondée en décembre 2001, l’OWASP est une organisation à but non lucratif qui se concentre sur l’amélioration de la sécurité des logiciels à travers le monde. Avec des dizaines de milliers de membres répartis en plus de 250 sections, l’OWASP organise des événements éducatifs et des formations sur la sécurité logicielle globalement.

Détails de l’incident

La découverte de cette mauvaise configuration de Media Wiki a été faite fin février 2024, après que plusieurs membres ont contacté l’assistance technique de l’organisation. Les investigations ont montré que seuls les membres ayant rejoint OWASP entre 2006 et 2014 et ayant soumis leur CV lors de leur adhésion étaient affectés. Ces documents comprenaient des informations sensibles telles que noms, adresses email, numéros de téléphone, et adresses physiques.

Réponse de l’owasp

Andrew van der Stock, directeur exécutif de l’OWASP, a précisé que l’organisation avait pris des mesures immédiates pour contenir la fuite. Cela inclut la désactivation de la navigation dans les répertoires du serveur, la révision de la configuration de Media Wiki, et la suppression des CV du site Wiki. L’OWASP a également vidé le cache de Cloudflare et contacté les archives Web pour s’assurer que les informations accidentellement exposées soient également retirées.

L’OWASP s’est engagée à informer toutes les victimes identifiées par des lettres explicatives, mentionnant que beaucoup des informations exposées pourraient être désuètes, étant donné que nombre de ces membres ne font plus partie de l’organisation. Van der Stock a souligné que, pour les données toujours actuelles, il est conseillé aux membres concernés de rester vigilants face aux communications non sollicitées.

Cybersécurité, Mise à jour, Phishing, Sécurité

Google lance device bound session credentials pour sécuriser chrome

Google introduit une innovation dans la sécurité des navigateurs avec Device Bound Session Credentials (DBSC), une fonctionnalité destinée à renforcer la sécurité des sessions en ligne en liant les cookies d’authentification à un appareil spécifique. Cette approche vise à neutraliser les tentatives de vol de cookies, souvent utilisées pour contourner l’authentification multifacteur.

La nouvelle fonctionnalité, Device Bound Session Credentials, crée un lien cryptographique entre les cookies d’authentification et l’appareil de l’utilisateur. Ce processus s’appuie sur la puce Trusted Platform Module (TPM) pour générer une paire de clés publique et privée unique à chaque session. Les cookies ainsi sécurisés ne peuvent être utilisés sur aucun autre appareil, ce qui invalide les tentatives de vol.

Fonctionnement technique

Lorsqu’une session est établie via DBSC, le serveur effectue des vérifications périodiques de la clé privée pour s’assurer qu’elle n’a pas été déplacée ou copiée vers un autre appareil. Ces clés sont stockées de manière sécurisée et sont inaccessibles en dehors de l’appareil original, ce qui garantit que même en cas de vol de cookies, les attaquants ne pourront pas accéder aux comptes utilisateurs.

Kristian Monsen, ingénieur de l’équipe anti-abus de Google Chrome, souligne que DBSC pourrait révolutionner la sécurité en ligne en rendant le vol de cookies pratiquement inutile. Cette fonctionnalité contraint les attaquants à opérer localement, facilitant ainsi la détection et l’élimination des logiciels malveillants par les solutions antivirus et les protections d’entreprise.

Actuellement en phase de prototype, DBSC peut être activé par les utilisateurs avancés pour des tests en modifiant les paramètres sous chrome://flags/. Cette phase expérimentale permet à Google de peaufiner la technologie avant son déploiement à grande échelle.

Sécurité et confidentialité des utilisateurs

DBSC garantit que chaque session est isolée grâce à des clés uniques. Les serveurs n’interagissent qu’avec la clé publique, et ne peuvent donc ni identifier, ni suivre les utilisateurs à travers plusieurs sessions. De plus, les utilisateurs peuvent révoquer les clés à tout moment, ajoutant une couche supplémentaire de contrôle sur leur vie privée.

La fonctionnalité DBSC est prévue pour être intégrée dans environ 50% des ordinateurs de bureau équipés de Chrome dans un premier temps. Son intégration complète promet de renforcer significativement la sécurité pour tous les utilisateurs de Chrome, aussi bien dans un cadre privé que professionnel. « Nous travaillons également déjà pour proposer cette technologie à nos clients Google Workspace et Google Cloud afin de leur offrir une couche supplémentaire de sécurité des comptes », ajoute Monsen.

Cybersécurité, Mise à jour, Wordpress

Vulnérabilité critique pour 1 million de site sous WordPress

Une vulnérabilité critique d’injection SQL dans le populaire plugin LayerSlider pour WordPress pourrait être utilisée pour extraire des informations sensibles des bases de données, telles que les hachages de mots de passe.

LayerSlider est un outil permettant de créer des sliders, des galeries d’images et des animations sur les sites WordPress. Le plugin est utilisé sur environ un million de sites Web. Le problème, identifié comme CVE-2024-2879 et avec un score CVSS de 9,8 [Trés grave], décrit un problème d’injection SQL qui affecte toutes les versions du plugin de 7.9.11 à 7.10.0. La vulnérabilité a été découverte par le chercheur en sécurité AmrAwad et corrigée dans la version 7.10.1 , publiée le 27 mars 2024. Pour divulgation responsable et découverte de la vulnérabilité, le spécialiste a reçu une récompense de 5 500 $.

Selon les experts de Wordfence, le problème a permis aux attaquants d’extraire des données confidentielles de la base de données de sites vulnérables. La vulnérabilité était liée au traitement du paramètre id dans la fonction du plugin ls_get_popup_markup. Étant donné que le paramètre id n’était pas correctement traité, les attaquants pouvaient injecter du code SQL malveillant dans des requêtes spécialement conçues, entraînant ainsi l’exécution de commandes, et l’exfiltration de données.

La structure des requêtes possibles réduisait l’attaque à une injection SQL aveugle dans le temps, c’est-à-dire que les attaquants devaient observer le temps de réponse pour obtenir les données de la base de données. Mais malgré ces limitations, CVE-2024-2879 permettait toujours de récupérer des informations de la base de données sans nécessiter d’authentification.

Cybersécurité, Mise à jour, Patch

Alerte de sécurité : cisco identifie une vulnérabilité xss critique dans ses routeurs pour petites entreprises

Dans un récent communiqué, la société Cisco a émis une alerte concernant une vulnérabilité de type cross-site scripting (xss) affectant plusieurs modèles de ses routeurs destinés aux petites entreprises.

Cette faille, référencée sous le code CVE-2024-20362, présente un risque particulièrement élevé puisqu’elle peut être exploitée à distance et sans nécessiter d’authentification préalable. Les modèles concernés par cette vulnérabilité sont les RV016, RV042, RV042G, RV082, RV320 et RV325. Une caractéristique commune à tous ces appareils est leur statut de fin de vie : cisco a déjà cessé leur support, ce qui signifie qu’aucun correctif pour cette vulnérabilité ne sera disponible.

La vulnérabilité provient d’une validation insuffisante au sein de l’interface web des produits, permettant à un attaquant de lancer des attaques xss en incitant simplement un utilisateur à visiter une page web malveillante. cette exploitation pourrait permettre l’exécution de scripts malveillants ou même entraîner une fuite de données sensibles.

Absence de solution de contournement et recommandations

Cisco a confirmé ne pas avoir connaissance d’exploitations actives de cette vulnérabilité. Toutefois, l’absence de solution de contournement rend critique la transition vers des appareils plus récents et toujours soutenus par des mises à jour de sécurité.
Outre cette faille xss, cisco a récemment corrigé plusieurs autres vulnérabilités importantes. parmi elles, un défaut sérieux dans le Nexus Dashboard Fabric Controller (NDFC), identifié sous le numéro CVE-2024-20348, permettait à des attaquants de lire des fichiers arbitraires sur un serveur d’approvisionnement web. Ce bug touchait uniquement la version NDFC 12.1.3b et a été corrigé dans les versions ultérieures.

D’autres produits cisco, tels que le TelePresence Management Suite, Nexus Dashboard et Orchestrator, Identity Services Engine (ISE), ainsi que divers outils de communication et de gestion des urgences ont également reçu des correctifs pour des vulnérabilités diverses.

Cybersécurité, Mise à jour, Patch

Le FBI publie une alerte pour inciter les fabricants à éliminer les SQLi

La CISA et le FBI publient une alerte Secure by Design pour inciter les fabricants à éliminer les vulnérabilités d’injection SQL.

La CISA et le Federal Bureau of Investigation (FBI) ont publié une alerte conjointe Secure by Design, demandant l’élimination des vulnérabilités d’injection SQL dans les logiciels.

Cette alerte a été conçue en réponse à une exploitation récente et très médiatisée de défauts d’injection SQL (SQLi) dans une application de transfert de fichiers gérée qui a touché des milliers d’organisations, la faille MOVEit exploitée par les pirates, maîtres chanteurs CL0P.

Malgré une connaissance et une documentation généralisées des vulnérabilités SQLi au cours des deux dernières décennies, ainsi que la disponibilité de mesures d’atténuation efficaces, les fabricants de logiciels continuent de développer des produits présentant ce défaut, ce qui met de nombreux clients en danger.

La CISA et le FBI exhortent responsables des entreprises de fabrication de technologies à organiser un examen formel de leur code afin de déterminer sa vulnérabilité aux compromissions SQLi. S’ils sont jugés vulnérables, les dirigeants doivent s’assurer que les développeurs de logiciels de leur organisation commencent immédiatement à mettre en œuvre des mesures d’atténuation pour éliminer toute cette classe de défauts de tous les produits logiciels actuels et futurs.

backdoor, Cybersécurité, Mise à jour

GhostRace : la menace fantôme pour Intel, AMD, ARM et IBM

Un groupe de chercheurs a développé une nouvelle attaque appelée GhostRace capable de provoquer des fuites de données sur les processeurs modernes de chez Intel, AMD, ARM et IBM.

Les experts d’IBM et de l’Université libre d’Amsterdam décrivent GhostRace (CVE-2024-2193) comme une condition de concurrence spéculative (SRC). Cette attaque vous permet d’extraire de la mémoire des informations potentiellement sensibles, telles que des mots de passe et des clés de chiffrement. Cependant, pour mener à bien l’attaque, un accès physique ou privilégié à la machine cible sera nécessaire, ce qui signifie qu’exploiter ce problème en pratique est une tâche très difficile.

Le rapport d’expert indique qu’une condition de concurrence critique se produit lorsque plusieurs threads tentent simultanément d’accéder à une ressource partagée, ce qui peut conduire à des vulnérabilités pouvant être exploitées de diverses manières, notamment l’exécution de code arbitraire, le contournement de sécurité et l’extraction de données.

Pour éviter que de telles situations ne se produisent, les systèmes d’exploitation modernes utilisent des primitives de synchronisation, mais l’analyse des chercheurs a montré que les conditions de concurrence peuvent être combinées avec une exécution particuliére.

« Notre principale conclusion est que toutes les primitives de synchronisation courantes implémentées à l’aide de branches conditionnelles peuvent être contournées microarchitecturalement sur des chemins spéculatifs à l’aide de l’ attaque Spectre v1 (CVE-2017-5753), provoquant une condition de concurrence spéculative dans toutes les zones critiques sans race (SRC). ce qui permettra aux attaquants d’extraire des informations du logiciel cible« , ont expliqué les chercheurs dans un article de blog .

GhostRace : la menace fantôme pour Intel, AMD, ARM et IBM

Afin de mener une attaque et de « gagner » la course, l’exécution du processus victime doit être interrompue au bon moment et maintenue afin que l’attaquant puisse effectuer ce que les chercheurs appellent un SCUAF (Speculative Concurrent Use-After-Free). ) attaque.

Pour cela, les scientifiques ont utilisé une nouvelle technique d’attaque appelée Inter-Process Interrupt (IPI) Storming, qui consiste à faire déborder le cœur du processeur du processus cible. En conséquence, ils ont démontré une attaque SCUAF sur le noyau Linux, qui a entraîné une fuite d’informations de la mémoire du noyau à une vitesse de 12 kilo-octets par seconde.

Bien que l’étude se soit concentrée sur les architectures x86 et Linux, les experts ont déclaré que les produits d’autres fabricants, ainsi que les logiciels autres que Linux, étaient sensibles à l’attaque.

« En général, tout logiciel est vulnérable au SRC, par exemple un système d’exploitation, un hyperviseur, etc., qui implémente des primitives de synchronisation via des branches conditionnelles sans aucune instruction de sérialisation et s’exécute sur n’importe quelle microarchitecture (par exemple, x86, ARM, RISC). -V, etc.), ce qui permet d’exécuter des branches conditionnelles de manière spéculative« , expliquent les chercheurs.

Les ingénieurs d’Intel, AMD, Arm et IBM ont été informés du problème GhostRace fin 2023 et ont, à leur tour, signalé la vulnérabilité aux fabricants de systèmes d’exploitation et d’hyperviseurs.

AMD a publié cette semaine un avis informant ses clients que les conseils précédents sur la protection contre les attaques Spectre devraient également aider à prévenir les attaques GhostRace.

Les développeurs de l’ hyperviseur Xen ont également émis un avertissement correspondant et développé un mécanisme de protection. Bien qu’ils aient confirmé que techniquement toutes les versions de Xen sont affectées par le problème GhostRace, le projet n’utilise pas de gadgets vulnérables à GhostRace, et l’équipe de sécurité de Xen ne pense pas qu’il y ait un besoin urgent de prendre des mesures, donc les mesures de protection sont désactivés par défaut.

Les développeurs Linux ont implémenté une fonctionnalité de limitation de débit IPI qui devrait protéger contre le problème associé IPI Storming (Inter-Process Interrupt Storming) (CVE-2024-26602), mais n’ont pas encore pris de mesures supplémentaires en raison de problèmes de performances potentiels.

En plus de leur article de blog et de leur livre blanc, les chercheurs ont déjà publié un exploit PoC pour GhostRace, des scripts conçus pour analyser le noyau Linux à la recherche de gadgets SCUAF et une liste de gadgets problématiques déjà identifiés. (pdf)

Android, Cybersécurité, Logiciels, Mise à jour

Correctifs importants pour Android

Google a publié de nouveaux correctifs pour Android, éliminant un total de 38 failles.

Début mars 2024, Google a mis en place 38 correctifs corrigeant son outil Android. Deux vulnérabilités affectant le composant Système ont été classées comme critiques. Ces derniers portent les identifiants CVE-2024-0039 et CVE-2024-23717.

Tout d’abord, ils sont dangereux pour les utilisateurs d’Android 12, 12L, 13 et 14. Grâce à CVE-2024-0039, les attaquants peuvent exécuter du code malveillant à distance, et CVE-2024-23717 permet une élévation des droits dans le système d’exploitation.

Dans l’avis officiel, Google indique que « La plus dangereuse des vulnérabilités corrigées réside dans le composant système. Cela peut conduire à l’exécution de code à distance sans qu’il soit nécessaire d’obtenir des droits supplémentaires sur le système. »

Les développeurs ont corrigé les deux failles critiques avec la publication de la première partie des mises à jour Android de mars. 11 lacunes supplémentaires ont été corrigées. Huit vulnérabilités sont contenues dans le composant Framework, et trois autres dans le même système. Tous ces problèmes comportent un degré de risque élevé et peuvent conduire à une élévation de privilèges, à une divulgation d’informations et à une interruption de service (DoS).

La deuxième partie de l’ensemble de correctifs – niveau de correctif de sécurité 2024-03-05 – comble 25 trous dans les composants AMLogic, Arm, MediaTek et Qualcomm. De plus, Google a signalé avoir éliminé plus de 50 vulnérabilités dans les smartphones Pixel.

Cybersécurité, Entreprise, Mise à jour, Patch

Qnap alerte sur des vulnérabilités critiques dans ses systèmes d’exploitation

Dans le monde toujours connecté d’aujourd’hui, la sécurité des systèmes informatiques est devenue une priorité absolue pour les entreprises et les particuliers. QNAP, une entreprise leader dans le domaine du matériel de sauvegarde informatique, a récemment mis en lumière des vulnérabilités critiques dans plusieurs de ses systèmes d’exploitation.

QNAP a identifié des failles de sécurité dans ses systèmes d’exploitation QTS, QuTS hero, QuTScloud et myQNAPcloud. Ces vulnérabilités, si elles sont exploitées, pourraient permettre à des attaquants d’accéder aux appareils des utilisateurs et de compromettre la sécurité des systèmes concernés. Les vulnérabilités affectent un large éventail de versions des systèmes d’exploitation de QNAP, ce qui rend un grand nombre d’appareils potentiellement vulnérables.

Comprendre les risques

Les vulnérabilités identifiées par QNAP comprennent un contournement d’authentification (CVE-2024-21899), une injection de commandes (CVE-2024-21900) et une injection SQL (CVE-2024-21901). La nature de ces failles varie, mais elles partagent un point commun : elles pourraient toutes compromettre gravement la sécurité des systèmes affectés.

La plus préoccupante des vulnérabilités, CVE-2024-21899, permet à des utilisateurs non autorisés de compromettre à distance la sécurité du système sans nécessiter d’authentification. Cela signifie que cette vulnérabilité pourrait être exploitée par n’importe qui ayant accès à Internet, rendant les systèmes non mis à jour extrêmement vulnérables aux attaques.

Mesures correctives de qnap

En réponse à ces vulnérabilités, QNAP a rapidement publié des mises à jour pour ses systèmes d’exploitation, visant à corriger les failles de sécurité et à renforcer la protection des appareils des utilisateurs. Les versions mises à jour qui résolvent ces vulnérabilités sont les suivantes :

QTS 5.1.3.2578 20231110 et versions ultérieures ;
QTS 4.5.4.2627 20231225 et versions ultérieures ;
QuTS hero h5.1.3.2578 20231110 et versions ultérieures ;
QuTS hero h4.5.4.2626 20231225 et versions ultérieures ;
QuTScloud c5.1.5.2651 et versions ultérieures ;
myQNAPcloud 1.0.52 (2023/11/24) et versions ultérieures.

L’importance de la mise à jour

QNAP conseille vivement à tous les utilisateurs de ses systèmes d’exploitation de procéder à ces mises à jour sans délai. La mise à jour des systèmes d’exploitation est une étape cruciale pour garantir la sécurité des données et la protection contre les attaques extérieures. Dans un monde où les menaces informatiques évoluent constamment, maintenir ses systèmes à jour est le meilleur moyen de se prémunir contre les vulnérabilités potentielles.

Cybersécurité, Entreprise, Mise à jour

Alerte sécurité : une vulnérabilité critique chez Fortinet menace 150 000 appareils

La cybersécurité est un domaine en constante évolution, où les menaces et les vulnérabilités émergent à un rythme alarmant. Un récent rapport de la Shadowserver Foundation met en lumière une vulnérabilité critique affectant les appareils Fortinet FortiOS et FortiProxy. 

Identifiée et corrigée le mois dernier, la vulnérabilité CVE-2024-21762 a reçu un score CVSS alarmant de 9,6, soulignant sa gravité. Ce bug critique réside dans FortiOS et est lié à un enregistrement hors limites. Il permet à des attaquants non authentifiés d’exécuter à distance du code arbitraire en envoyant des requêtes HTTP spécialement conçues. Ce qui rend cette vulnérabilité particulièrement dangereuse, c’est sa capacité à permettre l’exécution de code sans nécessiter d’authentification préalable.

L’exploitation active de la vulnérabilité

Le caractère critique de CVE-2024-21762 a attiré l’attention de l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA), qui a rapidement ajouté cette vulnérabilité à sa liste de failles déjà exploitées par des attaquants. Cette inclusion souligne non seulement la gravité du problème mais aussi le fait qu’il est activement exploité dans des attaques de cyberpirates.

L’ampleur de la menace : 150 000 appareils vulnérables

La Shadowserver Foundation a lancé un avertissement concernant l’ampleur de cette menace. Selon leurs analyses, environ 150 000 appareils Fortinet FortiOS et FortiProxy restent vulnérables à CVE-2024-21762. Les États-Unis comptent le plus grand nombre de ces appareils vulnérables, avec plus de 24 000 cas recensés. Des nombres significatifs d’appareils affectés ont également été identifiés en Inde, au Brésil et au Canada, soulignant l’impact global de cette vulnérabilité.

Comment vérifier et protéger vos appareils

Les administrateurs de système ne sont pas sans défense face à cette vulnérabilité. Un script Python spécial, développé par les spécialistes en sécurité de l’information de BishopFox, est disponible pour aider à identifier les appareils vulnérables. Il est crucial pour les administrateurs de vérifier l’état de leurs systèmes et d’appliquer les correctifs nécessaires pour se protéger contre les exploitations potentielles de cette faille critique.

Cybersécurité, Mise à jour, Patch

AlerteCyber : Faille Microsoft Outlook

Aprés les Etats-Unis le 13 février 2024, Cybermalveillance.gouv.fr déclenche une AlerteCyber concernant une faille de sécurité critique dans Microsoft Outlook. Il est primordial de la corriger le plus rapidement possible en mettant à jour les systèmes concernés pour réduire les risques d’une cyberattaque.

Mis en place en juillet 2021, AlerteCyber est un dispositif lancé dès lors qu’une menace ou une faille critique est identifiée et qualifiée en tant que telle, conjointement par l’ANSSI et Cybermalveillance.gouv.fr. Son objectif est d’informer les entreprises, collectivités et associations de toute taille face à la menace afin de les inciter à prendre les mesures qui s’imposent pour se protéger.

Dans le cadre du dispositif, Cybermalveillance.gouv.fr a publié une alerte de cybersécurité concernant une faille de sécurité critique dans Microsoft Outlook.
De quoi s’agit-il ? Quels sont les risques encourus ? Quels systèmes sont concernés et surtout, quelles mesures doivent être prises ?

Description de la vulnérabilité

Une faille de sécurité critique immatriculée CVE-2024-21413 a été corrigée dans le produit Microsoft Outlook pour Windows. L’alerte avait été lancée le 13 février 2024. Des cybercriminels pourraient très prochainement exploiter cette vulnérabilité pour conduire des attaques massives contre les systèmes vulnérables. Il est vivement conseillé d’appliquer au plus vite sur les systèmes concernés la mise à jour publiée par Microsoft qui corrige cette vulnérabilité et protège de son exploitation.

Quels sont les risques encourus ?

Espionnage, vol, voire destruction de données suite à la prise de contrôle à distance des ordinateurs concernés. Microsoft, le 13 février indiquait la faille comme critique.

Cybersécurité, Mise à jour

Crypto-monnaies : compromission du kit Ledger Connect

Des pirates s’invitent dans un outil Ledger et affiche, une fois de plus les limites du SBOM dans la protection de la chaine d’approvisionnement.

Le kit Ledger Connect, une solution logicielle développée par Ledger, entreprise spécialisée dans les portefeuilles physiques pour stocker les crypto-monnaies, a été victime d’une attaque informatique sophistiquée ciblant la chaîne d’approvisionnement. Le kit Ledger Connect est une solution logicielle qui permet aux développeurs de connecter leurs applications aux portefeuilles matériels Ledger, via API.

La faille a entrainé la redirection des transactions des utilisateurs vers un portefeuille contrôlé par le pirate. Le malveillant a réussi sont attaque à la suite d’un hameçonnage [phishing] auprès d’un ancien employé (prise de contrôle du compte npm), puis injection de code malveillant dans les versions 1.1.5, 1.1.6 et 1.1.7 du kit de Ledger.

A l’heure actuelle, plus de 700 000 $ ont été volés. Ledger a rapidement publié la version 1.1.8 pour corriger la vulnérabilité.

Pourquoi un SBOM, n’est pas suffisant ?

Le SBOM, ou « Software Bill of Materials », est essentiellement une liste détaillée des composants logiciels dans un produit programme informatique. Imaginez-le comme une liste d’ingrédients pour un code source.

Bien qu’une nomenclature logicielle (SBOM) soit un outil essentiel pour améliorer la transparence et la sécurité des chaînes d’approvisionnement logicielles, son efficacité reste limitée dans certains types d’attaques. Un SBOM répertorie efficacement tous les composants utilisés dans un produit logiciel, « mais il traite principalement des problèmes liés aux vulnérabilités connues de ces composants, et non nécessairement de la sécurité du mécanisme de distribution en lui-même. » confie la société Checkmarx.

Dans le cas de l’attaque du Kit Ledger Connect, le problème principal résidait dans le processus de distribution, qui a été compromis via le piratage du compte NPM. L’attaquant a publié des versions malveillantes du package via un canal légitime, pas nécessairement signalé par le SBOM. Étant donné que ce dernier répertorie les composants, il n’était donc pas en mesure d’identifier le code malveillant introduit dans les versions compromises.

Les SBOM doivent ainsi être complétés par des mécanismes d’analyse rapides et proactifs capables de détecter en temps réel les modifications non autorisées ou les activités malveillantes, au-delà de la simple liste de composants.

Cybersécurité, Mise à jour

La Russie va perdre son .aero

Les compagnies de transport aérien russes se retrouvent dans une situation délicate depuis que SITA, la société suisse qui administre la zone de domaine de premier niveau de l’aviation internationale .aero, a décidé de bloquer l’accès à cette zone pour les clients de la Fédération de Russie.

Une décision qui risque d’être un sérieux problème pour la Russie. Le 10 novembre, date à laquelle Ru-Center, le plus grand registraire de domaines commerciaux en Russie, a informé les entreprises aériennes russes de la résiliation imminente de leurs services d’enregistrement et de renouvellement de domaines .aero.

La zone de domaine aéronautique internationale .aero a été créée en 2002 spécifiquement pour les acteurs de l’industrie aéronautique, tels que les compagnies aériennes, les aéroports, les entreprises spatiales, les clubs aériens, les systèmes de billetterie, les équipages d’avions et les services au sol. Pour enregistrer un domaine .aero, il est nécessaire d’obtenir un identifiant unique de la communauté aéronautique, ce qui garantit que seuls les acteurs légitimes de l’industrie y ont accès. Le coût de l’enregistrement d’un tel domaine commence à 5,8 mille roubles en Russie. En plus de représenter une identité importante pour les entreprises aéronautiques, les domaines .aero sont essentiels pour la communication avec les passagers et la vente de billets en ligne.

En Russie, plus de 200 sites sont enregistrés dans la zone de domaine .aero, ce qui témoigne de son importance pour l’industrie aéronautique du pays. Parmi les utilisateurs de cette zone, on trouve plus de 30 aéroports, notamment les aéroports de Cheremetyevo, Joukovski, Kazan, Krasnoïarsk, ainsi que les holdings Aéroports des régions et Aérodynamique. De plus, une quinzaine de compagnies aériennes russes, telles que Pobeda, Azimut, Yamal, Ikar, Alrosa, et d’autres, dépendent également de cette zone pour leurs opérations en ligne. Même Russian Helicopters, une entreprise spécialisée dans la fabrication d’hélicoptères, utilise des domaines .aero.

.aero

La décision de SITA de bloquer l’accès à la zone .aero pour les entreprises aériennes russes n’est pas totalement surprenante. Cette décision est vue comme un acte de plus dans une série d’actions hostiles contre l’aviation russe. L’année précédente, SITA avait déjà commencé à réduire ses activités en Russie en réponse à la participation de la société SVO en Ukraine. Cette réduction d’activité avait entraîné la fermeture de la plupart de ses services en Russie, ce qui avait été signalé au ministère des Transports.

L’aéroport de Krasnoïarsk a reconnu le risque de non-renouvellement de son enregistrement de domaine .aero, mais jusqu’à présent, il n’a pas reçu de confirmation de la part de son registraire. Malgré cela, l’aéroport prend des mesures pour minimiser les conséquences potentielles en cas de blocage de ses domaines .aero.

Le holding Aerodinamika, qui gère les aéroports de Sotchi, Krasnodar et Anapa, n’a pas encore été notifié de la suspension de l’enregistrement des domaines .aero. Cependant, l’entreprise ne prend pas de risques inutiles et a déclaré : « Nous gérons les risques, c’est pourquoi en 2022, des domaines de la zone .ru ont été achetés pour les sites Web de tous les aéroports gérés. Une fois l’enregistrement des domaines .aero terminé, les sites seront rapidement transférés vers ceux achetés dans la zone .ru.« 

La décision de SITA de bloquer l’accès à la zone .aero pour les entreprises aériennes russes soulève des questions sur les relations internationales dans le domaine de l’aviation. Elle montre également l’importance croissante de la cybersécurité et de la souveraineté numérique pour les acteurs de l’industrie aéronautique. Les entreprises russes devront désormais prendre des mesures pour garantir la continuité de leurs opérations en ligne et la communication avec leurs clients, même si cela signifie migrer vers d’autres domaines de premier niveau tels que .ru. La situation met en évidence l’importance de la planification et de la préparation pour faire face à de telles perturbations inattendues, qui peuvent avoir un impact sur l’ensemble de l’industrie aéronautique russe.

Cybersécurité, Mise à jour, Patch

L’EXPLOIT PERMETTANT DE CONTOURNER WINDOWS DEFENDER SMARTSCREEN DIVULGUÉ

Le code d’exploitation de démonstration (preuve de concept, PoC) d’une vulnérabilité critique dans Windows Defender a été rendu public.

Cette vulnérabilité, identifiée sous le nom de CVE-2023-36025, permet aux pirates informatiques de contourner efficacement la fonction de sécurité SmartScreen de Windows. Autant dire que cela risque de devenir un sérieux problème si vous n’avez pas encore mis en place le patch qui corrige cette faille.

Microsoft, conscient de l’urgence, a répondu rapidement en déployant un correctif dans sa mise à jour de novembre. Cependant, il est alarmant de constater que, avant même la publication de ce correctif, la vulnérabilité CVE-2023-36025 était déjà exploitée activement dans des cyberattaques, lui conférant ainsi le statut redouté de vulnérabilité « zero-day« .

L’exploit zero-day en question permet aux attaquants d’insérer du code malveillant en déjouant les contrôles de Windows Defender SmartScreen, sans déclencher d’alertes de sécurité. Le vecteur d’attaque implique l’utilisation de raccourcis Web (.url) spécialement conçus ou de liens vers de tels fichiers, nécessitant la participation active de la victime, souvent par le biais de clics imprudents. Un hameçonnage [du Social Engineering via un phishing] aux couleurs de votre entreprise par exemple !

Les systèmes affectés incluent Windows 10, Windows 11 et Windows Server 2008, avec une mention particulière dans l’ensemble de correctifs de novembre en raison de sa haute priorité. Le PoC récemment publié est en soi un simple fichier de raccourci Internet, mais représente un outil puissant pour exploiter la faille CVE-2023-36025. Le spécialiste à l’origine de cette publication met en garde : « Bien que ce fichier .URL conduise à un site malveillant, il peut être déguisé en raccourci inoffensif. Les attaquants peuvent distribuer un tel fichier via des e-mails de phishing ou des ressources Web compromises.« 

L’exploitation de cette vulnérabilité pourrait ouvrir la voie à une distribution massive de logiciels malveillants, des attaques de phishing réussies et diverses autres cybermenaces comme un rançongiciel [ransomware].

Cybersécurité, Mise à jour, Securite informatique

Black Friday, Cyber monday : les commerçants Français confrontés à une augmentation des cyber attaques

Dans le paysage en constante évolution du commerce en ligne, les commerces français font face à une menace croissante en matière de cybersécurité. Selon de récentes données, 60% des attaques ciblant ces entreprises sont des attaques de logique commerciale, dépassant largement la moyenne mondiale de 37%. Cette tendance inquiétante met en lumière les défis croissants auxquels le secteur du e-commerce est confronté en France.

De plus, une proportion significative du trafic non désiré sur les sites français de vente au détail est désormais associée à des robots avancés, dépassant la moyenne mondiale de 53%. Ces « bad bots » posent un problème sérieux en matière de sécurité en ligne, car ils sont souvent utilisés pour des activités malveillantes.

L’évolution des attaques est également préoccupante. Au cours des 12 derniers mois, on a observé une augmentation spectaculaire de 4 fois des attaques DDoS de niveau 7 chez les commerçants français. De plus, les attaques DDoS de la couche applicative ont augmenté de près de 10 fois pendant la période des achats de Noël par rapport à l’année précédente. Ces attaques automatisées, en particulier celles visant la logique commerciale des applications, représentent une menace majeure pour les commerces.

Les cybercriminels cherchent à exploiter les vulnérabilités des applications, des API et des données du secteur du e-commerce, avec des conséquences potentiellement désastreuses pour les entreprises visées.

Karl Triebes, SVP et GM de la sécurité des applications chez Imperva, met en garde : « Les risques sécuritaires auxquels le secteur du e-commerce est confronté sont de plus en plus élaborés, automatisés et difficiles à détecter. Cette automatisation sophistiquée peut sérieusement affecter les résultats financiers des retailers, compromettant ainsi les ventes de fin d’année.« 

Les perspectives pour la période des fêtes de fin d’année 2023 sont également inquiétantes. Une récente augmentation des attaques de bots malveillants, en particulier sur les sites de e-commerce basés aux États-Unis et en France, laisse présager une perturbation potentielle des ventes pendant le Black Friday et le Cyber Monday. Les attaques DDoS au niveau des applications sont en hausse par rapport à la même période l’année dernière, accentuant les risques pour la période des fêtes.

Cybersécurité, Mise à jour, Patch

Les réseaux VMware Aria menacés par des cyber attaques à distance

VMware publie des mises à jour pour corriger deux vulnérabilités de sécurité dans Aria Operations for Networks qui pourraient être potentiellement exploitées par des pirates. L’une d’elle est CRITIQUE !

La plus grave des failles est la CVE-2023-34039, elle est notée 9,8 sur 10 (Sic!), qui concerne un cas de contournement d’authentification résultant d’un manque de génération de clé cryptographique unique. Cette vulnérabilité a été découverte par deux chercheurs de chez ProjectDiscovery, Harsh Jaiswal et Rahul Maini. « Un acteur malveillant disposant d’un accès réseau à Aria Operations for Networks pourrait contourner l’authentification SSH pour accéder à la CLI d’Aria Operations for Networks » informe l’alerte. La seconde « faiblesse« , la CVE-2023-20890 (7,2/10), est une vulnérabilité d’écriture de fichier qui pourrait être exploitée par un pirate disposant d’un accès administratif pour écrire des fichiers et lancer l’exécution de code à distance. A noter que des pirates ont activement exploité d’autres failles, corrigées aujourd’hui, en juin 2023 (CVE-2023-20887). Les patchs sont disponibles ici.

Cybersécurité, Mise à jour, Patch

Versioning : une méthode pirate qui a fait ses preuves

Les logiciels malveillants Android utilisent la technique de « versioning » pour contourner les scanners du Play Store.

Les cybercriminels utilisent la technique de « versioning » pour contourner les mécanismes de détection des applications malveillantes dans la boutique officielle Google Play Store. C’est ainsi que les malfaiteurs introduisent des chevaux de Troie bancaires et d’autres malwares sur les appareils Android. Même les experts de Google Cybersecurity Action Team (GCAT) ont reconnu ce problème dans leur rapport d’août (PDF). La technique de « versioning » n’est pas nouvelle, mais elle n’en demeure pas moins dangereuse.

Ces logiciels malveillants sont difficiles à détecter parce qu’une application tout à fait sûre est soumise à la vérification du Google Play Store. Puis, lors d’une mise à jour ultérieure, l’auteur ajoute simplement son code malveillant. Pour ce faire, ils utilisent une méthode appelée « dynamic code loading » (DCL), qui transforme essentiellement un logiciel inoffensif en porte dérobée, un outil d’espionnage installé, directement, dans notre poche.

À titre d’exemple de ce comportement, citons l’application iRecorder – Screen Recorder. Un autre exemple est le cheval de Troie bancaire SharkBot. Les auteurs peuvent publier plusieurs applications simultanément sous différents comptes de développeurs. Seule l’une de ces applications sera malveillante, les autres étant des réserves que les criminels activeront en cas d’échec du premier logiciel. « Cette tactique permet aux cybercriminels de mener des campagnes assez longues et de réduire au maximum le temps nécessaire pour publier un nouveau chargeur. » confirment les chercheurs.

Cybersécurité, Microsoft, Mise à jour, Patch

Une vulnérabilité bien connue de Microsoft Office a été exploitée six fois plus au cours deuxième trimestre de 2023

Des chercheurs ont constaté qu’une ancienne vulnérabilité de Microsoft Office gagne en popularité auprès des attaquants, qui l’exploitent pour cibler à la fois les particuliers et les entreprises.

Depuis le début de l’année 2023, la vulnérabilité CVE-2017-11882 a été exploitée près de 500 % plus souvent, affectant des milliers de personnes. Une autre vulnérabilité connue, CVE-2018-0802, semble être devenue « l’arme » la plus en vogue chez les cybercriminels, ayant été utilisée pour cibler plus de 130 000 utilisateurs. Étant donné que les anciennes versions des programmes Microsoft sont aujourd’hui encore utilisées et qu’elles constituent une cible très attrayante pour les attaquants, il est crucial d’installer une solution de sécurité fiable et d’effectuer les mises à jour régulièrement.

Tout au long du deuxième trimestre 2023, des chercheurs de Kaspersky ont détecté que plus de 11 000 utilisateurs ont été visés par des attaques exploitant une ancienne vulnérabilité du logiciel Microsoft Office, connue sous le nom de CVE-2017-11882. Cette vulnérabilité permet aux attaquants d’exploiter l’éditeur d’équation dans les documents Microsoft Office, pour exécuter un code malveillant sur l’appareil ciblé. Ce procédé leur permet d’installer des logiciels malveillants ou indésirables sur la machine affectée à l’insu de l’utilisateur. Pour exploiter la vulnérabilité, les attaquants peuvent procéder de plusieurs manières: soit en envoyant un fichier malveillant à une victime potentielle, soit en créant un site web avec le même type de fichier pour inciter les gens à l’ouvrir en utilisant des techniques d’ingénierie sociale.

Bien que la vulnérabilité ait été identifiée et corrigée depuis longtemps, les exploits ont augmenté de 483 % au cours du deuxième trimestre par rapport au premier trimestre de cette année. Cette tendance alarmante indique que même les anciennes vulnérabilités restent des points d’entrée efficaces pour attaquer à la fois les appareils des particuliers et les infrastructures informatiques des organisations.

Nombre d’utilisateurs attaqués via la vulnérabilité CVE-2017-11882 en 2023

« Les attaquants ont effectivement recommencé à utiliser cet exploit. Il est très probable qu’ils tentent de mettre en œuvre de nouvelles techniques d’obscurcissement afin d’échapper à la détection. Par exemple, ils pourraient essayer d’insérer de nouveaux types de données malveillantes dans les documents Microsoft Office. Toutefois, des solutions de sécurité éprouvées, conçues pour détecter les tentatives d’attaque de manière systématique, permettent de prévenir de telles attaques et de protéger les utilisateurs. Il est également essentiel d’installer les mises à jour et les correctifs des logiciels à temps« , commentent les experts.

Cette tendance a persisté au cours de cette période, les cybercriminels ayant continué à s’appuyer sur d’anciennes vulnérabilités des logiciels Microsoft comme vecteurs d’attaque. La vulnérabilité qu’ils ont le plus exploitée est CVE-2018-0802, avec laquelle ils ont ciblé plus de 130 000 personnes. L’exploitation de cette vulnérabilité suit généralement le même schéma que la CVE-2017-11882 susmentionnée, impliquant une corruption de la mémoire pouvant permettre à l’attaquant de contrôler le système à l’aide d’un fichier spécialement conçu à cet effet.

Les vulnérabilités CVE-2010-2568, CVE-2017-0199 et CVE-2011-0105 figurent également sur la liste des exploits les plus fréquemment détectés au cours du deuxième trimestre. La première implique l’exécution de code via un fichier LNK spécifiquement développé pour ces opérations, tandis que les deux dernières sont liées à la suite Microsoft Office.

IOT, Mise à jour, Patch

ChatGPT devient idiot avec le temps

Une étude menée par des analystes de Stanford et de l’Université de Californie a révélé que les dernières versions des chatbots ChatGPT ont montré une détérioration de leurs performances au fil du temps.

Les chercheurs de les universités de Stanford et de Californie n’ont pas pu expliquer la raison de cette dégradation des capacités du réseau de neurones, mais il s’avère que ChatGPT devient idiot, avec le temps. L’expérience impliquait de demander à ChatGPT-3.5 et ChatGPT-4 de résoudre des problèmes mathématiques, de répondre à des questions sensibles, de rédiger du code informatique et de démontrer des compétences de raisonnement spatial avec des conseils.

En mars, la version la plus récente de l’IA pouvait identifier les nombres premiers avec une précision de 97,6 %, mais en juin, ce chiffre est tombé à 2,4 %. Pendant la même période, pourtant, le modèle de réseau neuronal antérieur avait amélioré ses performances. De même, lors de la génération de lignes de code identiques, les capacités des deux versions de ChatGPT se sont détériorées après quelques mois. En mars, l’ancien modèle fournissait des explications détaillées sur les raisons pour lesquelles il ne pouvait pas répondre à certaines questions sensibles, comme l’appartenance ethnique des personnes. Cependant, en juin, les deux versions du réseau de neurones se sont simplement excusées sans fournir d’explications.

Les experts ont recommandé aux utilisateurs et aux entreprises qui dépendent des services de chatbots basés sur des réseaux de neurones d’effectuer des analyses régulières pour s’assurer que les chatbots sont toujours à jour et ne racontent pas de bêtises.

Par ailleurs, en juillet, les développeurs de ChatGPT ont publié un nouveau plugin pour la version payante, permettant au chatbot d’analyser des données, de créer du code Python, de construire des graphiques et de résoudre des problèmes mathématiques.

Le chatbot a également été capable de réfuter scientifiquement la théorie de la « terre plate. (Etude)

Cybersécurité, Mise à jour

Des pirates Chinois font faire des économies aux clients de Microsoft Cloud

Microsoft a annoncé qu’il étendrait l’accès à un ensemble élargi de journaux de sécurité à davantage de clients sans frais supplémentaires. Cette décision fait suite aux révélations selon lesquelles des pirates basés en Chine ont exploité les vulnérabilités de l’infrastructure cloud de Microsoft pour accéder aux données de messagerie de plusieurs agences gouvernementales et fonctionnaires américains.

Les membres du personnel de sécurité du département d’État américain ont découvert une opération d’espionnage chinoise à la mi-juin 2023 en utilisant des journaux de données anormales disponibles uniquement dans le niveau premium du service Cloud de Microsoft. Une option « payante » qui a suscité des critiques sévères à l’égard de Microsoft de la part de responsables américains et d’experts en cybersécurité. La société facturait des frais supplémentaires pour ces fonctions de sécurité essentielles.

Pour remédier à cette situation, Microsoft a décidé de modifier ses prix et de fournir « l’accès à des journaux de sécurité cloud plus étendus pour tous nos clients dans le monde sans frais supplémentaires » à partir de septembre 2023. De plus, la durée de conservation des journaux par défaut sera désormais de 180 jours, contre 90 jours auparavant.

Bien que la Cybersecurity and Infrastructure Security Agency ait qualifié cette initiative de « pas en avant significatif vers l’avancement des principes de sécurité par la conception« , certaines critiques persistent. Le sénateur Ron Wyden a déclaré que le changement de prix n’était pas suffisant pour remédier aux violations passées, soulignant que Microsoft semblait privilégier la monétisation des produits complémentaires de cybersécurité plutôt que de fournir des systèmes sécurisés de base.

Malgré cela, Microsoft a souligné qu’il était en étroite collaboration avec la CISA (2)pour répondre aux besoins de sécurité en constante évolution du monde moderne. L’enquête sur l’opération de piratage en Chine se poursuit, alors que les autorités cherchent à comprendre comment une telle attaque sophistiquée a pu se produire.

Cybersécurité, Microsoft, Mise à jour, Patch

130 failles corrigées en juillet pour Microsoft

Le Patch Tuesday de ce mois de juillet comprend des correctifs pour 130 CVE, ce qui en fait le plus vaste Patch Tuesday de l’année 2023 jusqu’à présent. Sur les 130 CVE corrigées ce mois-ci, neuf sont jugées critiques et 121 importantes. Ce mois-ci, cinq vulnérabilités ont été exploitées par des hackers sous forme de zero days et Microsoft a publié une alerte concernant l’utilisation malveillante de Microsoft Signed Drivers. »

« Deux vulnérabilités zero-day de contournement des fonctionnalités de sécurité dans Microsoft Outlook (CVE-2023-35311) et Windows SmartScreen (CVE-2023-32049) ont été exploitées dans la nature par des attaquants. Les détails de l’exploitation n’étaient pas disponibles au moment de la publication des mises à jour du Patch Tuesday, mais il semble que les attaquants aient pu avoir recours à l’ingénierie sociale pour convaincre une cible de cliquer sur une URL malveillante. Dans les deux cas, les messages d’avertissement de sécurité conçus pour protéger les utilisateurs ont été contournés. » indique à DataSecurityBreach.fr Satnam Narang, Senior Staff Research Engineer chez Tenable.

Des chercheurs du Threat Analysis Group (TAG) de Google ont révélé un zero day dans le Windows Error Reporting de Microsoft (CVE-2023-36874) qui pourrait permettre à un attaquant de bénéficier de privilèges administratifs. En outre, le Microsoft Threat Intelligence Center (MSTIC) a révélé un zero day dans Windows MSHTML Platform (CVE-2023-32046). Pour exploiter cette faille, il faut convaincre un utilisateur d’ouvrir un fichier spécialement conçu, soit par mail, soit par l’intermédiaire d’un vecteur d’attaque en ligne. Il est également intéressant de noter la présence de mises à jour cumulatives pour Internet Explorer. Malgré l’abandon d’Internet Explorer 11, certains de ses composants, dont MSHTML et EdgeHTML, sont toujours pris en charge par plusieurs versions de Windows Server, ce qui explique pourquoi des correctifs ont été publiés pour ces produits.

Microsoft a également corrigé la CVE-2023-36884, une faille d’exécution de code à distance dans Microsoft Windows et Office qui a été exploitée dans la nature en tant que zero day, et qui a été utilisée dans des attaques ciblées via des documents Microsoft Office corrompus. Ces attaques ont été attribuées à un acteur malveillant connu sous le nom de Storm-0978 ou DEV-0978, qui serait basé en Russie. Storm-0978 est connu pour mener des attaques de ransomware et d’extorsion uniquement, y compris des campagnes de vol d’informations d’identification, contre des cibles en Ukraine, en Amérique du Nord et en Europe.

Enfin, Microsoft a également publié des conseils concernant l’utilisation malveillante de pilotes signés dans le cadre de son programme Microsoft Windows Hardware Developer Program (MWHDP). Il est apparu que certains comptes de développeurs du Microsoft Partner Center soumettaient des pilotes malveillants afin d’obtenir une signature Microsoft. L’utilisation abusive de ces pilotes signés a été découverte dans le cadre d’une activité de post-exploitation, qui exigeait qu’un attaquant obtienne d’abord des privilèges administratifs sur le système ciblé avant d’exécuter les pilotes signés malveillants. Ces comptes de développeurs ont été suspendus et, grâce aux récentes mises à jour de sécurité de Windows, les pilotes malveillants sont désormais considérés comme non fiables.

Cybersécurité, Mise à jour, Patch

Zimbra demande de corriger manuellement une vulnérabilité

Les développeurs de Zimbra demandent aux administrateurs de corriger manuellement une vulnérabilité zero-day qui est déjà activement exploitée par des pirates pour compromettre les serveurs de messagerie Zimbra Collaboration Suite (ZCS).

Comme il n’y a pas encore de correctif, les administrateurs sont priés de se protéger temporairement manuellement. Actuellement, la vulnérabilité n’a pas encore reçu d’identifiant CVE, mais on sait qu’il s’agit d’un bogue XSS découvert par des spécialistes du Google Threat Analysis Group. Bien que Zimbra ne signale pas que le problème est déjà utilisé dans des attaques, Maddie Stone de Google TAG met en garde à ce sujet. Selon elle, la vulnérabilité XSS a été découverte par des spécialistes lors de l’étude d’une cyberattaque ciblée.

Cybersécurité, Microsoft, Mise à jour

Windows Update Restored : mettre à jour votre Windows 95

Un projet indépendant, Windows Update Restored vise à faciliter la mise à jour des anciennes versions de Windows, notamment Win95, 98 et NT 4.0. Attention, danger en cas de connexion web d’OS obsolètes !

Voilà qui est original. Le site Windows Update Restored, mis en place par des amateurs d’ordinateurs rétro, donne accès aux pages Windows Update perdues. Mission, permettre la mise à jour de vieux, trés vieux Windows. L’équipe du projet espère aider ceux qui installent et mettent à niveau les systèmes Windows 95, NT 4.0, 98, Me, 2000 et XP. Le fait est que les anciennes versions de Windows reposaient principalement sur le travail de l’application Web Windows Update, et non sur les outils de mise à jour intégrés, comme c’est le cas actuellement. Et vers la mi-2011, Microsoft a fermé la version du site qui pouvait analyser et mettre à jour Windows 95 et 98.

Le site Windows Update Restored est une version légèrement modifiée du site de Microsoft, un clone du site Windows Update v3.1 (datant de 1997) qui couvre Windows 95, NT 4.0 et Windows 98 (et SE). Le site n’utilise pas SSL ou TLS, donc les anciennes versions d’Internet Explorer peuvent toujours y accéder. Pour accéder aux mises à jour, vous aurez besoin d’au moins Internet Explorer 5.

Étant donné que ce navigateur ne peut plus être téléchargé directement depuis Microsoft, le site Windows Update Restored propose des liens de téléchargement pour IE5 et IE5.5 dans toutes les langues prises en charge.

Pour rappel, à utiliser à vos risques et périls. Les mises à jour pour Windows 95 ont été stoppées il y a 22 ans, et que Windows 98 et ME ont cessé de recevoir des mises à jour en 2006.

Cybersécurité, Mise à jour, Patch

Les vulnérabilités critiques de ColdFusion sont déjà exploitées par des pirates

Adobe vient de corriger des failles visant son outil ColdFusion. Des hackers malveillants exploitent déjà les vulnérabilités.

Adobe a corrigé des vulnérabilités critiques d’exécution de code dans ColdFusion. La semaine dernière, Adobe a signalé un problème de contournement d’authentification ColdFusion (CVE-2023-29298). Une faille découverte par la société Rapid7. Une seconde vulnérabilité d’exécution de code à distance de pré-authentification (CVE-2023-29300) avait été mise à jour par CrowdStrike.

La vulnérabilité critique CVE-2023-29300 est associée à la désérialisation (9,8 points sur l’échelle CVSS) et peut être utilisée par des visiteurs non autorisés pour exécuter à distance des commandes sur des serveurs vulnérables Coldfusion 2018, 2021 et 2023.

Le 14 juillet, Adobe a publié un correctif « urgent » pour une autre vulnérabilité, CVE-2023-38203, également découverte dans Project Discovery. Selon les chercheurs, cette vulnérabilité permet d’exploiter CVE-2023-29300 et d’exécuter du code à distance.

Selon Rapid7, des pirates utilisent déjà des chaînes d’exploit, combinant l’utilisation de CVE-2023-29298 avec un exploit du rapport Project Discovery. Les pirates utilisent ces exploits pour contourner la sécurité, installer des shells [portes dérobées] sur des serveurs ColdFusion vulnérables et obtenir un accès à distance aux appareils. Les shells se trouvent généralement dans le dossier : .\ColdFusion11\cfusion\wwwroot\CFIDE\ckeditr.cfm.

Pendant ce temps, les mises à jour de juillet de Microsoft corrigent 132 vulnérabilités dans les produits de la société, dont six 0day activement exploités, ainsi que 37 bogues qui permettent l’exécution de code arbitraire à distance. Alors qu’un total de 37 bogues RCE ont été corrigés ce mois-ci, Microsoft affirme que seuls neuf d’entre eux sont jugés critiques. Dans le même temps, l’un des problèmes RCE reste non corrigé et est activement utilisé dans des attaques déjà découvertes par de nombreux spécialistes de la sécurité de l’information.

Cybersécurité, Mise à jour, Wordpress

0Day Ultimate Member WordPress Plugin : 200 000 sites impactés

La vulnérabilité critique CVE-2023-3460 dans le plugin Ultimate Member pour WordPress vous permet d’ajouter un compte avec des privilèges d’administrateur sur le site, en contournant les mesures de sécurité. Des hackers malveillants l’ont adoptée.

Le plugin Ultimate Member est conçu pour faciliter l’enregistrement et la gestion des comptes sur le site ; il vous permet d’ajouter des profils d’utilisateurs, de leur attribuer des rôles, de créer des champs personnalisés dans des formulaires Web, des listes de membres de la communauté, etc.

Actuellement, cette extension WordPress compte plus de 200 000 installations actives. La vulnérabilité CVE-2023-3460 (9,8 points sur l’échelle CVSS) appartient à la classe d’élévation de privilèges et est causée par une protection imparfaite des clés de métadonnées contre la manipulation.

Le fait est qu’à cette fin, le membre ultime utilise des listes de blocage et les vérifie chaque fois qu’un utilisateur tente d’enregistrer une clé lors de la création d’un compte.

Il s’est avéré que ce mécanisme peut être contourné en forçant le plugin à modifier la valeur de wp_capabilities pour le nouvel utilisateur.

Au cours d’attaques actuelles, les pirates informatiques en possession de l’exploit créent des comptes et utilisent la faille pour modifier les métadonnées afin de s’inscrire dans le groupe d’administrateurs, d’obtenir un accès complet au site WordPress et d’installer une extension CMS malveillante via le panneau d’administration.

Il est fortement conseillé aux utilisateurs de toutes les versions du plugin, y compris la 2.6.6, qui a été publiée le 29 juin 2023, d’installer la version 2.6.7, de réinitialiser tous les mots de passe sur le site et de rechercher les comptes inconnus avec le rôle d’administrateur.

Cybersécurité, Mise à jour, Patch

Les 25 vulnérabilités à la mode chez les pirates !

L’organisation MITRE a récemment publié une liste des 25 vulnérabilités et bogues logiciels les plus dangereux qui ont suscité des préoccupations chez les utilisateurs et les entreprises du monde entier au cours des deux dernières années.

Cette initiative vise à attirer l’attention de la communauté de la sécurité de l’information sur ces failles critiques. En plus des vulnérabilités classiques, MITRE a également inclus des erreurs de configuration, des bogues et des implémentations incorrectes dans cette liste exhaustive.

La gravité de ces vulnérabilités peut entraîner des problèmes sérieux, allant de la prise de contrôle de systèmes cibles par des attaquants à la possibilité de voler des données et de provoquer des pannes d’applications. Dans le cadre de l’élaboration de cette liste, MITRE a étudié 43 996 vulnérabilités répertoriées par le National Institute of Standards and Technology (NIST) des États-Unis, en se basant sur leur niveau de gravité. Le catalogue CISA Known Exploited Vulnerabilities (KEV) a également été pris en compte. L’objectif de MITRE est de fournir à la communauté une compréhension claire de certains problèmes logiciels majeurs.

MITRE, l’organisation bien connue pour ses contributions à la sécurité informatique, vient de rendre publique une liste inquiétante des 25 vulnérabilités logicielles les plus dangereuses. Cette compilation, qui a suscité l’attention de la communauté mondiale de la sécurité de l’information, met en évidence les failles qui ont tourmenté les utilisateurs et les entreprises au cours des deux dernières années.

Top 5
– Out-of-bounds Write
– Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’)
– Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’)
– Use After Free
– Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’)

La liste de MITRE ne se limite pas aux vulnérabilités classiques telles que les erreurs de programmation ou les faiblesses connues. Elle inclut également des erreurs de configuration, des bogues et des implémentations incorrectes. La diversité des failles répertoriées témoigne de l’ampleur des défis auxquels sont confrontés les développeurs et les utilisateurs de logiciels.

L’impact de ces vulnérabilités est considérable

Les attaquants peuvent exploiter ces failles pour prendre le contrôle de systèmes cibles, voler des données sensibles et causer des pannes d’applications. Face à ces risques, MITRE estime qu’il est essentiel de sensibiliser la communauté de la sécurité de l’information à ces problèmes majeurs.

La méthodologie utilisée par MITRE pour établir cette liste est rigoureuse. L’organisation a analysé pas moins de 43 996 vulnérabilités répertoriées par le National Institute of Standards and Technology (NIST) des États-Unis, en se concentrant sur leur niveau de gravité. En outre, elle a pris en compte le catalogue CISA Known Exploited Vulnerabilities (KEV), qui recense les vulnérabilités exploitées.

Calculer la gravité des vulnérabilités

Selon MITRE, la création de cette liste s’est appuyée sur une formule qui permet de calculer la gravité des vulnérabilités. Les scores CVSS (Common Vulnerability Scoring System) ont également été pris en compte pour évaluer la gravité de chaque vulnérabilité. Ainsi, la liste résultante met en évidence les problèmes logiciels les plus critiques, touchant une large gamme de logiciels qui ont été publiés ces deux dernières années.

L’objectif de MITRE est de fournir à la communauté une compréhension claire et approfondie de ces problèmes logiciels majeurs. En rendant cette liste publique, l’organisation cherche à sensibiliser les développeurs, les entreprises et les utilisateurs aux risques auxquels ils sont confrontés.

La publication de cette liste ne vise pas seulement à attirer l’attention sur les vulnérabilités, mais aussi à encourager les acteurs de l’industrie à prendre des mesures proactives pour remédier à ces failles. En identifiant et en comprenant ces vulnérabilités, la communauté de la sécurité de l’information peut développer des stratégies pour renforcer la sécurité des systèmes, améliorer les pratiques de développement et mettre en place des mesures de protection efficaces.

Il est essentiel de noter que la liste de MITRE ne représente pas un classement statique et immuable. Les vulnérabilités évoluent avec le temps et de nouvelles failles peuvent être découvertes. Néanmoins, cette liste offre un point de départ précieux pour identifier les problèmes les plus urgents et les plus préoccupants.

Cybersécurité, Mise à jour, Patch

Les dernières mises à jour de sécurité de Microsoft : protégez-vous contre les vulnérabilités

Microsoft a récemment publié ses mises à jour mensuelles. Le lot de correctifs de juin 2023 résout un total de 78 failles, dont 38 pouvant potentiellement entraîner l’exécution de code à distance. Parmi ces failles, Microsoft en a identifié six comme étant critiques, pouvant causer des attaques de déni de service (DoS), des élévations de privilèges, et l’exécution arbitraire de code à distance.

La répartition des vulnérabilités corrigées se présente comme suit : 17 failles d’élévation de privilèges, 3 contournements de systèmes de protection, 32 vulnérabilités d’exécution de code à distance (RCE), 5 problèmes de divulgation d’informations, 10 attaques de déni de service (DoS), 10 tentatives de spoofing, et une faille spécifique à la version Chromium d’Edge.

Heureusement, cette fois-ci, aucune vulnérabilité zero-day n’a été signalée, ce qui permet aux administrateurs système de déployer les correctifs à leur propre rythme. Cependant, il est essentiel de souligner deux vulnérabilités particulièrement dangereuses qui nécessitent une attention immédiate :

CVE-2023-29357 : Cette faille concerne une élévation de privilèges dans Microsoft SharePoint Server. Selon Microsoft, cette vulnérabilité est exploitée dans des attaques, mais aucune information détaillée sur son exploitation n’a été divulguée.

CVE-2023-32031 : Cette vulnérabilité permet l’exécution de code à distance dans Microsoft Exchange Server. Un attaquant non authentifié peut exploiter cette faille pour exécuter un code malveillant dans le contexte du compte du serveur.

Les mises à jour de sécurité de Microsoft jouent un rôle crucial dans la protection des utilisateurs contre les vulnérabilités et les attaques potentielles. En installant rapidement ces correctifs, vous pouvez renforcer la sécurité de votre système et réduire les risques liés à l’exécution de code à distance, aux élévations de privilèges et aux autres formes d’attaques. Assurez-vous de rester à jour avec les dernières mises à jour de sécurité et de suivre les recommandations de Microsoft pour maintenir un environnement informatique sûr.

Cybersécurité, Microsoft, Mise à jour

Microsoft propose d’isoler les applications pour une meilleure sécurité

Alors que l’on entend surtout parler de ChatGPT dans les outils Microsoft, une autre fonctionnalité plus intéressante apparait dans Windows 11 : l’isolation des applications Win32.

Actuellement en phase de test dans une version d’aperçu, cette nouvelle fonction permettra aux utilisateurs d’exécuter des applications Win32 dans un environnement isolé, offrant ainsi une protection accrue et une sécurité renforcée pour le système d’exploitation. En créant une sorte de bac à sable, les applications Win32 ne pourront pas affecter le reste du système en cas de compromission ou d’attaque. Cette initiative fait partie de la mise à jour majeure de Windows 11, baptisée « Moment 3 », qui apporte également un support natif pour des formats de compression populaires tels que 7-Zip, RAR et GZ. Les utilisateurs des versions de prévisualisation peuvent déjà profiter de cette nouvelle fonctionnalité, qui promet d’améliorer l’expérience de sécurité et de confidentialité sur Windows 11.

Cybersécurité, Mise à jour, Patch, Wordpress

Une vulnérabilité corrigée dans le plug-in Advanced Custom Fields pour WordPress

Une faille de sécurité a été identifiée dans le plug-in Advanced Custom Fields pour WordPress, permettant l’insertion de code malveillant sur approximativement deux millions de sites web. Cela pourrait causer des préjudices aux sites eux-mêmes et à leurs utilisateurs.

Cette faille concerne spécifiquement les plug-ins Advanced Custom Fields et Advanced Custom Fields Pro, développés par Delicious Brains. Ces outils offrent aux administrateurs de sites WordPress une plus grande maîtrise sur leur contenu et leurs données.

Patchstack a révélé le 5 février qu’une attaque XSS (cross-site scripting) pouvait être menée via ces plug-ins. En termes simples, une attaque XSS consiste pour un agresseur à insérer du code, généralement dans une zone de texte sur un site web. Ce code est ensuite exécuté par le site. Bien que ce type d’attaque soit moins fréquent qu’il y a une décennie, il existe toujours des exceptions.

En exploitant cette faille, il serait possible d’exécuter du JavaScript à l’insu des visiteurs du site. Cela pourrait conduire au vol de données des visiteurs ou à la prise de contrôle du site entier, si l’utilisateur affecté est un administrateur du site.

Un correctif a été publié début avril pour résoudre ce problème. Depuis le 5 mai, Patchstack et Rafie Muhammad, le chercheur de Patchstack qui a identifié la faille, ont été autorisés à partager publiquement leurs découvertes. Pour remédier à la situation, les utilisateurs d’Advanced Custom Fields doivent mettre à jour leur version vers la 6.1.6 ou une version ultérieure. Cette vulnérabilité a été enregistrée sous le code CVE-2023-30777.

Cybersécurité, Microsoft, Mise à jour, Patch

Vulnérabilités : trois 0day à corriger d’urgence

Microsoft élimine trois 0days dans Windows, deux sont utilisés dans des cyber attaques.

Microsoft a publié de nombreux correctifs en ce mois de mai pour Windows. Au total, les développeurs ont corrigé 38 problèmes, dont trois vulnérabilités zero-day (0day).

Six vulnérabilités ont reçu le statut de critiques, car elles permettent l’exécution de code à distance.

Huit vulnérabilités d’escalade de privilèges. Quatre façons de contourner les fonctions de sécurité. 12 trous menant à l’exécution de code à distance. Huit problèmes de divulgation. Cinq vulnérabilités DoS. Une possibilité de spoofing.

Quant aux trois 0days que Microsoft a fermé ce mois-ci : deux d’entre eux sont déjà activement utilisés dans de véritables cyberattaques, et le reste attend dans les coulisses, puisque les détails techniques sont sur le Web.

CVE-2023-29336 est l’une des vulnérabilités exploitées. Provoque une élévation et affecte Win32k. Avec son aide, les pirates peuvent obtenir des privilèges de niveau SYSTEM dans le système d’exploitation.

CVE-2023-24932 est une autre vulnérabilité exploitable qui pourrait conduire à des contournements de sécurité. C’est ce 0day qui est utilisé pour installer le bootkit BlackLotus UEFI .

CVE-2023-29325 est le dernier 0day affectant Windows OLE qui pourrait conduire à l’exécution de code à distance. Il peut être utilisé avec un e-mail spécialement conçu.

Début 2023, les responsables ukrainiens du CERT-UA avaient signalé une vulnérabilité à l’équipe de réponse aux incidents de Microsoft après que des pirates basés en Russie avaient utilisé une vulnérabilité dans le service de messagerie Outlook de Microsoft (CVE-2023-23397). L’attaque aurait visé quelques organisations des secteurs gouvernemental, des transports, de l’énergie et militaire en Europe selon le CERT-UA.

Bien que le problème ait été corrigé en mars 2023, le chercheur d’Akamai, Ben Barnea, découvrait un moyen de contourner le correctif. Il permettrait à un pirate d’utiliser la vulnérabilité pour contraindre un client Outlook à se connecter à un serveur contrôlé par l’attaquant. Une vulnérabilité sans clic – ce qui signifie qu’elle peut être déclenchée sans interaction de l’utilisateur – et que toutes les versions de Windows étaient affectées. Faille corrigée ce mardi 9 mai via la CVE 29324.

Android, backdoor, Cybersécurité, Mise à jour

Fleckpe, le nouveau malware Android au 600 000 victimes

Un nouveau logiciel malveillant du nom de FleckPe aurait déjà infiltré plus de 620 000 appareils Android.

Des experts ont identifié un nouveau malware appelé Fleckpe. Il aurait infiltré plus de 620 000 appareils Android via le Google Play Store. Ce malware, se faisant passer pour un logiciel légitime, a pour objectif de générer des paiements non autorisés et d’inscrire les utilisateurs à des services payants.

Les contributeurs de Fleckpe gagnent de l’argent en prélevant un pourcentage des frais d’abonnement mensuels ou uniques des propriétaires d’Android qui ont été infectés.

Les experts de la société Kaspersky notent que le logiciel malveillant est actif depuis 2022, mais qu’il n’a été détecté que récemment. Les chercheurs ont identifié 11 applications transformées en cheval de Troie dans le Google Play Store se faisant passer pour des éditeurs d’images, des photothèques, des fonds d’écran, etc.

Toutes ces applications ont été supprimées de la boutique officielle. Cependant, les attaquants pourraient héberger d’autres programmes qui n’ont pas encore été détectés. Lorsque Fleckpe est lancé, il décode une charge utile cachée contenant du code malveillant et communique avec un serveur de commande et de contrôle (C&C) pour envoyer des données sur l’appareil infecté.

Les développeurs ont récemment modifié la bibliothèque native pour déplacer le code d’abonnement, laissant la charge utile pour interagir avec les notifications et modifier l’affichage des pages Web.

Cybersécurité, Mise à jour, Securite informatique

Données clients dans des routeurs vendus d’occasion

Une étude affiche une inquiétante mauvaise habitude dans la revente de matériel informatique. 22% des routeurs de seconde main affichent encore des données sur les clients !

Une étude présentée ce 24 avril 2023 affiche des chiffres qui laissent perplexe sur la compréhension de certains utilisateurs professionnels de matériels informatiques. Le laboratoire ESET Research découvre que les routeurs d’occasion détiennent de nombreux secrets d’entreprises. Plus de 56 % des routeurs réseaux achetés à des fournisseurs de matériel d’occasion contenaient un trésor de données sensibles, notamment des identifiants, des configurations VPN, des clés cryptographiques, etc. Entre de mauvaises mains, ces données suffisent pour débuter une cyberattaque pouvant conduire à une atteinte à la sécurité des données, mettant en danger l’entreprise, ses partenaires et ses clients.

Cette étude montre que les entreprises ne suivent pas des protocoles de sécurité suffisant lors de la mise au rebut de leur matériel. Après avoir examiné les données de configuration de 16 appareils distincts, 9 routeurs contenaient encore des données d’entreprise sensibles.

Des données clients toujours présentes

22 % contenaient des données sur les clients ; 33 % exposaient des données permettant à des tiers de se connecter au réseau ; 44 % disposaient d’identifiants pour se connecter à d’autres réseaux en tant que tiers de confiance ; 89 % contenaient des détails de connexion pour des applications spécifiques ; 89 % contenaient des clés d’authentification de routeur à routeur ; 100 % contenaient un ou plusieurs identifiants de VPN ou IPsec, ou des hash de mots de passe root ; 100 % disposaient de données suffisantes pour identifier l’ancien propriétaire/exploitant avec certitude.

Les données découvertes sur les équipements entrent dans ces catégories : informations de tiers de confiance ; Données sur les clients ; Données d’applications spécifiques ; Informations complètes sur le routage central ou encore données d’usurpation d’opérateurs de confiance.

Nous pourrions attendre à ce que les entreprises de taille moyenne et les grandes entreprises disposent d’un ensemble de protocoles de sécurité stricts pour mettre les appareils hors service « mais nous avons constaté le contraire » confirme ESET. Les organisations doivent être beaucoup plus conscientes de ce qui reste sur les appareils qu’elles mettent hors service « Les appareils d’occasion que nous avons obtenus contenaient un schéma numérique détaillé de l’entreprise concernée, notamment des informations réseau essentielles, des données d’applications, des identifiants de l’entreprise et des informations sur les partenaires, les fournisseurs et les clients.« 

Cybersécurité, Mise à jour

programme Cybersecurity Startups Growth Academy

Les résultats d’un concours organisé par Google pour les Européens dans le cadre du programme Cybersecurity Startups Growth Academy ont été annoncés.

120 candidats ont participé au concours organisé par Google. Dans le cadre du programme Cybersecurity Startups Growth Academy Google souhaite apporter son aide. 15 startups de huit pays ont été sélectionnées. Le programme de soutien aux entrepreneurs Startup IS de Google est un programme de trois mois qui comprend une formation, un mentorat et des incitations financières.

Pendant ce temps, les participants doivent acquérir les compétences de base pour accélérer la croissance, l’internationalisation et la mise à l’échelle de l’entreprise à l’aide des outils et des produits Google.

Le premier cours de formation débute en avril. Des réunions et des ateliers auront lieu dans différentes villes d’Europe.

Les experts de l’entreprise joueront le rôle de mentors, notamment des spécialistes de VirusTotal et de Mandiant, deux entreprises rachetées l’an dernier.

Les dirigeants des startups pourront être conseillés pour élaborer une stratégie, organiser les ventes et nouer des partenariats.

« Amener des startups sur les premières lignes de défense de l’Europe n’est pas seulement une bonne décision stratégique, mais aussi un besoin urgent« , a déclaré Royal Hansen, vice-président de Google chargé de la confidentialité, de la confiance et de la sécurité dans le développement. « L’importance de la cybersécurité est reconnue par 92 % des PME de la région, mais seulement 16 % se sentent prêtes à faire face à des attaques. » (CS)

APT, Cybersécurité, Mise à jour

L’activité Emotet a repris après une interruption de trois mois

Des experts ont remarqué que le code malveillant Emotet a repris son activité de spammeurs après une « accalmie » de trois mois.

Emotet, le retour. Après une pause de trois mois, l’outil malveillant refait surface via des vagues de spams dont il a le secret. Jusqu’à présent, les spécialistes de la sécurité de l’information n’ont trouvé aucune charge utile supplémentaire. Il semble que le logiciel malveillant collecte simplement des données pour de futures campagnes de spam.

La reprise de l’activité malveillante a été signalée par les analystes de la sociétés Cofense et du groupe Cryptolaemus. Cette team a été fondée en 2018 pour combattre Emotet.

Les chercheurs ont rappelé que la dernière campagne de spam Emotet avait été observée en novembre 2022. Un spamming de deux semaines.

Cette fois, au lieu d’utiliser des courriels de réponse à d’autres messages, comme lors de la campagne précédente, les pirates utilisent des e-mails qui imitent diverses factures. Des archives ZIP contenant intentionnellement des documents Word « gonflés » de plus de 500 Mo sont jointes à ces courriers électroniques. Les documents sont délibérément remplis de données inutilisées pour rendre les fichiers plus volumineux et plus difficiles à analyser pour les antivirus.

En fait, ces documents contiennent de nombreuses macros qui téléchargent le chargeur Emotet en tant que DLL à partir de sites compromis (principalement des blogs WordPress piratés). Après le téléchargement, le logiciel malveillant est enregistré dans un dossier avec un nom aléatoire. Un DLL gonflé pour perturber, une fois encore, les logiciels d’analyse.

Selon VirusTotal, jusqu’à présent, seul un fournisseur de solutions de sécurité sur 64 a détecté le piège !

Bitcoin, Cybersécurité, double authentification, Mise à jour, nft

Porsche stoppe son projet NFT

Porsche stoppe la production d’une nouvelle collection de NFT suite aux risques de piratage informatique et de détournement de ses créations.

La marque de voitures de prestiges, Porsche, souhaitait mettre en circulation des NFT, les Non-Fungible Tokens. Suite à de nombreuses inquiétudes, le projet est mis à l’arrêt. Les craintes de piratage informatique et escroquerie numérique font que la marque préfère travailler sur un système plus sécurisé avant de se lancer dans l’aventure des NFT.

Les NFT (Non-Fungible Tokens) sont des actifs numériques stockés sur une blockchain qui fournissent la preuve de l’authenticité et de la propriété d’un élément.

Le marché de revente NFT OpenSea, où il était moins cher d’acheter des objets de collection Porsche que d’obtenir un original, a provoqué la colère des investisseurs. Cela dévalué immédiatement les actifs originaux des créations du constructeur automobile.

Porsche a annoncé qu’elle interromprait le processus de diffusion de ses NFT et réduirait les expéditions jusqu’à ce qu’elle sache comment lancer correctement les NFT.

Cybersécurité, Microsoft, Mise à jour

Microsoft : la prise en charge de Windows Server 2012 prend fin en octobre

Microsoft a rappelé aux utilisateurs et aux administrateurs système la fin du support de Windows Server 2012 et Windows Server 2012 R2, en octobre 2023.

Auparavant, la société Microsoft prolongeait la durée de vie de ces versions, mais tout prendra fin le 10 octobre 2023.

Rappelons qu’initialement le support universel de Windows Server 2012 s’est terminé en octobre 2018, mais Microsoft a décidé de prolonger la période de cinq ans dans le cadre d’un programme étendu spécial.

Ainsi, en octobre 2023, la société cessera de publier des correctifs et des mises à jour pour cette version du système d’exploitation du serveur.

Après le 10 octobre, ces versions du système d’exploitation ne recevront plus à la fois les correctifs et les mises à jour simples. Ils seront également privés de support technique, de correctifs pour divers bogues et d’autres mises à jour », écrit le géant de la technologie de Redmond.

Microsoft recommande aux administrateurs système utilisant Windows Server 2012 de mettre à niveau vers Windows Server 2022 ou d’acheter les mises à jour de sécurité étendues (ESU), qui prolongent la durée de vie jusqu’au 13 octobre 2026.

A noter que d’autres outils Microsoft, dont Windows 7, vont quitter le portefeuille sécuritaire de Microsoft.

Cybersécurité, Mise à jour

Failles UEFI de Qualcomm menacent les appareils Microsoft, Lenovo et Samsung

De nombreux appareils de géants de la technologie tels que Microsoft, Lenovo, Samsung, Etc. contiennent des vulnérabilités dues au micrologiciel UEFI présent dans les puces Qualcomm Snapdragon.

Le fabricant lui-même a déjà publié des correctifs, il ne reste donc plus qu’à les installer. Au total, selon Qualcomm, les correctifs couvrent plus d’une vingtaine de lacunes. Parmi eux se trouvent des erreurs dans les processus de connexion et de téléchargement.

Certains problèmes ont été signalés par des spécialistes de Binarly. Comme Alex Matrosov, le fondateur de Binarly, l’a expliqué à SecurityWeek, ses chercheurs ont réussi à identifier neuf problèmes de sécurité. Ils sont tombés dessus en étudiant le micrologiciel des ordinateurs portables Lenovo Thinkpad X13.

Au cours de l’étude, il s’est avéré que cinq des vulnérabilités identifiées affectent non seulement les ordinateurs portables de Lenovo, mais également d’autres appareils fonctionnant sur des puces Snapdragon. C’est la première fois que des lacunes sont trouvées dans le micrologiciel UEFI des ordinateurs fonctionnant sous Arm.

Ordinateurs portables impactés

En plus des ordinateurs portables de Lenovo, Microsoft Surface, Windows Dev Kit 2023 (Project Volterra), un certain nombre d’appareils Samsung sont affectés par des vulnérabilités. Selon l’avis de Qualcomm, le nombre de chipsets concernés est tout simplement colossal.

Dans un rapport de Lenovo, la société écrit que deux problèmes – débordement de tampon et lecture hors limites – sont liés au pilote DXE. Ces failles peuvent être exploitées par un attaquant local, ce qui en limite la portée. L’exploitation des vulnérabilités identifiées peut conduire à l’exécution de code arbitraire, d’où un niveau de danger élevé.

Qualcomm encourage tous les utilisateurs finaux concernés par ces problèmes à installer les correctifs appropriés.

Cybersécurité, Mise à jour

À partir du 10 janvier, Windows 7 ne recevra plus de correctifs pour les vulnérabilités critiques

Les versions de Windows 7 Professionnel et Entreprise à partir de demain ne recevront pas de correctifs pour les vulnérabilités critiques et dangereuses.

Le programme de support supplémentaire pour ces systèmes d’exploitation – Extended Security Update (ESU) – touche à sa fin. L’ESU était d’ailleurs la dernière opportunité pour les fans de l’ancien Windows 7. Rappelons que la sortie du système a eu lieu en octobre 2009. En janvier 2015, Microsoft a annoncé la fin du support de Windows 7, et début 2020, la période de support étendu (EOS) a pris fin.

Le 10 janvier 2023 sera également le dernier jour d’EOS pour Windows 8.1, sorti en novembre 2013. « La plupart des ordinateurs exécutant Windows 7 ne répondent pas aux spécifications matérielles requises pour passer à Windows 11. Alternativement, nous pouvons proposer aux propriétaires de tels appareils de passer à Windows 10, après avoir acheté au préalable une licence complète pour le système d’exploitation« , explique Microsoft.

Cependant, avant d’acheter Windows 10, veuillez noter que cette version du système d’exploitation ne sera plus prise en charge après le 14 octobre 2025.

Selon Statcounter GlobalStats , Windows 7 tourne actuellement sur 11% des PC dans le monde.

La part de Windows 8.1 est bien moindre – seulement 2,59%.

Les développeurs de navigateurs ont également annoncé la fin du support de Windows 7.

Par exemple, Microsoft Edge 109 sera la dernière version à être « amie » avec Windows 7 et Windows 8/8.1.

Et la version de Google Chrome 110 devrait sortir sans prise en charge de ces versions d’OS.

Cybersécurité, Mise à jour

Patch Day : 62 CVE, dont 9 sont jugées critiques et 53 importantes

Ce mois-ci, Microsoft a corrigé quatre vulnérabilités de type « zero-day », les quatre étant exploitées dans la nature, bien que l’une d’entre elles ait été divulguée avant que les correctifs ne soient disponibles. Pour rappel, un 0Day est une vulnérabilité qui n’est pas publique, mais exploitée par des pirates.

CVE-2022-41073 est une vulnérabilité d’élévation de privilège dans Windows Print Spooler. Les vulnérabilités de Print Spooler ont gagné en notoriété suite à la divulgation des failles PrintNightmare en juin (CVE-2021-1675) et juillet (CVE-2021-34527). Bien que plusieurs vulnérabilités liées à Print Spooler aient été divulguées par des chercheurs en sécurité depuis l’année dernière, il semble que CVE-2022-41073 soit la première vulnérabilité de Print Spooler depuis PrintNightmare à être exploitée dans la nature par des attaquants. Nous avons longtemps mis en garde contre le fait qu’une fois la boîte de Pandore ouverte avec PrintNightmare, les failles de Windows Print Spooler reviendraient hanter les entreprises, et si l’on se base sur le succès que les groupes de ransomware et d’autres acteurs de la menace ont eu avec PrintNightmare, une attention continue sur la nature omniprésente de Windows Print Spooler en fait l’une des cibles les plus attrayantes pour l’escalade des privilèges et l’exécution de code à distance. Sa découverte a été attribuée au Microsoft Threat Intelligence Center.

CVE-2022-41128 est une vulnérabilité d’exécution de code à distance dans les langages de script de Windows. Plus précisément, elle affecte le langage de script JScript9 de Microsoft. L’exploitation nécessite une interaction avec l’utilisateur, de sorte qu’un attaquant devrait convaincre une victime exécutant une version vulnérable de Windows de visiter un partage de serveur ou un site Web spécialement conçu, par le biais d’un type d’ingénierie sociale. Selon Microsoft, cette faille a été exploitée dans la nature et divulguée par Clément Lecigne du Threat Analysis Group de Google.

CVE-2022-41125 est une vulnérabilité d’élévation de privilège dans l’API de chiffrement de Windows : Next Generation (CNG) Key Isolation Service, un service d’isolation de clés privées hébergé dans le processus Local Security Authority (LSA). L’exploitation de cette vulnérabilité pourrait accorder à un attaquant des privilèges SYSTEM. Elle a été exploitée dans la nature par des attaquants et est attribuée à la fois au Microsoft Threat Intelligence Center et au Microsoft’s Security Response Center.

CVE-2022-41091 est l’une des deux vulnérabilités de contournement de la fonctionnalité de sécurité dans Windows Mark of the Web (MoTW). MoTW est une fonctionnalité conçue pour signaler les fichiers qui ont été téléchargés depuis Internet, en invitant les utilisateurs à afficher une bannière d’avertissement de sécurité, leur demandant de confirmer que le document est fiable en sélectionnant Enable content. Bien qu’elle n’ait pas été attribuée à un chercheur en particulier, cette vulnérabilité a récemment été découverte comme étant exploitée dans la nature par le groupe de ransomware Magniber sous forme de fausses mises à jour logicielles, selon des chercheurs de HP. L’autre contournement de la fonction de sécurité dans MoTW, CVE-2022-41049, a été révélé à Microsoft par le chercheur Will Dormann.

« Heureusement, souligne Satnam Narang, de chez Tenable, Microsoft a corrigé les deux CVE-2022-41040 et CVE-2022-41082, également connus sous le nom de ProxyNotShell, lors du Patch Tuesday de ce mois-ci. Cela fait plus d’un mois que ces failles ont été divulguées. Bien que l’impact de ProxyNotShell soit limité en raison de l’exigence d’authentification, le fait qu’elle ait été exploitée dans la nature et que les attaquants soient capables d’obtenir des informations d’identification valides en font des failles importantes à corriger.« 

Cybersécurité, Mise à jour, Patch, Securite informatique

Une faille dans Python

Une vulnérabilité vieille de 15 ans dans le langage Python refait surface et risque d’affecter plus de 350 000 projets open source.

Une vieille faille dans un langage très couru, voilà qui n’arrange pas les affaires des codeurs et concepteurs de projets sous Python.
Un récent rapport de Trellix détaillant la présence d’une vulnérabilité de traversée de répertoire non corrigée vieille de 15 ans (CVE-2007-4559) dans le module tarfile de Python, une bibliothèque utilisée pour lire et écrire des fichiers archivés sur bande (tar), expose potentiellement plus de 350 000 dépôts open source qui l’utilisent dans leurs projets.

Cette situation rappelle les défis que pose l’intégration de code source ouvert dans les projets logiciels, en particulier ceux utilisés dans les environnements d’entreprise. « Alors que les retombées de la découverte de Log4Shell dans la bibliothèque Log4j remontent à près d’un an, les chercheurs continuent d’identifier des faiblesses dans la chaîne d’approvisionnement, ce qui souligne le besoin continu de ressources supplémentaires pour aider à identifier et à traiter les vulnérabilités dans certaines des bibliothèques et des logiciels les plus courants utilisés aujourd’hui par les organisations. » indique Satnam Narang, Senior Staff Research Engineer chez Tenable.

Des initiatives telles que les niveaux de la chaîne d’approvisionnement pour les artefacts logiciels (SLSA) et l’inventaire logiciels (SBOM), ainsi que des projets tels qu’Alpha-Omega sous l’égide de l’Open Source Security Foundation, sont conçus pour combler le fossé de la sécurité au sein de la communauté open source, car de nombreux développeurs sont souvent des contributeurs non rémunérés qui donnent de leur temps.

Il n’existe pas de solution unique pour résoudre le problème de la sécurité de la chaîne d’approvisionnement des logiciels, mais les propositions ci-dessus offrent la possibilité de contribuer à faire une différence significative.

Des rapports comme celui-ci ne seront certainement pas les derniers, c’est pourquoi la poursuite des initiatives est cruciale.

Cybersécurité, Mise à jour

40 000 informaticiens en moins, en Russie

Pour le premier semestre 2022, environ 40 000 informaticiens ont quitté la Russie.

Un second effet à la guerre lancée par Vladimir Poutine, en Ukraine, les emplois spécialisés disparaissent. Après les craintes visant les mises à jour de logiciels, le blocage des smartphones sous Android et iOS, voici venir la nouvelle crainte high-tech sur le territoire Russe.

La Russie a perdu (ou va perdre) 40 000 informaticiens. Des employés de centres de développement d’entreprises étrangères, dont les maisons « mères » ont décidé de fermer leurs bureaux en Russie. Une second trimestre qui va faire de gros dégâts, la Russie n’étant pas capable de remplacer ces personnels partis.

La seconde fuite de cerveau est celle des entreprises russes qui travaillaient sur les marchés étrangers. Les informaticiens Russes vivant à l’étranger sont censés rentrer dans leur pays avant la fin de l’année.

Cybersécurité, Mise à jour, Patch

Patch Tuesday – Août 2022

Un mois d’août 2022 très chargé pour Microsoft avec 121 vulnérabilités dont 17 critiques corrigées.

En résumé ce mois, Microsoft a corrigé 121 vulnérabilités, dont 17 vulnérabilités classées Critiques, car facilitant une élévation de privilèges (EoP) et une exécution de code à distance (RCE). Correctifs disponibles pour 2 vulnérabilités Zero-Day, l’une étant activement exploitée lors d’attaques (CVE-2022-34713, CVE-2022-30134). Microsoft a également publié 20 mises à jour de sécurité pour Microsoft Edge (basé sur Chromium) afin de résoudre des vulnérabilités d’élévation de privilèges (EoP), d’exécution de code à distance (RCE) et de contournement de fonctions de sécurité, affichant une sévérité respectivement faible, modérée et importante.

Microsoft a corrigé plusieurs failles dans ses logiciels, y compris des vulnérabilités de déni de service (DoS), d’élévation de privilèges (EoP), de divulgation d’information, d’exécution de code à distance (RCE), de contournement des fonctions de sécurité et d’usurpation, ainsi que dans Microsoft Edge (basé sur Chromium).

De nombreuses vulnérabilités corrigées ce mois-ci sont associées à une exécution de code à distance, mais aucune exploitation active (en mode aveugle) n’est signalée, à l’exception de la CVE-2022-22047, une vulnérabilité d’élévation de privilèges dans le composant CSRSS de Windows.

Remarque : Les vulnérabilités dans Microsoft Edge sont présentes dans chacune des catégories : Élévation de privilèges / Faible, Exécution de code à distance / Modérée et Contournement de fonctions de sécurité / Importante

Principales vulnérabilités Microsoft corrigées

CVE-2022-34713 | Vulnérabilité d’exécution de code à distance dans l’outil de diagnostic du Support Windows (MSDT)

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,8/10.

En mai dernier, Microsoft a publié un article avec des recommandations pour une vulnérabilité dans l’outil MSDT et des mises à jour pour résoudre cette vulnérabilité. Cette vulnérabilité CVE est une variante connue publiquement sous le nom de Dogwalk.

Évaluation d’exploitabilité : Exploitation détectée

CVE-2022-30134 | Vulnérabilité de divulgation d’informations dans Microsoft Exchange

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,6/10.

Elle n’est exploitée que si l’utilisateur s’appuie sur une version affectée d’Exchange Server et accède à un serveur malveillant. L’attaquant doit au préalable avoir hébergé un serveur partagé ou un site Web malveillant. N’ayant aucun moyen de contraindre des utilisateurs de visiter ce serveur partagé ou ce site Web malveillant, l’attaquant devra convaincre ces derniers de se rendre sur le serveur partagé ou le site Web en question, généralement en les y invitant au moyen d’un message électronique ou dans le cadre d’une discussion en ligne.

Pour plus d’informations, reportez-vous à Exchange Server Support for Windows Extended Protection et/ou au blog sur Exchange.

Évaluation d’exploitabilité : Exploitation improbable

Corrections des vulnérabilités de contournement de fonctions de sécurité

Il existe des mises à jour de sécurité autonomes. Ces packages doivent être installés au dessus des mises à jour de sécurité classiques pour protéger pleinement contre cette vulnérabilité.

Cette actualisation exige une mise à jour de la pile de maintenance (SSU) pour des numéros KB spécifiques. Les packages ont une logique pré-requise intégrée qui garantit un certain ordre.

Les clients Microsoft doivent s’assurer d’avoir installé la toute dernière version de la mise à jour de la pile de maintenance avant d’installer ces mises à jour de sécurité autonomes. Pour plus d’informations, se reporter à ADV990001 | Latest Servicing Stack Updates .

Un attaquant parvenant à exploiter l’une de ces trois vulnérabilités pourrait contourner un Démarrage sécurisé.

CVE-2022-34301 | CERT/CC: CVE-2022-34301 – Contournement du chargeur de démarrage Eurosoft

Évaluation d’exploitabilité : Exploitation plus probable

CVE-2022-34302 | CERT/CC: CVE-2022-34302 – Contournement du chargeur de démarrage New Horizon Data Systems Inc.

Évaluation d’exploitabilité : Exploitation plus probable

CVE-2022-34303 | CERT/CC: CVE-20220-34303 – Contournement du chargeur de démarrage Crypto Pro

Évaluation d’exploitabilité : Exploitation plus probable

CVE-2022-35794, CVE-2022-35794 | Vulnérabilité d’exécution de code à distance dans le protocole SSTP (Secure Socket Tunneling Protocol) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,1/10.

Un attaquant non authentifié peut envoyer une requête de connexion malveillante à un serveur d’accès à distance (RAS), ce qui peut entraîner une exécution de code à distance sur la machine hébergeant le serveur RAS.

Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-30133, CVE-2022-35744 | Vulnérabilité d’exécution de code à distance dans le protocole PPP (Point-to-Point Protocol) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 9,8/10.

Elle ne peut être exploitée qu’en communiquant via le port 1723. Une solution de contournement temporaire, avant d’installer les mises à jour corrigeant cette vulnérabilité, consiste à bloquer le trafic via ce port pour rendre la vulnérabilité inexploitable. Avertissement : Désactiver le Port 1723 peut affecter les communications sur votre réseau.

Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-34691 | Vulnérabilité d’élévation de privilèges sur les services de domaine Active Directory

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10.

Elle ne peut être exploitée qu’en communiquant via le port 1723. En guise de solution de contournement temporaire, un utilisateur authentifié peut manipuler des attributs sur des comptes informatiques qu’il possède ou administre et obtenir ainsi un certificat auprès des Services de certificats Active Directory, ce qui pourrait entraîner une élévation de privilèges au niveau Système.

Pour savoir comment protéger votre domaine, reportez-vous aux modifications de l’authentification à base de certificat sur les contrôleurs de domaine Windows.

Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-33646 | Vulnérabilité d’élévation de privilèges sur l’agent de nœud d’Azure Batch

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,0/10.

Pour que l’exploitation de cette vulnérabilité réussisse, l’attaquant doit préparer l’environnement ciblé pour améliorer la fiabilité de l’exploit.

Évaluation d’exploitabilité : Exploitation plus probable

(Par Debra M. Fezza Reed, Ingénieur de l’équipe Recherche sur les vulnérabilités et les menaces, Lab Qualys.)

Cybersécurité, Entreprise, Mise à jour

70% des cyber-incidents dus à l’hameçonnage et aux vulnérabilités logicielles

Un rapport sur la réponses aux incidents révèle les tendances et les implications futures et propose des recommandations basées sur les données recueillies au cours d’une année entière d’enquêtes. 7 cas sur 10 de cyber attaques dus à l’hameçonnage et aux vulnérabilités logicielles.

Selon un nouveau rapport de Palo Alto Networks, l’utilisation intensive des vulnérabilités logicielles est le reflet du comportement opportuniste des acteurs de la menace, qui écument l’Internet à la recherche de failles et de points faibles à exploiter. Le rapport 2022 des équipes de l’Unit 42 offre un très large éventail d’informations extraites du travail sur la réponse aux incidents. S’appuyant sur un échantillon de plus de 600 cas de réponse aux incidents étudiés, le rapport a pour but d’aider les RSSI et les équipes de sécurité à comprendre les principaux risques de sécurité auxquels ils sont confrontés, et à déterminer les domaines auxquels affecter en priorité des ressources pour limiter ces risques.

Dans ce rapport, les secteurs de la finance et de l’immobilier figuraient parmi ceux qui recevaient les montants moyens de demandes de rançon les plus élevés : en moyenne, environ 8 millions et 5,2 millions de dollars, respectivement. Dans l’ensemble, les ransomware et la compromission des emails professionnels (BEC) ont été les deux principaux types d’incidents que l’équipe de réponse aux incidents a dû gérer au cours des 12 derniers mois. Ils représentent environ 70 % des cas de réponse aux incidents.

« A l’heure actuelle, la cybercriminalité est une activité dans laquelle il est facile de se lancer, en raison de son faible coût et de sa rentabilité souvent élevée. Dans ce contexte, des acteurs de la menace novices et non qualifiés peuvent très bien se lancer grâce à des outils tels que le hacking-as-a-service (piratage en tant que service), qui connaissent une popularité grandissante et sont disponibles sur le dark web, explique Wendi Whitmore, responsable de l’Unit 42. Les auteurs des attaques par ransomware ont en outre perfectionné leur organisation, en proposant un service client et des enquêtes de satisfaction lorsqu’ils interagissent avec les cybercriminels et les organisations victimes. »

Ransomware

Le nom d’une nouvelle victime des ransomware est publié sur les sites de fuite toutes les quatre heures. Il est vital pour les entreprises d’identifier très tôt l’activité des ransomwares. En général, les acteurs des ransomwares ne sont découverts qu’après le chiffrement des fichiers, l’entreprise victime recevant alors une demande de paiement de rançon. L’Unit 42 a constaté que le temps d’infiltration médian – c’est-à-dire le temps que les acteurs de la menace passent dans l’environnement ciblé avant d’être détectés – observé pour les attaques par ransomware était de 28 jours. Les demandes de rançon ont atteint jusqu’à 30 millions de dollars et le montant record des paiements effectivement réalisés par les victimes est de 8 millions de dollars, soit une augmentation constante par rapport aux conclusions du rapport 2022 de l’Unit 42 sur les ransomware. De plus en plus souvent, les entreprises touchées peuvent également s’attendre à ce que les acteurs de la menace utilisent la double extorsion, en menaçant de diffuser publiquement leurs informations sensibles si elles refusent de payer la rançon.

BEC (Compromission des emails professionnels)

Les cybercriminels ont utilisé toute une variété de techniques pour compromettre les emails des entreprises dans le cadre de fraude par courrier et de fraude électronique. Les formes d’ingénierie sociale, telles que le hameçonnage, sont un moyen facile et rentable de se procurer un accès secret, avec un faible risque d’être détecté. Selon le rapport, dans de nombreux cas, les cybercriminels se contentent de demander à leurs cibles involontaires de leur communiquer leurs informations d’identification, ce qu’elles font. Une fois l’accès obtenu, la durée médiane d’infiltration des attaques de type BEC est de 38 jours, et le montant moyen dérobé est de 286 000 dollars.

Les secteurs touchés

Les attaquants ciblent les secteurs d’activité lucratifs. Néanmoins, de nombreux attaquants sont des opportunistes et scrutent tout simplement l’Internet à la recherche de systèmes leur permettant d’exploiter des vulnérabilités connues. L’Unit 42 a identifié les secteurs les plus touchés parmi ses cas de réponse aux incidents : finance, services professionnels et juridiques, fabrication, soins de santé, haute technologie, commerce de gros et de détail. Les organisations de ces secteurs stockent, transmettent et traitent de gros volumes d’informations sensibles et monnayables qui attirent les acteurs de la menace.

cyberattaque, Cybersécurité, Mise à jour

Patch Tuesday Juillet 2022

Microsoft corrige 84 vulnérabilités dont 4 critiques, ainsi que 2 concernant Microsoft Edge (basé sur Chromium). Adobe publie 4 avis de sécurité et corrige 27 vulnérabilités dont 18 critiques.

Microsoft a corrigé en ce mois de juillet 2022 pas moins de 84 vulnérabilités. Quatre sont classées comme critiques car facilitant une exécution de code à distance (RCE).

La mise à jour cumulative de Windows dans le cadre du Patch Tuesday de ce mois comprend le correctif pour une vulnérabilité Zero-Day (CVE-2022-22047) activement exploitée. Le 06 juillet 2022, Microsoft a également publié deux mises à jour de sécurité pour Microsoft Edge (sur Chromium) .

Microsoft a corrigé plusieurs failles dans ses logiciels, y compris des vulnérabilités de déni de service (DoS), d’élévation de privilèges, de divulgation d’informations, d’exécution de code à distance (RCE), de contournement des fonctions de sécurité et de falsification ainsi que dans Microsoft Edge (sur Chromium).

De nombreuses vulnérabilités corrigées ce mois-ci sont associées à une exécution de code à distance, mais aucune exploitation active (en mode aveugle) n’est signalée, à l’exception de la CVE-2022-22047, une vulnérabilité d’élévation de privilèges dans le composant CSRSS de Windows.

Classement des vulnérabilités corrigées par Microsoft en juillet 2022

Déni de Service

5

Importante

5

Élévation de privilèges

50

Importante

50

Divulgation d’informations

11

Importante

11

Microsoft Edge (basé sur Chromium)

2

N/A

2

Exécution de code à distance

12

Critique

4

Importante

8

Contournement des fonctions de sécurité

4

Importante

4

Falsification

2

Importante

2

CVE-2022-22047 Vulnérabilité d’élévation de privilèges dans le composant CSRSS Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,8/10. Élévation de privilèges – Important – L’attaquant qui parvient à exploiter cette vulnérabilité peut obtenir des privilèges SYSTEM (Article 5015874). Évaluation d’exploitabilité : Exploitation détectée

Zoom sur les vulnérabilités Microsoft critiques et importantes

L’avis de sécurité du mois concerne de nombreuses familles de produits Microsoft, dont Azure, le navigateur, les mises à jour de sécurité étendue (ESU), Microsoft Dynamics, Microsoft Office, System Center et Windows. Au total 63 produits/versions Microsoft sont concernés. Les téléchargements concernent Monthly Rollup (Déploiement mensuel), Security Only (Sécurité uniquement) et Security Update (Mise à jour de sécurité).

CVE-2022-30221 | Vulnérabilité d’exécution de code à distance dans le composant graphique de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Pour l’exploiter, l’attaquant doit d’abord convaincre l’utilisateur ciblé de se connecter à un serveur RDP malveillant. Au moment de la connexion, le serveur malveillant exécutera du code sur le système de l’utilisateur ciblé. Seuls Windows 7 Service Pack 1 et Windows Server 2008 R2 Service Pack 1 sont affectés par cette vulnérabilité si RDP 8.0 ou RDP 8.1 est installé. Si aucune de ces deux versions de RDP n’est installée sur Windows 7 SP1 ou Windows Server 2008 R2 SP1, vous n’êtes pas concernés par cette vulnérabilité. Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-22029 | Vulnérabilité d’exécution de code à distance dans le système de fichiers réseau (NFS) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,1/10. Cette vulnérabilité peut être exploitée sur le réseau en lançant un appel malveillant et non authentifié auprès d’un service NFS pour déclencher une exécution de code à distance (RCE). Pour que l’exploitation de cette vulnérabilité réussisse, l’attaquant doit s’investir dans des tentatives d’exploitation répétées dans le temps en envoyant des données en mode permanent ou intermittent. Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-22038 | Vulnérabilité d’exécution de code à distance au niveau du runtime d’appel de procédure à distance (RPC)

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,1/10. Pour que l’exploitation de cette vulnérabilité réussisse, l’attaquant doit s’investir dans des tentatives d’exploitation répétées dans le temps en envoyant des données de manière permanente ou intermittente. Évaluation d’exploitabilité : Exploitation moins probable

CVE-2022-22039 | Vulnérabilité d’exécution de code à distance dans le système de fichiers réseau (NFS) de Windows

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 7,5/10. Pour que l’exploitation de cette vulnérabilité réussisse, l’attaquant doit gagner une situation de course. Cette vulnérabilité peut être exploitée sur le réseau en lançant un appel malveillant et non authentifié auprès d’un service NFS pour déclencher une exécution de code à distance (RCE). Évaluation d’exploitabilité : Exploitation moins probable

Autres vulnérabilités Microsoft majeures

Début juillet, Microsoft a publié des correctifs pour les vulnérabilités CVE-2022-2294 et CVE-2022-2295 dans Microsoft Edge (sur Chromium). La vulnérabilité attribuée à chacune de ces CVE est présente dans le logiciel Open Source (OSS) Chromium utilisé par Microsoft Edge. Elle est décrite dans le guide des mises à jour de sécurité pour signaler que la toute dernière version de Microsoft Edge (sur Chromium) n’est plus vulnérable. Pour plus d’information cf Security Update Guide Supports CVEs Assigned by Industry Partners

Cybersécurité, Mise à jour, Patch, Wordpress

WordPress force la mise à jour en corrigeant une faille critique

Il y a quelques jours, le géant de l’Internet WordPress imposait une mise à jour d’un plugin populaire Ninja Forms. Une action salvatrice qui pose cependant question.

Le populaire plugin WordPress Ninja Forms souffrait, il y a encore quelques jours, d’une vulnérabilité critique. Une faille activement utilisée par les pirates informatiques.

Cet exploit malveillant permettait d’injecter du code arbitraire dans un site. L’espace web ainsi piégé pouvait permettre l’infiltration des machines des visiteurs, etc.

La vulnérabilité a été corrigée dans sa version 3.6.11.

Jusqu’ici, rien de bien nouveau ? Une faille et sa correction rapide.

Mais ce n’est pas la chose la plus intéressante et/ou inquiétante. Cette mise à jour forcée pour tous les utilisateurs montre aussi que WordPress aura été capable de prendre la main sur plus de 730 000 sites sans l’accord des administrateurs.

Et ce n’est pas la première fois. La faille d’un autre plugin, celui d’UpdraftPlus, avait été corrigée de la même façon avec l’injection du code corrigé sans l’accord des webmasters.

La question est de savoir maintenant s’il faut faire confiance dans un système qui, à tout moment, peut forcer des modifications et déployer du code dans des centaines de milliers de sites web de part le monde ?

A noter que j’ai repéré, dans un espace du darknet, une vente d’un 0day concernant un exploit pirate visant WordPress 5.9.0. « Cet exploit python permet l’exécution de code à distance, fonctionne avec les installations par défaut et ne devrait pas nécessiter d’authentification ou d’interaction avec l’utilisateur. » explique le pirate. Mise à prix de ce tour de passe-passe : 0.35 BTC. Un peu plus de 6 600 euros au moment de l’écriture de cet article.

cyberattaque, Mise à jour, Securite informatique

Managed Detection & Response pour entreprise

L’entreprise F-Secure, nouvellement baptisée WithSecure, renforce les solutions cybersécurité à destination des entreprises hexagonales. Rencontre avec Benoit Meulin, consultant. Depuis maintenant 2 années chez WithSecure, après de nombreuses années passées dans la cyber, il a en charge du portfolio de la BU Solution créé, cette année, par le spécialiste des solutions de protection numérique.

Les besoins pour protéger les entreprises se sont accentués ?

Ces besoins sont en constante évolution et la pression ne cesse d’augmenter sur les entreprises. L’accélération est très importante. Nous avons fait le choix de mettre en place une organisation spécifique afin de suivre cette accélération et toujours mieux protéger nos clients.

WithSecure propose de nouveaux services. Pouvez-vous nous les présenter ?

Nous disposions d’une offre de Managed Detection & Response (MDR) bien implantée en France qui s’appelle COUNTERCEPT. Nous avons décidé de soutenir cette offre de protection par une offre de gestion de la surface d’attaque (EASM : Enterprise Attack Surface Management) qui permet aux clients de mieux appréhender et maîtriser leur surface d’attaque externe et donc de la réduire. Nous proposons également dans le prolongement de ces offres des accompagnements à la préparation des incidents cyber ainsi que des services d’Incident Response.

Quelles seraient les priorités à mettre en place, pour une entreprise souhaitant prendre à bras-le-corps sa cybersécurité ?

Il me semble que la première marche à passer est celle du choix d’un partenaire pour accompagner ce gain en maturité. Commencer par la mise en place d’un MDR permet d’acheter du temps et de la sérénité pour démarrer des chantiers plus structurant autour des aspects de gouvernance et gestion de risque, qui sont les piliers d’une démarche efficace et qui permet à terme de faire les bons choix stratégiques. Je le dis souvent mais mon client idéal est celui qui trois années après avoir souscrit à notre offre MDR nous dit qu’il n’a plus besoin de nous car il est à un niveau de maturité suffisant pour assurer sa propre défense.

Que faut-il craindre, demain, des pirates ?

Nous avons en face de nous une R&D motivée par des sujets aussi bien géopolitiques que financiers. Ces innovations couvrent bien des domaines, de la technique à la stratégie. Nous avons vu évoluer les approches des cybercriminels pour augmenter leurs chances de gain financier lors des attaques, par de la méthode et de la technologie : voler de la donnée (commerciale, R&D etc…) avant de la rendre inaccessible et demander une rançon par exemple. Les supports disponibles pour attaquer une organisation sont de plus en plus nombreux (applications, mobiles, cloud etc…) et une fois de plus, la créativité des attaquants ne doit en aucun cas être sous-estimée. Nous monitorons les évolutions des attaques constamment pour être au plus près de la menace.

Bref, être pro actifs devient indispensable, que ce soit à l’extérieur, mais aussi et surtout à l’intérieur de l’entreprise ?

Je ne serais pas de ces gens qui disent que la faiblesse est entre la chaise et le clavier. L’intérieur de l’entreprise est un des rideaux de défense qui doit être pris en compte, aussi bien au niveau des postes des utilisateurs que des utilisateurs eux-mêmes. Cela passe par des couches de protections technologiques comme par des mesures de sensibilisation et de formation des collaborateurs. Que l’attaquant soit interne ou externe, il finira par essayer de se faire passer pour quelqu’un de légitime sur le réseau et il faudra s’assurer qu’on l’attrape à ce moment là.

Justice, Mise à jour, Téléphonie

Starlink interdit en France ?

Des associations environnementales françaises font interdire dans l’hexagone le service Starlink d’Elon Musk.

L’affaire pourrait prêter à sourire, mais démontre que les lobbyings de tous poils sont aux aguets dés qu’il s’agit de faire interdire des avancés technologiques qui ne vont pas dans leur sens. Alors que de nombreux français, en zones blanches (sans possibilités de connexion) ne peuvent exploiter le numérique, des services tels que ceux proposés par l’entreprise d’Elon Musk permettent de ne plus être hors du XXIe siècle.

Le 5 avril, le Conseil d’Etat a retoqué une décision de l’ARCEP (le gendarme des fréquences radios en France) datant de janvier 2021 qui permettait à Starlink de proposer ses accès Internet par Satellite. Le Conseil d’État a reproché à l’Arcep de ne pas avoir mis en place « une consultation du public » afin de faire jouer la concurrence. Bilan, il est reproché, non pas des ondes qui pourraient détruire la nature. Il est expliqué que cet accord était « susceptible d’avoir une incidence importante sur le marché de la fourniture d’accès à internet à haut débit, et d’affecter les utilisateurs« .

Les associations Priartem et Agir pour l’environnement vont demander, sept mois plus tard, l’annulation de l’autorisation ARCEP/Starlink. Ils vont mettre en avant un défaut de mise en concurrence pour faire couper Starlink. Les associations s’y prendront à trois fois. Après un refus, en septembre 2021, remise sur le tapis en décembre 2021, puis en mars 2022. La troisième sera la bonne ! Ces associations sont spécialisées dans « la prévention des risques liés aux technologies électromagnétiques ». Elles vont gagner en mettant en avant « Une incidence importante sur le marché de la fourniture d’accès à internet à haut débit […] sans avoir préalablement procédé à une consultation du public. »

Couper, pas couper ?

Couper Starlink Internet Services Limited, en France. Cela va surtout le rendre un peu plus lent. Les informations vont être routées, prendre d’autres chemins, sans passer par les vertes prairies locales. Le hic va surtout être pour les utilisateurs d’aujourd’hui. Vont-ils encore avoir le droit d’utiliser leur matériel et, dorénavant, les fréquences interdites ? J’imagine déjà la tête de nos amis frontaliers en Suisse, Belgique, … passant par la bande fréquence « Made in France » (0,95-12,70 GHz de haut en bas et 14,00-14,5 GHz de bas en haut). Le document du Conseil D’Etat semble préciser que l’interdiction vise les liaisons entre un satellite et le sol, et pas un satellite vers les paraboles Starlink au sol. Bref, c’est capillotractée.

Je suis impatient de voir venir des propositions alternatives françaises pour sortir du noir les zones blanches, avec l’aide de ces associations ! En attendant, Arianespace a signé un contrat avec Amazon pour envoyer vers l’infini et haut delà les satellites Kuiper. Mission, diffuser de l’Internet à haut débit d’ici à 2030.

cyberattaque, Mise à jour

Patch Tuesday Janvier 2022

Microsoft a corrigé 126 vulnérabilités dont 9 sont classées comme critiques. Au moment de la publication de cette analyse aucune des 126 vulnérabilités n’est exploitée de manière active. Microsoft a  dans ses logiciels, dont des vulnérabilités exploitées par exécution de code à distance (RCE), des failles de sécurité facilitant une élévation de privilèges, l‘usurpation d’identité et de déni de service (DoS).

Vulnérabilités Microsoft critiques corrigées 

CVE-2022-21907 – Vulnérabilité par exécution de code à distance dans la pile du protocole HTTP 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 9,8/10. Elle affecte les serveurs Windows configurés comme serveurs Web. Pour exploiter cette vulnérabilité, un attaquant non authentifié peut envoyer une requête fabriquée de toute pièce vers un serveur vulnérable en s’appuyant sur la pile du protocole HTTP pour traiter des paquets. Cette vulnérabilité est connue pour se propager sous la forme de vers. Évaluation d’exploitabilité : Exploitation plus probable.

CVE-2022-21849 – Vulnérabilité par exécution de code à distance dans le composant IKE Extension de Windows 

Affichant un score de sévérité CVSSv3.1 de 9,8/10, cette vulnérabilité affecte les systèmes fonctionnant avec la version 2 du composant IKE (Internet Key Exchange). Même si pour l’instant peu d’informations sont disponibles sur cette vulnérabilité, un attaquant à distance peut déclencher plusieurs vulnérabilités lorsque le service IPSec est exécuté sur le système Windows, sans besoin d’être identifié. Évaluation d’exploitabilité : Exploitation moins probable. 

CVE-2022-21846 – Vulnérabilité par exécution de code à distance sur Microsoft Exchange Server 

Cette vulnérabilité a été découverte et signalée à Microsoft par la NSA (National Security Agency). Elle affiche un score de sévérité CVSSv3.1 de 9,0/10. L’attaque associée à cette vulnérabilité se limite au niveau protocolaire à une topologie logiquement adjacente. Elle ne peut donc tout simplement pas être lancée sur Internet et doit plutôt s’appuyer sur un élément spécifiquement lié à la cible, par exemple un même réseau physique partagé (Bluetooth ou IEEE 802.11 notamment), un réseau logique (par ex. un sous-réseau IP local) ou depuis un domaine administratif sécurisé ou limité (par exemple MPLS, un VPN sécurisé vers une zone administrative du réseau). De nombreuses attaques exigeant des configurations de type Man-in-the-middle ou tributaires d’un ancrage dans un autre environnement fonctionnent de la sorte. Évaluation d’exploitabilité : Exploitation plus probable. 

CVE-2022-21837 – Vulnérabilité par exécution de code à distance sur Microsoft SharePoint Server 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,3/10. Un attaquant peut exploiter cette vulnérabilité pour accéder au domaine puis exécuter du code à distance sur le serveur SharePoint pour s’élever lui-même au rang d’administrateur SharePoint. Évaluation d’exploitabilité : Exploitation moins probable. 

CVE-2022-21840 – Vulnérabilité par exécution de code à distance dans Microsoft Office 

Cette vulnérabilité affiche un score de sévérité CVSSv3.1 de 8,8/10. Elle ne peut être exploitée que si l’utilisateur ciblé ouvre un fichier malveillant.

Dans un scénario d’attaque par email, l’attaquant exploitera la vulnérabilité en envoyant un fichier malveillant spécifique sur la messagerie de la cible avant de le convaincre de l’ouvrir. 

L’attaquant peut aussi héberger un site Web (ou utiliser un site Web compromis qui accepte ou héberge du contenu fourni par un utilisateur) qui contient un fichier malveillant personnalisé pour exploiter une vulnérabilité dans le cas d’une d’attaque via le Web. Évaluation d’exploitabilité :Exploitation moins probable. 

Adobe Patch Tuesday – Janvier 2022 

Adobe a publié des mises à jour pour corriger 41 CVE affectant Adobe Acrobat et Reader, Bridge, Illustrator, InCopy et InDesign. Parmi ces 41 vulnérabilités, 22 sont considérées comme critiques. Adobe a publié des mises à jour de sécurité pour Adobe Acrobat et Reader pour Windows et macOS qui permettent de corriger de nombreuses vulnérabilités critiques, importantes et modérées. L’exploitation réussie de ces vulnérabilités pourrait entraîner l’exécution de code arbitraire, une fuite de mémoire, un déni de service de type applicatif ainsi qu’un contournement des fonctions de sécurité et une élévation de privilèges.  

Mise à jour

Outils de production et chaînes industrielles

Focus sur deux axes principaux de vulnérabilités : Outils de production et chaînes industrielles, et évolutions des processus de gestion des actifs avec le télétravail

Si l’on se réfère à la source CVE Details, 2021 aura été l’année de la découverte du plus grand nombre de vulnérabilités logicielles, qu’il s’agisse de problèmes mineurs concernant des solutions logicielles de niche ou d’incidents critiques affectant des millions d’actifs informatiques. En parallèle, les entreprises auront dû gérer la sécurité sur les équipements distants, les services Cloud et les plateformes informatiques traditionnelles en raison du tumulte provoqué par la pandémie COVID-19.

En 2022, les entreprises seront contraintes de moderniser leurs processus pour gérer la sécurité. Cela implique notamment que l’équipe chargée de la sécurité IT endosse davantage de responsabilités dans d’autres domaines technologiques. Parmi les solutions, et elles sont nombreuses, se pencher sur les avantages d’un logiciel sur mesure.

Le télétravail a initié la nécessaire évolution des processus de gestion des actifs.

Avec le télétravail les équipes informatiques se sont adaptées aux nombreuses entreprises qui ont dû faire évoluer leurs pratiques opérationnelles en matière de sécurité alors que leurs employés achetaient de nouveaux équipements ou logiciels afin de pouvoir travailler à distance. Dans la panique, les programmes d’inventaire des actifs en place ont été ignorés et les équipes chargées des opérations et de la sécurité informatiques ont donc perdu la visibilité sur ce qui existait en raison des actifs qui n’étaient plus sur le réseau de l’entreprise. C’est donc la sécurité en général qui a souffert de cette situation.

Aujourd’hui, les employés se sont installés dans la routine du télétravail. Cependant, les entreprises restent dans le même mode urgence lorsqu’il s’agit de sécurité, plutôt que d’envisager cette dernière comme faisant partie intégrante des opérations quotidiennes de l’entreprise. Croiser des employés, dans des chambres d’hôtes, d’hôtel et ne pas faire attention à leur cyber est un risque qu’il n’est plus possible d’ignorer. Les « logeurs » doivent prendre en compte leur sécurité informatique. Un vecteur qui rassurera les futurs clients. Il existe du logiciel pour chambre d’hôtes qui font parfaitement l’affaire.

La sécurité est mise à mal lorsque l’entreprise ne dispose pas d’un inventaire des actifs actualisé qui indique les points d’extrémité existants, à savoir ceux qui restent sur le réseau de l’entreprise et ceux à distance. En 2022 ces entreprises seront mises en difficulté car certaines comptent sur un retour à la normale qui ne se produira sans doute pas. Les équipes doivent donc repenser leurs stratégie et processus pour prendre en charge en priorité leurs collaborateurs distants et appliquer la même approche aux différents sites de l’entreprise.

Les inventaires des actifs sont précis … et alors ?

Cette nouvelle priorité accordée à une gestion universelle, homogène et permanente des actifs est l’objectif que toutes les équipes de sécurité devraient se fixer. Cependant, la réalité de la conception et des responsabilités organisationnelles peut poser un frein, pourtant l’évolution vers le télétravail oblige à réviser les processus de gestion des mises à jour et de déploiement des correctifs.

Cela ne concerne pas tant la technologie que le mode de collaboration des équipes pour gérer les correctifs et les mises à jour des activités opérationnelles. Pour les plus grandes entreprises, cette tâche peut s’avérer difficile lorsqu’elle implique plusieurs équipes, et si il y a plusieurs entités à gérer avec différentes parties prenantes sur les décisions.

Les entreprises peuvent faire bouger les lignes en se penchant notamment sur l’intérêt de l’informatique pour l’activité de l’entreprise. Par exemple, faire de la sécurité une priorité métier est un sujet évoqué depuis des décennies. L’augmentation des attaques par ransomware et les coûts élevés associés, obligera les entreprises à prendre ce sujet à-bras-le-corps tandis que les décideurs définiront davantage d’objectifs pour garantir la sécurité de leurs systèmes. Aussi, responsabiliser les dirigeants notamment au déploiement des mises à jour permet de promouvoir cette approche de la gestion des risques métier.

 

Les machines et réseaux industriels devront s’aligner sur la sécurité informatique

Cette année, Gartner prévoit que les cyberattaquants se serviront des environnements à technologie d’exploitation (OT) comme armes pour cibler les humains d’ici 2025. Il est à craindre que cela arrive plus tôt, dès 2022. Le décès d’un nouveau-né en 2021 a par exemple été attribué à une attaque par ransomware contre un hôpital américain, dont l’ensemble de l’informatique était hors service. Davantage d’attaques ciblant des systèmes OT auront lieu et toucheront des infrastructures critiques si ces systèmes ne sont pas protégés de manière appropriée.

Or, les environnements OT reposent généralement sur des technologies obsolètes. Coûteux et devant durer des années, nombre de ces actifs présentent des failles de sécurité connues mais jamais corrigées, notamment parce que mettre à l’arrêt la chaîne de production pour appliquer un correctif peut coûter plusieurs millions d’euros en perte de productivité. De plus, il n’existe pas toujours de correctifs pour des failles qui affectent des équipements en fin de vie.

La protection de ces systèmes s’est traditionnellement appuyée sur l’air gapping, une mesure de sécurité qui permet notamment d’isoler complètement un réseau de l’Internet public. Aujourd’hui, les entreprises ne peuvent plus se passer de cette option car elles souhaitent exploiter en temps réel les données fournies par leurs systèmes pour mieux se positionner face à la concurrence, et ce malgré les risques liés à l’interconnexion de toujours plus de réseaux OT. En outre, de récentes recherches indiquent l’existence de nouveaux modes opératoires destinés à établir une passerelle avec les mesures d’air gapping si bien que s’en remettre aux seuls modèles de sécurité traditionnels ne suffit plus.

Des années durant, la technologie d’exploitation a été totalement tenue à l’écart de l’IT, au point que les équipes informatiques avaient du mal à comprendre ce qui était utilisé et à identifier les menaces. Dans la pratique, la sécurité OT a une décennie de retard par rapport à la sécurité informatique en matière de conception de bonnes pratiques et de processus. En 2022, la soif de données et les risques d’attaque contraindront à investir davantage pour renforcer cet aspect.

Les équipes en charge de la sécurité informatique seront sollicitées pour s’investir dans ce domaine car ce sont elles qui comprennent le mieux le paysage évolutif des menaces. L’entière collaboration de toutes les équipes sera requise, conditionnée par une vision globale de l’ensemble des actifs connectés, qu’il s’agisse du Cloud et des conteneurs qui peuvent être mis à jour en quelques secondes ou d’actifs OT déployés depuis des années et qui n’évolueront pas dans l’immédiat.

Définir les processus et les pratiques de sécurité qui prendront en compte tous ces actifs exigera de mettre en place une stratégie de gestion des risques adaptée. La même approche ne pourra pas être appliquée partout et définir des priorités sera indispensable au succès de cette stratégie. Il s’agira d’un travail nécessaire pour prévenir d’autres incidents comme les cyberattaques lancées contre l’opérateur américain d’oléoducs Colonial Pipeline et des établissements de santé.

En 2022, les attaques par ransomware affecteront plus souvent les actifs OT. Les cyberassureurs sont en train de revoir leur couverture concernant les attaques par ransomware afin que les entreprises ne puissent plus se reposer sur leur police d’assurance pour la prise en charge des frais. En lieu et place, les entreprises devront reconnaître l’existence de risques métier et les résoudre au lieu de se contenter de les consigner dans un registre et de faire le gros dos pour qu’une violation ne se produise pas. (Paul Baird, CTSO UK, Qualys)

Cybersécurité, Mise à jour

Patch Tuesday : novembre 2021

À l’occasion de la publication de son Patch Tuesday de novembre 2021, Microsoft a corrigé 55 vulnérabilités dont 6 classées comme critiques et 6 déjà signalées comme des Zero-Day.

Vulnérabilités Microsoft critiques corrigées

CVE-2021-42298 – Vulnérabilité d’exécution de code à distance (RCE) dans Microsoft Defender

Cette vulnérabilité qui affecte Microsoft Defender peut être exploitée en diffusant des fichiers malveillants. Cette vulnérabilité RCE sera déclenchée lorsque le fichier malveillant sera ouvert par un utilisateur ou analysé automatiquement depuis une version désuète de Microsoft Defender.

CVE-2021-42279 – Vulnérabilité de corruption de mémoire dans le moteur de script Chakra

La vulnérabilité de débordement de tampon est liée à un bug dans le moteur de script Chakra qui permet à des attaquants distants d’exécuter du code arbitraire en initialisant une corruption de mémoire.

CVE-2021-42316 – Vulnérabilité RCE dans Microsoft Dynamics 365 (on-premises)

Cette vulnérabilité est un bug avec exécution de code à distance dans les configurations Microsoft Dynamics déployées sur site (on-premises). Très peu d’informations publiques sont disponibles concernant cette vulnérabilité.

CVE-2021-26443 – Vulnérabilité RCE dans le composant Microsoft Virtual Machine Bus (VMBus)

Cette vulnérabilité se produit lorsqu’un invité VM ne parvient pas à traiter la communication sur un canal VMBus. Un utilisateur authentifié peut exploiter cette vulnérabilité en envoyant une communication malveillante sur le canal VMBus depuis l’invité à l’hôte, ce qui permet à l’attaquant d’exécuter du code arbitraire sur le serveur.

CVE-2021-3711 – OpenSSL : débordement de tampon de déchiffrement de la fonction SM2

Il s’agit d’une vulnérabilité de débordement de tampon dans le logiciel OpenSSL qui est intégré à Microsoft Visual Studio. Cette vulnérabilité est liée à un problème de calcul dans la taille du tampon dans la fonction SM2 d’OpenSSL. Un attaquant peut exploiter cette vulnérabilité pour planter l’application et exécuter potentiellement du code arbitraire avec la permission de l’utilisateur d’exécuter l’application.

CVE-2021-38666 – Vulnérabilité RCE sur le client Bureau à distance

Cette vulnérabilité sur les clients du service Bureau à distance peut être exploitée par un attaquant qui contrôle un serveur de ce service. L’attaquant peut manipuler un utilisateur pour qu’il se connecte au serveur du service Bureau à distance compromis/malveillant, ce qui entraîne une RCE.

Autres vulnérabilités activement exploitées et donc hautement prioritaires :

CVE-2021-42321 – Vulnérabilité RCE dans Microsoft Exchange Server

Cette vulnérabilité activement exploitée affecte Microsoft Exchange Server 2019 et Microsoft Exchange Server 2016. Il s’agit d’une vulnérabilité post-authentification qui permet d’exécuter du code. Microsoft fournit des détails supplémentaires dans un article de blog public.

CVE-2021-42292 – Vulnérabilité de contournement de la fonction de sécurité dans Microsoft Excel

Cette vulnérabilité peut être exploitée via un fichier malveillant qui permet à un attaquant d’exécuter du code. Elle affecte à la fois les versions Windows et MacOS, sachant qu’un correctif n’est pas encore disponible pour MacOS.

Détails sur 4 des 6 vulnérabilités Zero-Day :

CVE-2021-43208 – Vulnérabilité RCE dans 3D Viewer

CVE-2021-43209 – Vulnérabilité RCE dans 3D Viewer

CVE-2021-38631 – Vulnérabilité de divulgation d’informations dans le protocole Remote Desktop Protocol (RDP) de Windows

CVE-2021-41371 – Vulnérabilité de divulgation d’informations dans le protocole – Remote Desktop Protocol (RDP) de Windows

(Par Ankit Malhotra, Chercheur, Qualys Lab)

Mise à jour, Patch

83 vulnérabilités dont 10 critiques, une vulnérabilité Zero Day et correctifs Adobe

Le premier Patch Tuesday de l’année permet de résoudre 50 vulnérabilités. Les 10 vulnérabilités critiques concernent les codecs Windows, Office, des extensions vidéo HEVC, le runtime RPC ainsi que les postes de travail. Pour sa part, Adobe a publié des correctifs pour Photoshop, Campaign Classic, InCopy, Illustrator, Captivate, Bridge et Animate.

Correctifs pour les postes de travail

Le déploiement de patches pour Office et Edge est une priorité pour les équipements de type poste de travail, c’est-à-dire tous les systèmes utilisés pour accéder à la messagerie ou à Internet depuis un navigateur. Les serveurs multi-utilisateurs faisant office de postes de travail distants sont également concernés.

Zero Day par exécution de code à distance dans Microsoft Defender

Microsoft corrige la vulnérabilité par exécution de code à distance (CVE-2021-1647) dans Defender en publiant un correctif pour Microsoft Malware Protection Engine. Microsoft a déclaré que cette vulnérabilité était exploitée avant que des correctifs ne soient disponibles. Ce correctif doit être déployé en priorité.

Élévation de privilèges avec le processus splwow64

Même si Microsoft précise que ce problème (CVE-2021-1648) concerne une vulnérabilité par élévation de privilèges, cette faille peut être exploitée pour divulguer des informations et plus particulièrement de la mémoire non initialisée. Microsoft a déclaré que cette vulnérabilité n’a pas été exploitée en mode aveugle, même si les détails la concernant sont disponibles publiquement.

Adobe

Adobe publie des correctifs pour de nombreuses vulnérabilités dans Adobe Photoshop, Illustrator, Animate, Campaign, InCopy, Captivate et Bridge. Les correctifs pour Adobe Campaign sont de Priorité 2 tandis que les autres patches sont de Priorité 3. Même si aucune des vulnérabilités rapportées par Adobe n’est a priori activement attaquée pour l’instant, tous les correctifs doivent être déployés en priorité sur les systèmes où ces produits sont installés. (Par Animesh Jain, Directrice des produits Signatures des vulnérabilités chez Qualys)

Mise à jour, Patch

112 vulnérabilités dont 17 critiques affectant notamment les codecs Windows, le système NFS de fichiers en réseau et les postes de travail, ainsi que des correctifs Adobe

Le Patch Tuesday de ce mois de novembre 2020 traite 112 vulnérabilités dont 17 classées comme critiques. Ces 17 vulnérabilités critiques concernent les codecs Windows, le système NFS de fichiers en réseau, Sharepoint, le spouler d’impression Windows ainsi que les postes de travail. De son côté, Adobe a publié des correctifs pour Acrobat Connect et Adobe Reader pour Android.

Corriger les vulnérabilités affectant les codecs Windows, GDI+, les navigateurs, Office et Exchange Server sont une priorité pour les équipements de type poste de travail, c’est-à-dire tout système utilisé pour accéder à la messagerie ou à Internet depuis un navigateur. Les serveurs multi-utilisateurs faisant office de postes de travail distants sont également concernés.

RCE dans SharePoint

Microsoft a corrigé six vulnérabilités dans SharePoint dont l’une est susceptible de déclencher une exécution de code à distance.(CVE-2020-17061). Trois de ces vulnérabilités ((CVE-2020-17016, CVE-2020-17015 et CVE-2020-17060) provoquent des problèmes d’émulation tandis que deux autres (CVE-2020-16979, CVE-2020-17017) entraînent des divulgations d’informations. La dernière (CVE-2020-17061) est une vulnérabilité par exécution de code à distance. Pour cette raison, il est hautement recommandé de privilégier l’application de ces correctifs sur tous les déploiements SharePoint.
Élévation de privilèges au sein du noyau Windows

Même si elle n’est indiquée que comme importante, une vulnérabilité est exploitée de manière active (CVE-2020-17087) dans Microsoft Windows. Cette vulnérabilité facilitant l’élévation de privilèges a été divulguée publiquement par Google fin octobre. Selon Mateusz Jurczyk et Sergei Glazunov, chercheurs en sécurité de l’équipe Project Zero de Google, ce bug permet à un attaquant de remonter des privilèges dans Windows. Ce correctif doit être déployé en priorité sur tous les équipements Windows.

RCE dans le système de fichiers en réseau (NFS) de Windows

Microsoft a corrigé une vulnérabilité (CVE-2020-17051) dans le système NFS (Network File System) de Windows. Cette CVE, qui a obtenu une score CVSS de 9,8, se caractérise par une attaque peu complexe à lancer et ne nécessitant pas l’interaction de l’utilisateur. Cette vulnérabilité peut éventuellement se propager sous la forme de ver et doit donc être résolue en priorité.
RCE dans le service de spouleur d’impression

Microsoft a également corrigé une vulnérabilité par exécution de code à distance (CVE-2020-17042) dans le spouleur d’impression qui est susceptible d’entraîner une élévation de privilèges. L’exploitation de cette vulnérabilité exige l’interaction de l’utilisateur, mais elle se caractérise par une attaque de faible complexité, ce qui augmente le risque de compromission. Ce correctif doit être déployé en priorité.

Adobe

Adobe a publié des correctifs pour résoudre de nombreuses vulnérabilités au sein du Reader pour Android et d’ Adobe Connect. Les patches pour Reader et Connect sont de Priorité 3.

Même si aucune des vulnérabilités rapportées par Adobe n’est a priori activement attaquée pour l’instant, tous les correctifs doivent être déployés en priorité sur les systèmes où ces produits sont installés.

Cybersécurité, Microsoft, Mise à jour

14 janvier : bye bye Windows 7 et de Windows Server 2008

Le 14 janvier, Microsoft tirera définitivement un trait sur Windows 7 et Windows Server 2008. Faut-il vraiment craindre pour la sécurité des ordinateurs exploitant encore ces deux OS ?

Depuis 5 ans, Microsoft alerte sur la fin de ses produits Windows 7 et de Windows Server 2008. La fin de la prise en charge de ces deux OS. Cela veut dire qu’il n’y aura plus de mises à jour et rustines de sécurité. En décembre 2019, le géant américain publiait ses derniers correctifs. L’un d’eux, le CVE-2019-1458, permet une élévation des privilèges sur une machine impactée. Bilan, un pirate peut prendre la main sur ce qui ne lui appartient pas. Comme par « magie », faille qui affecte à la fois Win7 et 2008. Les utilisateurs doivent-ils avoir peur pour l’après 2014 ?

Oui et Non !

Non, car si 0Day il y a, les pirates ne vont certainement pas attendre pour l’exploiter. D’autant plus que des dizaines de communiqué de presse incitent à migrer vers une version supérieure de Windows. Les pirates ne voudront certainement pas perdre l’occasion d’attaquer avant une potentielle migration.

Oui, car après le 14 janvier, les deux OS seront définitivement « mort ». Plus de mises à jour, d’évolutions, … Des pirates voudront peut-être se servir de ces « vieillards » pour lancer une attaque de type Wanacry.

Bref, vous êtes grands ! A vous de savoir si vous souhaitez jouer avec le feu ! Il y aurait encore 26% de PCs sous cet OS de part le monde. Pour rappel, Wanacry, en 2007, avait profité de 200 000 appareils obsolètes (dans 150 pays), selon Europol, pour se répandre. Microsoft avait annoncé la fin du support de ces deux OS, en 2015.ils, blogs …

loi, Mise à jour

Droit au déréférencement

Le 6 décembre 2019, le Conseil d’État a rendu d’importantes décisions relatives à des demandes de déréférencement de résultats faisant apparaître des données sensibles.

Le droit au déréférencement permet à toute personne de demander à un moteur de recherche de supprimer certains résultats qui apparaissent à partir d’une requête faite sur ses nom et prénom. Cette suppression ne signifie pas l’effacement de l’information sur le site internet source.

Le 24 septembre 2019, la Cour de justice de l’Union européenne (CJUE) avait rendu un arrêt apportant des précisions sur les conditions dans lesquelles les personnes peuvent obtenir le déréférencement d’un lien apparaissant dans un résultat de recherche lorsque la page auquel le lien renvoie contient des informations relatives à des données sensibles (par exemple, leur religion, leur opinion politique) ou à une condamnation pénale.

Sur cette base, le Conseil d’État a, par 13 décisions rendues le 6 décembre 2019, apporté d’importantes précisions sur la mise en œuvre du droit au déréférencement. Le Conseil d’État indique que pour chaque demande de déréférencement, l’intérêt du public à avoir accès à cette information doit être mis en balance avec trois grandes catégories de critères :

les caractéristiques des données en cause : contenu des informations, leur date de mise en ligne, leur source, etc. ;
la notoriété et la fonction de la personne concernée ;

les conditions d’accès à l’information en cause : la possibilité pour le public d’y accéder par d’autres recherches, le fait que l’information ait été manifestement rendue publique par la personne concernée, etc.

Si les informations publiées sont des données dites « sensibles » (religion, orientation sexuelle, santé, etc.), elles doivent faire l’objet d’une protection particulière et donc, dans la mise en balance, d’une pondération plus importante. Le déréférencement ne pourra être refusé que si ces informations sont « strictement nécessaires » à l’information du public. En revanche, si ces données ont été manifestement rendues publiques par la personne concernée, leur protection particulière disparaît.

Par ailleurs, s’agissant des données relatives à une procédure pénale, comme la CJUE, le Conseil d’État indique que l’exploitant d’un moteur de recherche peut être tenu d’aménager la liste des résultats en vue d’assurer que le premier de ces résultats au moins mène à des informations à jour pour tenir compte de l’évolution de la procédure (par exemple, dans l’hypothèse où, après avoir été condamnée en première instance, une personne bénéficie d’une relaxe en appel).

La CNIL prend acte de ces précisions dans les informations publiées sur son site internet, notamment dans la FAQ décrivant les conséquences pratiques de ces décisions sur les personnes concernées, ainsi que dans l’instruction des centaines de demandes de déréférencement qu’elle reçoit tous les ans.

Les textes de référence
Arrêt de la Cour de justice de l’Union européenne du 24 septembre 2019 dans l’affaire C-136/17
13 décisions relatives au droit à l’oubli prises par le Conseil d’État le 6 décembre 2019

Cybersécurité, Mise à jour, Patch

Microsoft et navigateurs : 79 vulnérabilités corrigées

Ce mois-ci, le Patch Tuesday de septembre 2019 traite de 79 vulnérabilités dont 17 classées critiques. Parmi ces dernières, 8 affectent les moteurs de scripts et les navigateurs, 4 la connexion Bureau à distance et 3 SharePoint. En outre, Microsoft a publié un nouveau patch pour une vulnérabilité critique au sein des fichiers LNK et pour une vulnérabilité dans Azure DevOps/TFS. Adobe a également publié des correctifs pour Flash et Application Manager.

 

Le déploiement de patches pour les moteurs de script, les navigateurs et les fichiers LNK est une priorité pour les équipements de type poste de travail, c’est-à-dire tout système permettant d’accéder à la messagerie ou à Internet depuis un navigateur. Concernés les serveurs multi-utilisateurs faisant office de postes de travail distants.

Connexion Bureau à distance et navigateurs

Microsoft a corrigé quatre vulnérabilités par exécution de code à distance au sein de la fonctionnalité Connexion Bureau à distance : CVE-2019-0787, CVE-2019-0788, CVE-2019-1290 et CVE-2019-1291. Pour exploiter ces vulnérabilités, un attaquant aura besoin qu’un utilisateur se connecte à un serveur RDP malveillant ou compromis. Les vulnérabilités découvertes par Microsoft suite à un test interne sur la fonction Connexion Bureau à distance. Des patchs prioritaires sur tous les systèmes qui utilisent la fonction de connexion Bureau à distance.

SharePoint

En outre, Microsoft a publié des correctifs pour résoudre trois vulnérabilités RCE dans SharePoint : CVE-2019-1257, CVE-2019-1295 et CVE-2019-1296. L’une d’entre elles implique de télécharger une application malveillante tandis que les deux autres sont des vulnérabilités au niveau de la désérialisation dans l’API SharePoint.

Des correctifs à déployer en priorité pour tous les serveurs SharePoint.

Azure DevOps Server (anciennement Team Foundation Server)

Azure DevOps Server et Team Foundations Server (TFS) sont affectés par une vulnérabilité par exécution de code à distance (CVE-2019-1306) qui est exploitée via des téléchargements de fichiers malveillants. En effet, quiconque télécharge un fichier vers un serveur peut exécuter du code via un compte Azure DevOps/TFS. Aussi concernés les utilisateurs anonymes via des serveurs configurés pour les valider.

Un correctif prioritaire pour toutes les installations Azure DevOps ou TFS.

Attaques actives sur des vulnérabilités facilitant une élévation de privilèges

Microsoft corrige deux vulnérabilités facilitant une élévation des privilèges exploitées en aveugle.

CVE-2019-1214 est une faille dans le pilote Common Log File System (CLFS), tandis que CVE-2019-1215 concerne le pilote Winsock.

Ces deux problèmes impactent toutes les versions Windows. Corrections prioritaires. Les vulnérabilités facilitant une élévation des privilèges sont généralement utilisées avec une exécution de code à distance où cette dernière n’accorde pas de droits administratifs

Adobe

Ce mois-ci, peu de publications d’Adobe. L’éditeur a publié des correctifs pour deux vulnérabilités critiques dans le Flash Player, correctifs qui doivent être déployés de manière prioritaire sur tous les systèmes de type poste de travail Adobe a également corrigé une vulnérabilité classée comme importante concernant le chargement de DLL non sécurisé dans Application Manager.

ID, Mise à jour

Infiltration de votre agenda Google

Un commentaire

Retour en force du spam via l’agenda Google. Une attaque que les malveillants ressortent de leur tiroir.

Plusieurs lecteurs de Data Security Breach se sont étonnés de mystérieux messages apparus dans leur agenda Google. Des rendez-vous proposant des rencontres via des sites pour adultes.

Bref, un spam et des publicités non sollicités via ce support.

La technique est assez simple, elle permet des phishings efficace.

L’interlocuteur malveillant annonce un rendez-vous avec vous. Si vous avez mal configuré votre compte Agenda, le rendez-vous s’affiche dans votre agenda. J’avoue profiter de cette option chez des potes qui utilisent l’enceinte connectée Google et l’Agenda. Cela permet d’énoncer des rendez-vous… particuliers !

Ce qui est intéressant est que l’alerte mail termine dans les spams. Mais l’Agenda valide l’invitation. En juin 2019, Kaspersky se faisait l’écho de ce spam.

Originalité des pirates

Les menaces de spam et de phishing qui exploitent des vecteurs d’attaque non traditionnels peuvent être lucratives pour les criminels, car elles peuvent souvent tromper avec succès des utilisateurs qui pourraient ne pas craindre une attaque plus évidente.

Cela est particulièrement vrai en ce qui concerne les services légitimes de confiance, tels que les fonctionnalités de calendrier de messagerie, qui peuvent être exploitées via ce qu’on appelle le « phishing de calendrier« .

Dans cette attaque, les agenda se retrouvent avec des rendez-vous qui se répètent sur 7 jours.

La force de Google étant aussi la géolocalisation. Les spammeurs intègrent des invitations personnalisées selon votre localisation. Bilan, les annonces affichent l’Apple Store le plus proche de chez vous pour être plus convaincant.

Pour vous protéger, rien de plus simple.

Désactivez l’ajout automatique d’invitations à votre calendrier. Pour ce faire, ouvrez Google Agenda, cliquez sur les paramètres, puis sur Paramètres d’événement.

Pour l’option « ajouter automatiquement des invitations« , cliquez sur le menu déroulant et sélectionnez « Non, ne montrer que les invitations auxquelles j’ai répondu« .

En dessous, dans la section Options d’affichage, assurez-vous que la case « Afficher les événements refusés » ne soit PAS cochée, à moins que vous ne souhaitiez spécifiquement les afficher.

Base de données, Communiqué de presse, Cybersécurité, double authentification, Entreprise, Fuite de données, Mise à jour, Securite informatique

Fraude au nom de domaine : des millions de nouveaux domaines frauduleux. Plus de 90% restent actifs

La société Proofpoint, spécialiste de la mise en conformité et cybersécurité, a publié son rapport 2019 sur la fraude au nom de domaine. L’étude dévoile les dernières tendances, les stratégies et les activités des cybercriminels. Une analyse approfondie des données collectées sur une période de douze mois dans la base de données de domaines actifs de l’entreprise. Elle contient plus de 350 millions de domaines et représente pratiquement tous les domaines sur le Web.

Chasse aux domaines frauduleux ! À l’instar de nombreuses autres méthodes d’attaque très populaires aujourd’hui, la fraude au nom de domaine cible des individus plutôt que des infrastructures en faisant appel à l’ingénierie sociale, terme connu aussi sous Social Engineering, pour amener les utilisateurs à croire que les domaines auxquels ils accèdent sont légitimes. Du fait du peu d’obstacles à l’enregistrement des noms de domaine et de la facilité d’exécution, il est essentiel que les sociétés restent vigilantes face aux domaines suspects et illégaux susceptibles de présenter un risque pour leur marque et leurs clients.

Hausse de 11%

Entre le 1er trimestre et le 4ème trimestre 2018, le nombre d’enregistrements de noms de domaines frauduleux a connu une hausse de 11%. Presque tous les domaines frauduleux détectés restent actifs et prêts à l’attaque, plus de 90% d’entre eux étant associés à un serveur actif.

Parmi ces domaines frauduleux, plus de 15% ont des enregistrements Mail Exchanger (MX), ce qui signifie qu’ils envoient et/ou reçoivent des e-mails. Un sur quatre dispose également de certificats de sécurité, c’est bien plus que ce que l’on peut observer dans le paysage global des domaines. Or, de nombreux internautes les assimilent de ce fait à tort comme des domaines légitimes et sûrs.

Les domaines frauduleux utilisent souvent les mêmes domaines de premier niveau (TLD), offices d’enregistrement et serveurs Web que les domaines légitimes afin d’imiter les marques et abuser les utilisateurs. Ces facteurs, ainsi que la forte proportion de serveurs Web actifs, qui sont nombreux à posséder des certificats SSL valides, renforcent la perception de légitimité des domaines frauduleux, augmentant ainsi le potentiel de nombreuses attaques, notamment les fraudes par virement électronique, le phishing, les ventes de produits de contrefaçon et autres escroqueries.

Quand le HTTPS sert aux pirates

Plus de 85% des grandes marques de vente au détail ont identifié des domaines vendant des versions contrefaites de leurs produits. Les marques de vente au détail en décomptent en moyenne plus de 200. D’ailleurs, les domaines vendant des produits de contrefaçon possèdent plus de certificats de sécurité que d’autres types de domaines frauduleux, ce qui les rend légitimes aux yeux des clients.

96% des sociétés ont trouvé des correspondances exactes de leur domaine avec un TLD différent (par exemple, « .net » au lieu de « .com ») et 76% ont identifié des domaines « similaires » se faisant passer pour leur marque. La plupart des secteurs et des zones géographiques sont touchés.

Une enquête du blog ZATAZ, le plus vieux blog dédié à la cybersécurité en langue française du monde, démontrait comment des entreprises, et leurs clients, se font piéger par des domaines .com transformés en .co.

Les domaines frauduleux utilisent l’e-mail pour mieux cibler les attaques. Pour 94% des sociétés observées, Proofpoint a identifié au moins un domaine frauduleux se faisant passer pour leur marque et envoyant des e-mails. De nombreux domaines frauduleux ont envoyé de faibles volumes d’e-mails, un comportement typiquement associé à des attaques hautement ciblées et basées sur l’ingénierie sociale. Les cybercriminels se faisant passer pour des marques de vente au détail facilement reconnaissables (en particulier celles ayant des chaînes d’approvisionnement complexes) ont envoyé des volumes d’e-mail beaucoup plus importants, ce qui laisse suggérer des attaques plus généralisées contre les clients et les partenaires.

Des facteurs comme l’introduction de nouveaux TLD créent des opportunités pour les cybercriminels. En 2018, l’introduction de nouveaux TLD, tels que .app et .icu,, a créé de nouvelles opportunités pour l’enregistrement de domaines frauduleux. Proofpoint a constaté que les cybercriminels exploitaient ces nouveaux TLD pour enregistrer des noms ressemblant à des domaines « .com » qui appartiennent déjà à de grandes marques.

Communiqué de presse, Cybersécurité, Linux, Mise à jour, Patch, Securite informatique

Patch Tuesday Linux et Adobe

Déni de service via TCP SACK vers le noyau Linux

Plusieurs vulnérabilités DoS ont été rapportées en juin concernant le noyau Linux (CVE-2019-11477, CVE-2019-11478, CVE-2019-11479). Microsoft a publié un avis de sécurité fournissant des informations et des liens sur ces vulnérabilités.

Patch Tuesday version Adobe

Adobe a publié des correctifs pour Bridge CC, Experience Manager et Dreamweaver. Trois vulnérabilités sont corrigées dans Experience Manager tandis qu’une vulnérabilité est résolue dans Bridge et Dreamweaver. Aucune d’entre elles n’est considérée comme critique et le niveau de vulnérabilité le plus élevé pour chaque logiciel concerné est Important.

Cybersécurité, Mise à jour, Patch, Securite informatique

Microsoft – Patch Tuesday juillet 2019

Ce mois-ci Microsoft résout 77 vulnérabilités dont 15 classées comme critiques. Parmi ces dernières, 11 affectent les moteurs de scripts et les navigateurs tandis que les quatre autres concernent le serveur DHCP, GDI+, l’infrastructure .NET et l’ensemble des outils de développement logiciel Azure DevOps Server (anciennement Team Foundation Server).

En outre, Microsoft a publié des correctifs importants pour deux vulnérabilités activement exploitées facilitant une élévation de privilèges, ainsi que pour une exécution de code à distance sur SQL Server. Microsoft a également diffusé deux avis de sécurité concernant des vulnérabilités affectant Outlook sur le web et le noyau Linux. Concernant Adobe, l’éditeur vient tout juste de publier des correctifs pour Bridge CC, Experience Manager et Dreamweaver.

Correctifs pour postes de travail

Déployer des patches pour les moteurs de script, les navigateurs, GDI+ et l’Infrastructure .NET est une priorité pour les équipements de type poste de travail, c’est-à-dire tout système utilisé pour accéder à la messagerie ou à Internet depuis un navigateur. Sont également concernés les serveurs multi-utilisateurs utilisés comme postes de travail distants.

Exécution de code RCE sur le serveur DHCP

Une vulnérabilité par exécution de code à distance (RCE) (CVE-2019-0785) est présente sur le serveur DHCP de Microsoft lorsque ce dernier est configuré pour une reprise après incident. Un attaquant ayant un accès depuis le réseau au serveur DHCP dédié à la reprise après incident pourrait ainsi exécuter du code de manière arbitraire. Ce correctif doit donc être déployé en priorité sur tous les systèmes exécutant un serveur DHCP en mode Reprise après incident.

Attaques actives sur l’élévation de privilèges

Microsoft a publié des patches pour deux vulnérabilités facilitant une élévation de privilèges (CVE-2019-1132 et CVE-2019-0880) dans Win32k et splwow64 et qui ont été exploitées en aveugle. Même s’ils sont classés comme Importants, ces correctifs sont en fait prioritaires car une association avec d’autres vulnérabilités pourrait fournir un accès complet au système à un cyberattaquant.

Exécution de code RCE sur le serveur SQL

Le Patch Tuesday de ce mois-ci résout également une vulnérabilité par exécution de code à distance (CVE-2019-1068) au sein du serveur Microsoft SQL Server. Classée comme Importante, cette vulnérabilité exige une authentification. Cependant, si elle est associée à une injection de code SQL, un cyberattaquant risque de compromettre complètement le serveur.

Azure DevOps Server (anciennement Team Foundation Server)

L’ensemble d’outils de développement logiciel Azure DevOps Server (ex-Team Foundation Server – TFS) est affecté par une vulnérabilité par exécution de code à distance (CVE-2019-1072) qui est exploitée via des téléchargements de fichiers malveillants. En effet, quiconque télécharge un fichier vers un serveur peut exécuter du code via un compte Azure DevOps/TFS. Sont également concernés les utilisateurs anonymes si le serveur est configuré pour accepter ces derniers. Ce correctif est donc une priorité pour toutes les installations Azure DevOps ou TFS.

Script XSS dans Outlook sur le web

Microsoft a publié un avis de sécurité pour une vulnérabilité à base de scripts intersite (XSS) dans Outlook sur le web (anciennement OWA). Cette vulnérabilité permet à un attaquant d’envoyer un fichier SVG malveillant, même si l’utilisateur ciblé doit ouvrir ce fichier d’image vectorielle directement en le glissant vers un nouvel onglet ou en copiant l’URL dans un nouvel onglet. Même si ce scénario d’attaque reste improbable, Microsoft recommande de bloquer les fichiers au format SVG. (Publié par Jimmy Graham dans The Laws of Vulnerabilities)