Google Chrome corrige sa deuxième vulnérabilité exploitable de 2024

Google a publié une mise à jour de Chrome pour corriger une nouvelle vulnérabilité Zero Day. Selon la société, cette faille est activement exploitée dans des cyberattaques.

Identifiée sous le nom CVE-2024-4671 [Gravité élevée], cette vulnérabilité concerne un problème dans le navigateur Chrome. Google a découvert cette faille grâce à un chercheur anonyme le 7 mai 2024. Dans un communiqué officiel, le géant de l’Internet a confirmé que les développeurs étaient conscients de l’exploitation de CVE-2024-4671 dans des attaques réelles. Aucun détail supplémentaire n’a été fourni.

Il est fortement recommandé à tous les utilisateurs d’installer la dernière version de Google Chrome : 124.0.6367.201/.202 pour Windows et macOS, et 124.0.6367.201 pour Linux. « Google est conscient qu’un exploit pour CVE-2024-4671 existe dans la nature. » affiche Google dans son alerte.

Depuis le début de l’année, Google a déjà corrigé deux vulnérabilités Zero Day. La première, identifiée en janvier sous le nom CVE-2024-0519, affectait les moteurs JavaScript et WebAssembly V8, permettant un accès mémoire hors limites.

Le « Stable channel » (canal stable) est l’une des versions de distribution de Google Chrome, conçue pour offrir aux utilisateurs une expérience de navigation fiable et sécurisée.

Le canal stable a été mis à jour vers la version 124.0.6367.201/.202 pour Mac et Windows et 124.0.6367.201 pour Linux, qui sera déployée dans les jours/semaines à venir. Une liste complète des modifications apportées dans cette version est disponible dans le journal des modifications.

L’accès aux détails des bogues et aux liens peut être restreint jusqu’à ce que la majorité des utilisateurs aient installé la mise à jour. « Nous maintiendrons également les restrictions si le bogue existe dans une bibliothèque tierce dont dépendent d’autres projets, mais qui n’ont pas encore été corrigés. » explique Google.

Les mystères de la disparition des fichiers sur votre NAS : comprendre les causes et prévenir les pertes de données

Avez-vous déjà eu l’impression que des fichiers disparaissent mystérieusement de votre NAS (Network Attached Storage) sans aucune explication apparente ?

Cette expérience frustrante est malheureusement assez commune et peut être causée par divers facteurs. Comprendre ces causes peut vous aider à prévenir la perte de données précieuses. Heureusement, il existe des solutions concrètes pour récupérer les informations perdues, comme avec la récupération de donnée NAS avec un expert comme Data LabCenter.

Dans cet article, nous explorerons plusieurs scénarios possibles de disparition de fichiers sur votre NAS, avec des exemples concrets.

  1. Erreurs humaines :
    • Exemple : Suppression accidentelle de fichiers.
    • Scénario : En naviguant à travers les dossiers sur votre NAS, vous pouvez accidentellement supprimer un fichier ou un dossier important.
    • Solution préventive : Activez la corbeille sur votre NAS pour pouvoir récupérer les fichiers supprimés par erreur.
  1. Défaillance matérielle :
    • Exemple : Panne du disque dur.
    • Scénario : Un disque dur défectueux dans votre NAS peut entraîner la perte de données si les fichiers y sont stockés.
    • Solution préventive : Effectuez régulièrement des sauvegardes sur des périphériques externes ou dans le cloud pour éviter de perdre toutes vos données en cas de défaillance matérielle.
  2. Corruption des données :
    • Exemple : Corruption du système de fichiers.
    • Scénario : Des erreurs inattendues peuvent corrompre le système de fichiers de votre NAS, ce qui peut entraîner la perte de données ou leur inaccessibilité.
    • Solution préventive : Utilisez des outils de surveillance de l’intégrité des données et effectuez des vérifications régulières du système de fichiers pour détecter et corriger les erreurs dès qu’elles se produisent.
  3. Attaques malveillantes :
    • Exemple : Ransomware.
    • Scénario : Votre NAS peut être infecté par un ransomware qui crypte vos fichiers et demande une rançon pour les récupérer.
    • Solution préventive : Maintenez votre NAS à jour avec les derniers correctifs de sécurité, utilisez des mots de passe forts et mettez en place des pare-feux pour réduire les risques d’attaques malveillantes.
  4. Accès non autorisé :
    • Exemple : Utilisation de mots de passe faibles.
    • Scénario : Des personnes non autorisées peuvent accéder à votre NAS en devinant ou en piratant vos mots de passe, puis supprimer ou modifier des fichiers.
    • Solution préventive : Utilisez des mots de passe complexes et changez-les régulièrement. Limitez également l’accès aux fichiers sensibles en configurant des autorisations appropriées.
  5. Problèmes de réseau :
    • Exemple : Déconnexion du NAS du réseau.
    • Scénario : Des interruptions de réseau ou des problèmes de connectivité peuvent entraîner la perte temporaire de l’accès à votre NAS et, par conséquent, des fichiers peuvent sembler avoir disparu.
    • Solution préventive : Assurez-vous que votre NAS est correctement connecté au réseau et surveillez les problèmes de connectivité réseau.

En conclusion, la disparition de fichiers sur votre NAS peut être attribuée à divers facteurs, allant des erreurs humaines aux problèmes matériels et aux attaques malveillantes. Pour minimiser le risque de perte de données, il est essentiel de mettre en œuvre des mesures de prévention appropriées, telles que la sauvegarde régulière des données, la sécurisation de l’accès au NAS et la surveillance constante de son intégrité. En prenant ces précautions, vous pouvez protéger vos précieuses données contre les pertes inattendues.

Vasa-1 : un nouveau modèle d’ia pour créer des avatars animés à partir d’une photo

Microsoft Research Asia a récemment dévoilé VASA-1, un modèle d’intelligence artificielle capable de transformer une simple photo en vidéo animée.

Microsoft a donc décidé de se transformer en Skynet et a tiré sur toutes les ficelles liées à l’IA. Nouveauté du moment, Vasa-1. Cette technologie, présentée par Microsoft Research Asia utilise un fragment audio pour donner vie à une image. Le modèle est conçu pour créer des avatars vidéo réalistes, ce qui peut révolutionner la manière dont nous interagissons avec les médias numériques. C’est surtout inquiétant de se dire que des chercheurs continuent de travailler sur des solutions qui seront rapidement détournées. La régulation concernant l’IA étant moins draconienne en Asie qu’en Europe et aux USA, voilà peut-être pourquoi nos apprentis sorciers de l’IA se sont penchés sur cette possibilité.

Applications potentielles de vasa-1

Selon le rapport de recherche accompagnant la présentation du modèle, VASA-1 ouvre la possibilité de participer à des réunions virtuelles avec des avatars qui reproduisent fidèlement les comportements humains lors d’une conversation. Ca fera beaucoup rire cette comptable qui a été piégée, voilà quelques semaines, dans un tchat vidéo par des pirates et les avatars générés par l’IA. Bref, Vasa-1 soulève des questions sur son utilisation pour manipuler des vidéos afin de faire dire n’importe quoi à n’importe qui.

Comment fonctionne le modèle vasa-1 ?

VASA-1 repose sur l’apprentissage automatique pour analyser une photo statique et générer des vidéos animées réalistes. Le modèle ne clone pas les voix mais anime l’avatar en fonction des sons existants. Il peut ajouter des mouvements de tête, des tics faciaux, et d’autres nuances comportementales qui rendent l’animation étonnamment réelle. Un paradis pour deepfake, des vidéos malveillantes générées par l’IA ?

Le défi des deepfakes

La création de deepfakes, ou hyper-trucages, n’est pas une nouveauté. Cependant, l’approche de VASA-1, qui utilise une seule photo pour y incorporer des émotions et des comportements, est relativement nouvelle. Le modèle se distingue également par une excellente synchronisation labiale et la représentation de mouvements réalistes. Pour son développement, Microsoft Research a utilisé VoxCeleb2, un vaste ensemble de données composé de clips vidéo de célébrités issus de YouTube. Les célébrités ont-elles donné leurs accords pour que leur image et leur voix soient exploitées ? Dans sa démonstration Microsoft Asia a utilisé des portraits générés par StyleGAN2 ou DALL·E-3. « Il s’agit uniquement d’une démonstration de recherche et il n’y a pas de plan de sortie de produit ou d’API. » confirment les 9 chercheurs.

Le potentiel d’abus de VASA-1 est une préoccupation majeure, ce qui explique pourquoi Microsoft a décidé de ne pas publier le code du modèle pour le moment. En combinaison avec la technologie de clonage vocal, des individus mal intentionnés pourraient l’utiliser pour falsifier des vidéos de réunions, menant à des tentatives d’extorsion ou à la propagation de fausses informations. Bref à suivre ! « I’ll be back » dirait même une création de Skynet !

Hypershield de cisco : une avancée dans la sécurité des réseaux et applications ?

Dans un contexte où les menaces numériques évoluent constamment, Cisco affirme avoir développé une méthode révolutionnaire pour sécuriser les réseaux et leurs applications contre les vulnérabilités avant même la disponibilité d’un correctif. Cette innovation arrive alors que les infrastructures numériques restent exposées en moyenne 49 jours, le temps que les correctifs soient appliqués après la découverte d’une faille.

Les systèmes d’information sont particulièrement vulnérables pendant la période qui s’étend entre la découverte d’une vulnérabilité et le déploiement d’un correctif. Bien que certaines mesures provisoires telles que la désactivation de ports ou de fonctionnalités spécifiques puissent offrir une protection temporaire, leur mise en œuvre reste complexe dans des réseaux d’envergure.

Pour combler ce vide de sécurité, Cisco a lancé Hypershield, une architecture de sécurité qui intègre l’intelligence artificielle pour offrir une protection rapide et efficace en attendant un patch. Cette technologie promet d’être opérationnelle sur le marché d’ici août.

Fonctionnement d’hypershield

Hypershield fonctionne en segmentant automatiquement les réseaux et applications, empêchant ainsi toute tentative de mouvement latéral d’un intrus à travers les applications ou zones d’un data center. Chuck Robbins, président et CEO de Cisco, explique que cette technologie fusionne les capacités avancées de gestion de trafic et de données de l’entreprise avec son expertise en sécurité, infrastructure et observabilité, plaçant Cisco en position idéale pour maximiser les avantages de l’IA pour ses clients.

Technologie et intégration avancées

Le système utilise des data processing units (DPU), des puces matérielles conçues pour analyser et réagir aux comportements des applications et du réseau, tout en étant évolutives en fonction de la taille du réseau. De plus, l’utilisation de la technologie open source acquise auprès de la firme suisse Isolvent renforce les capacités de Hypershield.

Pour faciliter l’application des mises à jour et des correctifs, Hypershield intègre un mécanisme d’automatisation qui utilise des jumeaux numériques pour tester les mises à jour dans un environnement virtuel. Cela permet de simuler l’environnement spécifique du client, y compris le trafic de données et les règles stratégiques, avant d’appliquer effectivement la mise à jour au système.

Les domaines .RU seront enregistrés auprès des Services de l’Etat

Panique chez les utilisateurs de noms de domaine en .RU [Russe]. Il va falloir fournir ses informations non plus au registar, mais au gouvernement !

Anton Gorelkin, vice-président du Comité de la Douma d’État sur la politique de l’information, de l’informatique et des communications, a parlé le 8 avril lors de la conférence « Le domaine .ru a 30 ans » de la préparation d’un projet de loi sur la réglementation du processus d’administration des noms de domaine. Le document sera soumis à la Douma d’Etat cette année, a précisé le député : « Un tel accord a été trouvé avec tous les acteurs dont il dépend ». Selon M. Gorelkin, il s’agit de « vérifier ceux qui enregistrent des noms de domaine via le système unifié d’identification et d’autorisation. » 82% (selon Statdom) appartiennent à des résidents de la Fédération de Russie, 7% à un inconnu, 5% à des résidents des Seychelles, 2% à des résidents d’Ukraine, 0,5% à des résidents de Biélorussie.

Référencement

En France, les utilisateurs de nom de domaine .fr doivent fournir des informations les concernant. Chaque année, les registar demandent aux utilisateurs si leur identité, adresse ont changé.

Mais pour la Russie, les informations devront être envoyées directement aux Services de l’État pour les domaines .RU, .РФ et .SU.

Bref, le renouvellement automatique, fini ! Les utilisateurs d’un domaine .Ru, hors de Russie, fini.

Pour des raisons évidentes, il est trop tôt pour parler des détails, de la mise en œuvre technique, des caractéristiques de l’application de la loi, etc., avant le texte du projet de loi, mais on peut déjà supposer plusieurs scénarios d’évolution des événements. Mais il est clair que les propriétaires de domaine n’auront plus de secret pour le FSB l’État.

Fédération de Russie – 675 000 domaines, 92,5 % sont des résidents russes.
SU – 105 000, 86,5% sont des résidents de la Fédération de Russie.

Ceux qui, pour une raison ou une autre, ne souhaitent pas lier leur domaine à un compte sur les services de l’État et les citoyens étrangers ne renouvelleront probablement pas leur domaine. Autrement dit, un assez grand nombre d’entreprises étrangères perdront très probablement leurs domaines russes. Des experts estiment qu’au moins 3 millions de domaines seront impactés [sur les 5 millions existant]. Sauf si des dépositaires de domaines indépendant récupèrent les domaines pour les propriétaires légitimes et sous louent les domaines. Une sorte de « protection » mafieuse ?

L’Essentiel du Métier de Data Analyst

Dans l’univers en rapide évolution des données massives, le rôle de data analyst devient crucial pour les organisations de toutes tailles. Un data analyst, ou analyste de données, est un professionnel dont la principale mission est d’analyser les données pour aider à prendre des décisions éclairées. Grâce à des compétences en statistiques et en informatique, le data analyst transforme les données brutes en informations exploitables, révélant des tendances, des modèles et des prévisions qui étaient auparavant cachés dans des amas complexes de données.

Formation et Compétences Requises

La formation pour devenir data analyst varie grandement, mais elle inclut généralement un diplôme de niveau bachelor (licence) dans des domaines tels que les statistiques, l’informatique, l’économie ou les mathématiques. Se former à la data, comme par exemple avec wildcodeschool.com devient quasi obligatoire, tant le sujet est présent aujourd’hui, et le sera encore plus demain. De nombreux professionnels poursuivent également des études supérieures ou des certifications spécialisées en analyse de données, telles que Google Data Analytics Professional Certificate ou le IBM Data Analyst Professional Certificate.

Les compétences essentielles pour un data analyst incluent la maîtrise des outils d’analyse de données tels que SQL pour la gestion des bases de données, Python ou R pour le traitement statistique, et des plateformes comme Tableau ou Power BI pour la visualisation de données. De solides compétences en communication sont également cruciales, car l’analyste doit souvent expliquer ses trouvailles à des décideurs non techniques.

Rôle en Entreprise

Dans un contexte d’entreprise, le data analyst a un rôle pivot. Par exemple, dans le secteur de la vente au détail, un analyste pourrait analyser les tendances d’achat des clients pour optimiser les stocks et les promotions. Dans le secteur bancaire, les analyses de données permettent de détecter les fraudes ou d’optimiser les stratégies d’investissement.

Un cas concret pourrait être celui d’une entreprise de e-commerce utilisant l’analyse de données pour personnaliser les recommandations de produits aux utilisateurs en fonction de leur historique d’achat et de navigation, augmentant ainsi les ventes et la satisfaction client.

Importance en Cyber Sécurité

En cyber sécurité, le rôle du data analyst est de plus en plus vital. Avec l’augmentation exponentielle des données générées, les entreprises doivent s’assurer que ces informations restent sécurisées. Le data analyst en cyber sécurité utilise ses compétences pour identifier les tendances anormales qui pourraient indiquer une tentative de cyberattaque.

Par exemple, une analyse de données pourrait révéler une quantité inhabituelle de demandes à un serveur particulier, suggérant une attaque par déni de service distribué (DDoS). En identifiant rapidement ces anomalies, les entreprises peuvent réagir avant que les dommages ne deviennent substantiels.

Bref, le data analyst est un maillon essentiel de la chaîne de valeur de toute entreprise moderne. Sa capacité à transformer les données en insights permet non seulement d’améliorer les performances et la compétitivité mais aussi de renforcer les défenses contre les cyberattaques. À mesure que le volume de données continue de croître, la demande pour des professionnels qualifiés dans ce domaine ne fera qu’augmenter, soulignant l’importance d’une formation solide et continue dans ce domaine en pleine évolution.

La Russie et l’Ukraine en tête du classement mondial de la cybercriminalité

Une étude menée par un groupe de recherche international, regroupant une centaine d’experts, a récemment établi le premier classement exhaustif des pays en matière de cybercriminalité. Les résultats révèlent que la Russie, suivi de près par l’Ukraine et la Chine, occupe les premières places de ce classement.

Il y a quelques jours, ZATAZ.COM, référence de l’actualité liée à la lutte contre le cybercrime, une étude menée par Europol qui établissait une liste des groupes de cybercriminels les plus présents sur Internet. Sans surprise, Russes et Ukrainiens se partageaient le haut du podium.

Des chercheurs de l’Université d’Oxford, viennent de publier leur propre analyse. Elle permet de mieux comprendre la répartition géographique de la cybercriminalité ainsi que les domaines d’intérêt des citoyens de différents pays. Elle suggère que la collecte continue de ces données pourrait aider à identifier les nouveaux foyers de cybercriminalité et à prendre des mesures préventives dans les pays à risque avant que la situation ne s’aggrave.

L’étude identifie cinq catégories principales de cybercriminalité, dont les services et produits techniques, les attaques et l’extorsion, le vol de données et d’identité, la fraude et le blanchiment d’argent. Les deux premières catégories sont considérées comme les plus courantes en Russie et en Ukraine.

Federico Varese, professeur à l’Institut d’études politiques de Paris, souligne l’importance d’élargir cette étude pour déterminer si des facteurs nationaux tels que le niveau d’éducation, la pénétration d’Internet, le PIB ou les niveaux de corruption sont liés à la cybercriminalité. Il met en lumière le fait que la cybercriminalité, tout comme les formes de criminalité organisée, est enracinée dans des contextes nationaux spécifiques, contrairement à l’idée répandue selon laquelle elle serait un phénomène mondial et fluide.

Outre la Russie, l’Ukraine et la Chine, le classement des dix premiers comprend également les États-Unis, le Nigeria, la Roumanie, la Corée du Nord, la Grande-Bretagne, le Brésil et l’Inde. Parmi les autres pays mentionnés, la Biélorussie occupe la 12e place, tandis que la Moldavie se situe en 15e position. Enfin, la Lettonie clôture le top 20.

Les agences de renseignement américaines accusent les hackers russes d’audace excessive

Les hackers russes deviennent de plus en plus audacieux dans leurs attaques. C’est ce qu’a déploré Brian Vondran, chef de la division de lutte contre la cybercriminalité du Federal Bureau of Investigation (FBI) des États-Unis, qui enquête également sur les crimes liés aux cryptomonnaies.

« C’est un problème pour l’économie mondiale, pour l’économie américaine et pour la sécurité des États-Unis. Selon nos estimations, les pertes mondiales dépassent le milliard de dollars par an« , a souligné Vondran.

Il a ajouté qu’il considère le groupe Scattered Spider comme responsable des récentes attaques de ransomwares, lié, selon la perception occidentale, au Ministère de la Défense russe. Scattered Spider serait derrière, par exemple, les attaques des groupes hôteliers MGM Resorts ou encore Caesars Palace. À Washington, il est appelé « un réseau cohésif de hackers » qui parlent anglais et sont responsables de dizaines de piratages. La technique principale du groupe, l’ingénierie sociale. Hacker le cerveau avant d’attaquer les claviers.

L’ancien directeur de la cybersécurité de la NSA, Rob Joyce, indique qu’il y a peu de chance que ce groupe soit stoppé, pour le moment. Il a noté que l’attaque de REvil contre Colonial Pipeline « a forcé à réfléchir et à décider que nous devons investir davantage de ressources dans la lutte contre cette menace externe ». Il a ajouté qu’en janvier 2022, l’un des exécutants de cette attaque avait été identifié et arrêté en Russie, ainsi que ses complices. Depuis, des mois, les tribunaux et avocats locaux se battent, les défenseurs arguant qu’il n’existait aucune preuve d’actes de piratage.

Violation de données chez owasp : exposition accidentelle de cv de membres

La Fondation OWASP (Open Worldwide Application Security Project), une référence dans le domaine de la sécurité logicielle, a récemment révélé une fuite de données due à une configuration incorrecte de leur ancien serveur Web Wiki. Ce problème a mené à l’exposition publique des curriculum vitae de certains de ses membres.

Fondée en décembre 2001, l’OWASP est une organisation à but non lucratif qui se concentre sur l’amélioration de la sécurité des logiciels à travers le monde. Avec des dizaines de milliers de membres répartis en plus de 250 sections, l’OWASP organise des événements éducatifs et des formations sur la sécurité logicielle globalement.

Détails de l’incident

La découverte de cette mauvaise configuration de Media Wiki a été faite fin février 2024, après que plusieurs membres ont contacté l’assistance technique de l’organisation. Les investigations ont montré que seuls les membres ayant rejoint OWASP entre 2006 et 2014 et ayant soumis leur CV lors de leur adhésion étaient affectés. Ces documents comprenaient des informations sensibles telles que noms, adresses email, numéros de téléphone, et adresses physiques.

Réponse de l’owasp

Andrew van der Stock, directeur exécutif de l’OWASP, a précisé que l’organisation avait pris des mesures immédiates pour contenir la fuite. Cela inclut la désactivation de la navigation dans les répertoires du serveur, la révision de la configuration de Media Wiki, et la suppression des CV du site Wiki. L’OWASP a également vidé le cache de Cloudflare et contacté les archives Web pour s’assurer que les informations accidentellement exposées soient également retirées.

L’OWASP s’est engagée à informer toutes les victimes identifiées par des lettres explicatives, mentionnant que beaucoup des informations exposées pourraient être désuètes, étant donné que nombre de ces membres ne font plus partie de l’organisation. Van der Stock a souligné que, pour les données toujours actuelles, il est conseillé aux membres concernés de rester vigilants face aux communications non sollicitées.

Google lance device bound session credentials pour sécuriser chrome

Google introduit une innovation dans la sécurité des navigateurs avec Device Bound Session Credentials (DBSC), une fonctionnalité destinée à renforcer la sécurité des sessions en ligne en liant les cookies d’authentification à un appareil spécifique. Cette approche vise à neutraliser les tentatives de vol de cookies, souvent utilisées pour contourner l’authentification multifacteur.

La nouvelle fonctionnalité, Device Bound Session Credentials, crée un lien cryptographique entre les cookies d’authentification et l’appareil de l’utilisateur. Ce processus s’appuie sur la puce Trusted Platform Module (TPM) pour générer une paire de clés publique et privée unique à chaque session. Les cookies ainsi sécurisés ne peuvent être utilisés sur aucun autre appareil, ce qui invalide les tentatives de vol.

Fonctionnement technique

Lorsqu’une session est établie via DBSC, le serveur effectue des vérifications périodiques de la clé privée pour s’assurer qu’elle n’a pas été déplacée ou copiée vers un autre appareil. Ces clés sont stockées de manière sécurisée et sont inaccessibles en dehors de l’appareil original, ce qui garantit que même en cas de vol de cookies, les attaquants ne pourront pas accéder aux comptes utilisateurs.

Kristian Monsen, ingénieur de l’équipe anti-abus de Google Chrome, souligne que DBSC pourrait révolutionner la sécurité en ligne en rendant le vol de cookies pratiquement inutile. Cette fonctionnalité contraint les attaquants à opérer localement, facilitant ainsi la détection et l’élimination des logiciels malveillants par les solutions antivirus et les protections d’entreprise.

Actuellement en phase de prototype, DBSC peut être activé par les utilisateurs avancés pour des tests en modifiant les paramètres sous chrome://flags/. Cette phase expérimentale permet à Google de peaufiner la technologie avant son déploiement à grande échelle.

Sécurité et confidentialité des utilisateurs

DBSC garantit que chaque session est isolée grâce à des clés uniques. Les serveurs n’interagissent qu’avec la clé publique, et ne peuvent donc ni identifier, ni suivre les utilisateurs à travers plusieurs sessions. De plus, les utilisateurs peuvent révoquer les clés à tout moment, ajoutant une couche supplémentaire de contrôle sur leur vie privée.

La fonctionnalité DBSC est prévue pour être intégrée dans environ 50% des ordinateurs de bureau équipés de Chrome dans un premier temps. Son intégration complète promet de renforcer significativement la sécurité pour tous les utilisateurs de Chrome, aussi bien dans un cadre privé que professionnel. « Nous travaillons également déjà pour proposer cette technologie à nos clients Google Workspace et Google Cloud afin de leur offrir une couche supplémentaire de sécurité des comptes », ajoute Monsen.

Vulnérabilité critique pour 1 million de site sous WordPress

Une vulnérabilité critique d’injection SQL dans le populaire plugin LayerSlider pour WordPress pourrait être utilisée pour extraire des informations sensibles des bases de données, telles que les hachages de mots de passe.

LayerSlider est un outil permettant de créer des sliders, des galeries d’images et des animations sur les sites WordPress. Le plugin est utilisé sur environ un million de sites Web. Le problème, identifié comme CVE-2024-2879 et avec un score CVSS de 9,8 [Trés grave], décrit un problème d’injection SQL qui affecte toutes les versions du plugin de 7.9.11 à 7.10.0. La vulnérabilité a été découverte par le chercheur en sécurité AmrAwad et corrigée dans la version 7.10.1 , publiée le 27 mars 2024. Pour divulgation responsable et découverte de la vulnérabilité, le spécialiste a reçu une récompense de 5 500 $.

Selon les experts de Wordfence, le problème a permis aux attaquants d’extraire des données confidentielles de la base de données de sites vulnérables. La vulnérabilité était liée au traitement du paramètre id dans la fonction du plugin ls_get_popup_markup. Étant donné que le paramètre id n’était pas correctement traité, les attaquants pouvaient injecter du code SQL malveillant dans des requêtes spécialement conçues, entraînant ainsi l’exécution de commandes, et l’exfiltration de données.

La structure des requêtes possibles réduisait l’attaque à une injection SQL aveugle dans le temps, c’est-à-dire que les attaquants devaient observer le temps de réponse pour obtenir les données de la base de données. Mais malgré ces limitations, CVE-2024-2879 permettait toujours de récupérer des informations de la base de données sans nécessiter d’authentification.

Petites entreprises, grandes menaces : restez informés, restez protégés

Quitter la version mobile