Check Point a découvert une vulnérabilité critique qui touche tous les outils de développement d'application Android. Un correctif est disponible.
Actualités faille
Microsoft Office affecté d’une vulnérabilité critique vieille de 17 ans
Un composant vulnérable depuis Office 2000 permet l'exécution de code malveillant à l'ouverture d'un fichier bureautique.
Faille sur l’e-Carte d’identité : la moitié des Estoniens privés de services numériques
Victimes d'une faille de sécurité des puces Infineon, les cartes d'identité électroniques des Estoniens sont bloquées depuis ce week-end.
De nombreux systèmes affectés par une vulnérabilité TPM Infineon
Une vulnérabilité affectant la génération de clés RSA d'Infineon permet de calculer la clé privée à partir d'une clé publique à peu de frais.
100% des sites web français restent vulnérables aux mêmes failles
Comme en 2016, l'ensemble des sites audités par Wavestone présentent au moins une faille de sécurité. Dont une grave dans plus de la moitié des cas.
Des millions de Mac exposés à une attaque par EFI
Plusieurs modèles de Mac ne disposent pas d'une version à jour et sécurisée de leur EFI. Des machines vulnérables pour des attaques de très bas niveau.
Windows Server 2003 victime d’un cryptomineur Monero
L'éditeur de sécurité ESET a découvert une centaine de machines non patchées sous Windows Server 2003 infectées par le cryptomineur CoinMiner.
Une faille Apache Struts menace 65% des entreprises du Fortune 100
La faille critique qui touche le plugin REST du framework Apache Struts permet l'exécution de code distant sur les serveurs d'applications.
Comment s’acheter un MacBook pour 1 dollar via à une faille SAP
Une faille dans un serveur SAP permet de prendre le contrôle total du système de paiement, autant pour voler les données confidentielles des clients que pour modifier le prix des articles.
Comment transformer l’enceinte Amazon Echo en espion
Les enceintes intelligentes Amazon Echo vendues en 2015 et 2016 renferment une faille qui rend leur détournement possible. Transformant le dispositif en parfait espion des foyers connectés.
300 000 sites WordPress menacés par une faille du greffon WP Statistics
Une vulnérabilité de type injection SQL a été trouvée dans le greffon WP Statistics de WordPress. La mise à jour de ce composant devra être réalisée sans tarder.
Les puces Skylake et Kaby Lake d’Intel victimes d’une faille critique
Le bug qui frappe les Core X et Xeon sous Skylake et Kaby Lake peut entrainer des comportements imprévisibles du système et des pertes de données.
Stack Clash s’octroie des privilèges sur les systèmes Linux
Des chercheurs ont découvert une faille dans les systèmes Linux ouvrant la voie à une élévation de privilèges.
Microsoft corrige encore Windows Defender en toute discrétion
Une vulnérabilité critique découverte par Google et touchant Windows a vite été corrigée par Microsoft. Au bénéfice de ceux qui laissent Windows Update activé.
Une faille zero day de Microsoft Office exploitée depuis janvier
McAfee et FireEye dévoilent une faille de la suite Office permettant de prendre le contrôle du système Windows. La rustine de Microsoft devrait logiquement être publiée cette semaine.
600 000 serveurs Web Microsoft IIS 6.0 menacés par un exploit zero day
Deux chercheurs publient le code d’exploitation d’une faille zero day du serveur Web ISS 6.0. Une version que Microsoft ne supporte plus et qu’il ne va donc pas patcher.
Un vieux piratage de session Windows remis au goût du jour
Un expert en sécurité démontre comment accéder localement à une session utilisateur ouverte sous Windows sans autre outil d'attaque que quelques commandes systèmes.
Adobe alerte sur une faille critique dans le chiffrement JSON
Le populaire standard du Web JSON, serait vulnérable selon Adobe. Et c’est le module de chiffrement qui est insuffisamment sécurisé.
SAP corrige une faille critique de Hana, donnant un accès total aux données
Alerté par Onapsis, SAP bouche une série de vulnérabilités affectant un composant de sa base In-Memory. Un bug qui permet de bypasser l'authentification et d'accéder à toutes les données.
Google met à jour une faille zero-day de Windows
Encore une fois, une faille de Windows est dévoilée par les experts de Google. Une vulnérabilité non corrigée à ce jour par Microsoft.
Une faille zero-day dans Windows 10 provoque un écran bleu de la mort
Le CERT US alerte qu'une faille zero-day du protocole SMB peut faire planter Windows 10 et 8.1. Et, peut-être, ouvrir la voie à des attaques DDoS.
Bases MongoDB rançonnées : l’infection se propage à vitesse grand V
Profitant de bases de données MongoDB librement accessibles sur le Net, des pirates rançonnent les utilisateurs. Plus de 10 000 bases MongoDB ont déjà été touchées ! Et la facilité de la technique suscite les vocations.
Après les ransomwares, les bases de données MongoDB prises en otage
Un ou plusieurs cybercriminels s’attaque aux bases MongoDB mal sécurisées. Ils en exfiltrent les données et réclament une rançon pour restituer l’information.
Une faille dans PHPMailer fragilise des CMS et des millions de sites web
Un script PHP automatisant l’envoi de mail comprend une faille critique capable d’exécuter du code à distance. Des millions de sites web sont exposés.
Clef de chiffrement stockée en dur : VMware aussi
Une appliance de sauvegarde de VMware, vSphere Data Protection, possède une clef de chiffrement SSH codée en dur. La faille est jugée critique par l’éditeur, qui fournit un correctif.
Correction express pour faille critique dans l’outil de rapport de bugs d’Ubuntu
Le système de rapport de bugs d’Ubuntu était touché par des failles permettant l’exécution de code tiers. Des vulnérabilités promptement corrigées par les développeurs.
L’application AirDroid frappée d’une faille critique zero day
L'application AirDroid de synchronisation sans fil de fichiers entre un PC et un smartphone Android est ouverte à tous vents. Sans correctif pour l'heure.
Sécurité : Linux attaquable sans une seule ligne de code
Un chercheur démontre comment il a utilisé une faille propre au décodeur gstreamer et au format FLIC pour contourner les mesures de sécurité de Linux.
Télégrammes : nouveau DG pour les infras de la SG ; Tesla corrige une faille ; Azure ouvre en Allemagne ; Parler à Google Drive
Inconsolable après l'annonce du divorce d'Angelina Jolie et Brad Pitt ? Pas sûr que nos télégrammes du soir puissent y changer quoi que ce soit !
Un exploit des Shadow Brokers modifié cible les firewalls récents de Cisco
Les outils de hacking des Shadow Brokers ne ciblent que de vieilles générations de machines. Sauf qu’ils peuvent être modifiés pour s’attaquer à des versions beaucoup plus répandues aujourd’hui. Comme le montre le cas des Cisco ASA.