Couverture de Ep.781 - Atlassian Data Center, TLS post-quantique - Flash info du vendredi 16 octobre 2026

Ep.781 - Atlassian Data Center, TLS post-quantique - Flash info du vendredi 16 octobre 2026

Ep.781 - Atlassian Data Center, TLS post-quantique - Flash info du vendredi 16 octobre 2026

Écouter gratuitement

Voir les détails

Offres de saison | 0,99 € par mois pendant les 3 premiers mois

5,99 €/mois par la suite. Des conditions s’appliquent. Annulation mensuelle possible.
🚨 Atlassian Data Center : CVE-2026-21589, CVSS de 9,3, accès à des fichiers arbitraires sans authentification, déjà présentée dans l'épisode 773 et désormais exploitée (T1190). La société Previdian a vu quinze tentatives depuis trois adresses IP, deux heures après la publication de détails techniques par watchTowr ; les tentatives restent, selon watchTowr, de la reconnaissance et du balayage de fichiers de configuration, sans usage constaté des identifiants obtenus. Ajout au catalogue KEV le 15 octobre, échéance fédérale au 18 octobre. Produits concernés : Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible et Fisheye Data Center. Correctifs par produit, par exemple Confluence 9.2.26 et 10.2.19, Jira Software 9.12.40, 10.3.26 et 11.3.12 ; contournements par règle de pare-feu applicatif ou retrait d'Internet à défaut de correctif immédiat.🔐 NCSC : le centre britannique publie ses réglages de TLS pour la cryptographie post-quantique, à la suite de la RFC 10024 de l'IETF sur les accords de clés hybrides en TLS 1.3. Il recommande à la fois des suites hybrides, les plus répandues dans les bibliothèques courantes, et des suites purement post-quantiques. Seul TLS 1.3 prend en charge ces algorithmes : une organisation en TLS 1.2 ou plus ancien doit migrer. Le NCSC situe la protection de la confidentialité en transit parmi les migrations prioritaires de sa feuille de route, à mener d'ici 2031, et invite à commencer dès maintenant.🛡️ OpenNMS : CVE-2026-111235, CWE-204, divergence de réponse observable dans l'API REST de Meridian et Horizon. Les règles de filtrage comparent la méthode HTTP en respectant la casse et aucune règle ne refuse par défaut : une requête à la méthode non canonique, en minuscules, passe sans authentification. Un attaquant distant et sans compte lit l'inventaire, crée, modifie ou supprime des ressources et injecte des événements pour fabriquer ou masquer des alarmes. Non exploitée, aucun PoC public selon le CERT Santé. Versions corrigées : Meridian 2024.3.14, 2025.0.11 et 2026.0.1, Horizon 36.0.5 ; pas de contournement, produits à maintenir sur réseaux privés.🪟 NordVPN : CVE-2026-106030, CVSS de 6,8, CWE-863, autorisation incorrecte dans l'application Windows. Un attaquant local peu privilégié se fait passer pour un processus de confiance, se connecte à un tube nommé et appelle deux fonctions qui arrêtent un service Windows et changent son type de démarrage (T1489). Il prive ainsi la machine de services critiques ; les services protégés par Windows, comme Microsoft Defender, restent hors d'atteinte. Corrigée en version 8.12. Faille signalée par Marcin Ressel au CERT Polonais.🐧 OpenBSD : exploit d'élévation de privilèges local vers root sur OpenBSD 7.9 (T1068), sans CVE à ce jour et sans exploitation connue. Il enchaîne un dépassement d'entier sur un compteur de mémoire partagée hérité des sources BSD de 1988 et une use after free, puis une écriture hors limites qui bascule une page mémoire en zone noyau et contourne SMAP et SMEP. La société Calif a publié analyse et code de démonstration après correction. Correctifs OpenBSD du 14 septembre pour le dépassement d'entier et du 30 septembre pour la seconde faille, sur toutes les architectures ; OpenBSD 7.8 reçoit aussi le premier.💻 Visual Studio Copilot : CVE-2026-103572, CVSS de 8,8, exécution de code à distance de gravité importante, corrigée au Patch Tuesday du 13 octobre. Un point ajouté à la fin du nom de fichier contourne le contrôle qui protège les fichiers de configuration du Copilot : les chaînes diffèrent, mais Windows retire ce point à l'écriture, qui atteint le fichier protégé. L'agent échappe à son confinement et exécute des commandes, y compris via une injection d'instructions indirecte. Le défaut touche une bibliothèque partagée, donc Visual Studio et SQL Server Management Studio, y compris Visual Studio 2022. Faille signalée par Johann Rehberger ; le correctif normalise le nom de fichier avant le contrôle.🎣 DataSuckers : la police de Moscou interpelle trois membres présumés du groupe, après la fuite de Dodo Pizza qui porterait sur des centaines de millions de commandes en quinze ans. Denis Fridman, 19 ans, est placé en résidence surveillée. L'accès initial vient d'identifiants d'entreprise exposés sur GitHub, qui ont ouvert du stockage cloud, des bases de données et des mots de passe stockés. La base volée a été vendue 100 000 dollars sur le dark web. La police a remonté la piste après que le suspect a exposé son adresse IP. Récit relayé par Recorded Future, à partir de Kommersant et Baza.🧩 curl : CVE-2026-92392, gravité haute sur l'échelle de curl, use after free dans l'envoi de données en HTTP/2 qui peut mener à l'exécution de code côté client. Lors d'un téléversement, curl met de côté des octets quand le serveur ferme sa fenêtre de flux...
adbl_web_anon_alc_button_suppression_t1
Aucun commentaire pour le moment