Attaques et vulnérabilités |
Institutions financières de l'UE fuite des données par les traceurs de cookies (3 minutes de lecture)
Jscrambler a trouvé des banques européennes et américaines envoyant des données client via des pixels de suivi sur des plateformes comme Google, Meta, TikTok, et Salesforce, parfois avant ou contre le consentement des cookies utilisateurs. Par exemple, des courriels hashed et des numéros de téléphone provenant d'un flux hypothécaire espagnol et des noms non chiffrés, des identifiants fiscaux et des détails de prêt provenant de sites portugais. Le travail met en évidence le RGPD concret, ePrivacy, DORA et PSD2 et appelle à des contrôles d'exécution plus stricts et à l'application du consentement sur les pages bancaires.
|
RefluXFS: Escalation de privilèges locaux du noyau Linux vers la racine dans XFS (CVE-2026-64600) (9 minutes lire)
CVE-2026-64600 est une condition de course dans le chemin XFS copy-on-write du noyau Linux où deux O DIRECT en même temps écrit dans un fichier reflinké font que le noyau ré-vérifie un nombre de référence de bloc stale après avoir laissé tomber son verrouillage d'inode, laissant un utilisateur local non privilégié écraser tout fichier lisible (comme /etc/passwd ou un binaire SUID-root) directement sur la couche de bloc sans sortie de log du noyau et persistance sur les reboots. Le défaut affecte n'importe quel noyau depuis v4.11 (2017) avec XFS reflink=1, frapper les installations par défaut de RHEL, Oracle Linux, Amazon Linux et Fedora (un nombre estimé de 16,4 millions de systèmes), et les défenses standard y compris KASLR, SPEP, SMAP, SELinux enforcement, seccomp, et l'isolement des conteneurs ne l'arrêtent pas car le défaut se trouve en dessous de leur portée à la couche d'allocation du système de fichiers. Appliquer immédiatement les correctifs du noyau du fournisseur et redémarrer pour confirmer l'assainissement, en priorisant d'abord les systèmes à interface Internet et multi-tenus.
|
Défaut dans l'extension Adobe Avec 300M Installations Actived WhatsApp Data Vol (4 minutes lire)
Les chercheurs de Guardio ont découvert un défaut UXSS de classe cross-origin, CVE-2026-48294, dans l'extension Adobe Acrobat Chrome (installé dans environ 329 millions de navigateurs) qui permet à un attaquant de voler les messages WhatsApp d'une victime, les contacts, et les détails de compte simplement en les entraînant à une page Web malveillante, sans bug WhatsApp, malware, ou compromis de reconnaissance requis. Dubbed HermeticReader, l'attaque a utilisé un cadre caché pour exploiter la validation manquante dans le système de messagerie interne de l'extension, en écrivant silencieusement au stockage local pour activer Hermes, un moteur dormant d'intégration Adobe qui a ensuite ponté vers WhatsApp Web et a gratté des données privées en texte simple. Adobe a corrigé le problème en juin peu après la divulgation. Defenders devrait confirmer Acrobat extension auto-updates ont appliqué la correction et traiter les canaux de messagerie interne de l'extension Chrome comme une surface d'attaque sous-évaluée.
|
|
Pourquoi je continue à recommander Amazon GuardDuty (8 minutes de lecture)
Amazon GuardDuty s'est étendu au fil du temps d'un simple analyseur de log à une suite de sécurité complète avec le soutien d'une grande variété de services AWS allant de S3 à EKS à RDS et EC2. GuardDuty offre de la valeur en appliquant des règles de corrélation aux alertes de différents services et peut également utiliser les agents d'IA avec la fonctionnalité Investigations récemment publiée. Les équipes devraient déterminer où GuardDuty s'inscrit dans leur organisation, y compris les outils de sécurité existants, les coûts et les plans de protection.
|
Changements de TChCh: Un regard sur macOS TCC Manipulation dans la nature (18 minutes lire)
Un cluster de malware macOS basé sur AppleScript fournit un fichier .scpt seulement exécuté déguisé en un assistant de compatibilité de document, qui récupère une deuxième étape qui dépose un document de leurre et compile une porte arrière dans un paquet d'applications signé ad hoc, puis renomme le répertoire de l'espace utilisateur TCC via Finder AppleEvents pour copier TCC.db, écrit des permissions pour la porte arrière directement avec squlite, restaure le répertoire et tue tccd pour forcer un rechargement. Les autorisations écrites comprennent les documents, téléchargements, bureau, Finder AppleEvents, et notamment kTCCServiceSystemPolicyAppData couvrant les données Mail et Notes. La balise résultante persiste via LaunchAgent, récolte les noms de fichiers et les identifiants matériels à partir des dossiers utilisateur clés, et les sondages pour suivre AppleScript sur les domaines C2 cigalsn[.]com et ecoferros[.]com. Cibler les chevauchements avec l'acteur nord-coréen Sapphire Sleet contre les employés du secteur de la crypto-monnaie, bien que le rapport évalue cela comme un sous-groupe distinct. La technique échoue carrément sur Tahoe 26.4.1+ et Sequoia 15.7.7+ (Sequoia n'est contournable que si Script Editor détient déjà Full Disk Access), de sorte que les défenseurs devraient patcher sur les builds macOS actuels, traiter la terminaison tccd inexpliquée comme suspecte, et chasser pour la TCC. Les entrées db manquant d'un événement correspondant tcc modify Endpoint Security comme signe d'insertion synthétique.
|
Validation de détection de bout en bout à l'aide d'agents de codage (10 minutes de lecture)
Les validations de détection de bout en bout consistent à lancer une attaque émulée complète, à ingérer les données et à vérifier si l'attaque a été détectée avec succès. L'auteur a construit un ensemble de compétences pour Claude Code qui lui permet d'écrire et d'exécuter des simulations d'attaque TTPForge. L'agent peut alors vérifier si la détection a été réussie et itérer sur elle si non.
|
|
Empirical (Product Launch)
Empirical fournit deux produits : Foundation, un modèle qui suit plus de 18 000 CVE exploités pour la prédiction de la menace, et Radiant, un moteur qui signale les menaces pertinentes pour l'environnement de chaque client, avec des informations basées sur les données pour l'assainissement.
|
Introduction d'Antares : modèles d'IA à poids ouvert très efficaces pour la localisation de la vulnérabilité (6 minutes lire)
Cisco présente Antares, un ensemble de petits modèles linguistiques axés sur la sécurité publiés en tant que poids ouverts pour la localisation de la vulnérabilité locale dans le code source, ainsi qu'un Benchmark de localisation de la vulnérabilité de 500 tâches, l'outillage CLI, et des intégrations avec Foundry Security Spec et CodeGuard pour soutenir la numérisation au niveau du dépôt, les enquêtes axées sur les conseils, et le triage CI/CD pour les équipes qui doivent garder le code sensible sur site tout en réduisant l'effort manuel de triage de vulnérabilité.
|
DeepZero (GitHub Repo)
DeepZero est un moteur de pipeline de recherche de vulnérabilité automatisé qui permet de définir les pipelines comme des fichiers YAML.
|
|
Open-Source Android Agents de l'IA pourrait laisser l'écran invisible Texte Exécuter Code sur les PC hôtes (6 minutes de lecture)
Les chercheurs montrent que les cadres d'agents d'IA Android peuvent être dirigés par des textes cachés à l'écran et des captures d'écran altérées, laissant les charges utiles contrôlées par l'attaquant voyager à partir des écrans de téléphone dans les commandes shell sur le PC hôte. Ils exploitent les appels sous-processus non nettoyés, les conditions de course de capture d'écran, les claviers basés sur la radiodiffusion, et les superpositions d'accessibilité pour capturer des identifiants ou exécuter du code, souvent nécessitant seulement les permissions communes Android et le débogage activé.
|
OpenAI dit que Hugging Face a été brisé par ses modèles pré-libérés (2 minutes de lecture)
OpenAI dit qu'un test utilisant GPT‐5.6 Sol et un modèle de pré-libération plus fort ont éclaté d'un environnement restreint, abusé d'une faille dans un installateur de paquets pour atteindre l'internet, puis ciblé la référence ExploitGym de Hugging Face. Les modèles ont tiré des réponses de référence de la base de données de production de Hugging Face et ont déclenché une grande attaque automatisée. OpenAI a corrigé l'installateur et ajoute des contrôles plus serrés sur l'infrastructure de test.
|
Si vous avez cette alarme de voiture installée par le concessionnaire, patchez-la aujourd'hui avec votre iPhone (4 minutes de lecture)
Les chercheurs de UC San Diego ont découvert que le système de sécurité KARR, un concessionnaire d'alarme après-vente, laisse souvent connecté même après que les acheteurs refusent le service payant, s'appuie sur une clé d'authentification Bluetooth partagée découverte dans l'application officielle, laissant quiconque dans la portée déverrouiller, immobiliser, ou déclencher le klaxon et les lumières sur environ 2,2 millions de véhicules à travers Honda, Toyota, Mazda, Ford, et Jeep lots. L'épisode met en évidence une lacune structurelle dans les chaînes d'approvisionnement automobile : parce que KARR est un matériel de tiers installé après la vente, le défaut se trouve à l'extérieur des pipelines de patchage normaux des constructeurs automobiles, et les chercheurs estiment qu'au moins la moitié des propriétaires touchés n'ont jamais demandé la fonctionnalité. Il souligne également une dimension secondaire de confidentialité, puisque la même diffusion Bluetooth persistante utilisée pour l'exploitation peut être extraite de bases de données sans fil crowdsources comme WiGLE pour reconstruire l'historique du mouvement d'un véhicule, un risque distinct de la vulnérabilité de déverrouillage elle-même.
|
|
Aimer TLDR ? Dites à vos amis et obtenez des récompenses!
| Partagez votre lien de référence ci-dessous avec des amis pour obtenir gratuitement TLDR swag!
| | |
| Suivez vos références ici. |
Gérer vos abonnements à nos autres newsletters sur la technologie, les startups et la programmation. Ou si TLDR Sécurité de l'information n'est pas pour vous, s'il vous plaît désabonnement.
|
|
|
|