GitLab a corrigé une faille de sécurité importante dans l'éditeur de code Web IDE présent dans GitLab Community Edition (CE) et Enterprise Edition (EE). Faisons le point sur cette menace.

La faille de sécurité 1-click "CVE-2024-4835" corrigée par les développeurs de GitLab pourrait permettre à un attaquant de voler des informations sensibles, et donc, de prendre le contrôle du compte d'un utilisateur.

"Prise de contrôle d'un compte en un clic via XSS en utilisant l'éditeur de code VS (Web IDE)", c'est ainsi qu'est décrite cette vulnérabilité sur le site de GitLab.

Pour atteindre son objectif et tirer profit de cette faiblesse de type XSS, l'attaquant doit attirer l'utilisateur pris pour cible vers une page malveillante. "En tirant parti de cette vulnérabilité, un attaquant peut créer une page malveillante pour exfiltrer des informations sensibles de l'utilisateur.", peut-on lire dans le bulletin de sécurité de GitLab.

La compromission d'un compte GitLab peut s'avérer très intéressant pour les attaquants afin d'accéder à du code source, voler des informations sensibles (secrets, clés d'API, etc.), et même, mettre en œuvre une attaque de la chaine d'approvisionnement (supply chain attack).

La CVE-2024-4835 n'est pas la seule vulnérabilité corrigée par GitLab dans les nouvelles versions de ses applications. Au total, ce sont pas moins de 7 failles de sécurité qui ont été corrigées, mais celle évoquée dans cet article est la plus dangereuse.

Comment se protéger ?

Pour vous protéger de ces vulnérabilités, vous devez installer l'une des versions publiées par GitLab, à savoir les versions 17.0.1, 16.11.3 et 16.10.6 de GitLab Community Edition (CE) et GitLab Enterprise Edition (EE). Autrement dit, les versions 15.11 avant 16.10.6, 16.11 avant 16.11.3, et 17.0 avant 17.0.1 sont affectées.

"Ces versions contiennent d'importantes corrections de bogues et de sécurité, et nous recommandons fortement que toutes les installations de GitLab soient mises à jour vers l'une de ces versions immédiatement. GitLab.com utilise déjà la version corrigée.", peut-on lire sur le site officiel.

En début d'année 2024, la faille de sécurité critique CVE-2023-7028 a également été corrigée dans GitLab.

Source

The post Cette faille de sécurité dans GitLab permet aux pirates de prendre le contrôle des comptes utilisateurs first appeared on IT-Connect.

En l'espace d'une semaine, Google a corrigé trois failles de sécurité zero-day dans Google Chrome. Résultat : les mises à jour s'enchainent pour le navigateur. Faisons le point !

Il y a quelques jours, nous évoquions la vulnérabilité CVE-2024-4671 présente dans le composant Visuals de Google Chrome et corrigée par Google le 9 mai 2024. Puis, le 13 mai 2024, la firme de Mountain View a publiée une nouvelle mise à jour de sécurité pour son navigateur afin de patcher la CVE-2024-4761.

Et, enfin, ce mercredi 15 mai 2024, Google a encore mis en ligne une mise à jour pour Chrome ! Cette fois-ci, elle a pour objectif de corriger la faille de sécurité zero-day associée à la référence CVE-2024-4947 faisant l'objet de cet article.

Comme pour les autres vulnérabilités, Google explique qu'elle est déjà connue par les cybercriminels, car un code d'exploitation a été repéré : "Google sait qu'il existe un programme d'exploitation pour CVE-2024-4947 dans la nature.", peut-on lire dans le bulletin de sécurité. À l'heure actuelle, cette vulnérabilité a déjà été exploitée dans le cadre d'attaques.

La faille de sécurité CVE-2024-4947 correspond à une faiblesse de type "type confusion" présente dans le moteur JavaScript Chrome V8, un composant régulièrement affecté par des vulnérabilités. Cette fois-ci, elle a été découverte par les chercheurs en sécurité Vasily Berdnikov et Boris Larin de Kaspersky.

Comment se protéger de la CVE-2024-4947 ?

Les utilisateurs de Google Chrome sur Windows, macOS et Linux sont affectés par cette faille de sécurité. Google a publié la version 125.0.6422.60 pour Linux et les versions 125.0.6422.60/.61 pour Mac et Windows, ainsi que la version 124.0.6367.201 pour Linux. Il est à noter que cette mise à jour corrige également trois autres vulnérabilités : CVE-2024-4948 (élevée), CVE-2024-4949 (moyenne), CVE-2024-4950 (faible).

Pour effectuer la mise à jour du navigateur Google Chrome sur votre machine : rendez-vous dans le menu avec les trois points verticaux, puis sous "Aide", cliquez sur "À propos de Google Chrome". Le navigateur effectuera une recherche de mise à jour automatiquement.

C'est déjà la 7ème faille de sécurité zero-day corrigée par Google dans son navigateur Chrome depuis le début de l'année 2024, dont 3 une semaine !

The post CVE-2024-4947 – Une troisième faille zero-day corrigée dans Google Chrome en une semaine ! first appeared on IT-Connect.

Vous utilisez des équipements réseau de chez HPE Aruba Networking ? Alors, vous devriez lire cet article avec attention : plusieurs failles de sécurité critiques ont été corrigées dans le système ArubaOS. Voici ce qu'il faut savoir.

Très populaires en entreprise, les équipements HPE Aruba Networking sont affectés par plusieurs failles de sécurité. L'éditeur a corrigé 10 vulnérabilités dans le système ArubaOS, dont 4 failles de sécurité critiques qui méritent une attention particulière. En exploitant ces vulnérabilités, un attaquant pourrait exécuter du code à distance en tant qu'utilisateur privilégié sur l'équipement vulnérable.

Voici la liste des vulnérabilités critiques, toutes associées à un score CVSS de 9.8 sur 10.

• CVE-2024-26305
• CVE-2024-26304
• CVE-2024-33511
• CVE-2024-33512

Il s'agit de faiblesses de type "Buffer overflow" exploitables par l'intermédiaire du protocole PAPI. Ceci implique que l'attaquant puisse communiquer avec l'attaquant sur le port 8211 en UDP afin d'envoyer une requête spéciale sur l'interface PAPI (Performance Application Programming Interface).

Aruba : quels sont les produits et versions affectés ?

Dans son bulletin de sécurité, Aruba évoque les gammes de produits suivantes :

• Mobility Conductor (anciennement Mobility Master)
• Mobility Controllers
• Aruba Central pour gérer les passerelles WLAN et les passerelles SD-WAN

Les versions suivantes d'ArubaOS sont vulnérables :

• ArubaOS 10.5.x.x : 10.5.1.0 et antérieure
• ArubaOS 10.4.x.x : 10.4.1.0 et antérieure
• ArubaOS 8.11.x.x : 8.11.2.1 et antérieure
• ArubaOS 8.10.x.x : 8.10.0.10 et antérieure

Il est également précisé que certaines versions vulnérables ne sont plus prises en charge et qu'elles ne recevront pas de mises à jour de sécurité. Voici la liste des versions en question :

• ArubaOS 10.3.x.x
• ArubaOS 8.9.x.x
• ArubaOS 8.8.x.x
• ArubaOS 8.7.x.x
• ArubaOS 8.6.x.x
• ArubaOS 6.5.4.x
• SD-WAN 8.7.0.0-2.3.0.x
• SD-WAN 8.6.0.4-2.2.x.x

Comment se protéger ?

Pour se protéger de ces vulnérabilités, le système ArubaOS doit être mis à jour vers une version qui contient les correctifs de sécurité. Voici les versions à installer pour vous protéger :

• ArubaOS 10.6.x.x : 10.6.0.0 et supérieur
• ArubaOS 10.5.x.x : 10.5.1.1 et supérieur
• ArubaOS 10.4.x.x : 10.4.1.1 et supérieur
• ArubaOS 8.11.x.x : 8.11.2.2 et supérieur
• ArubaOS 8.10.x.x : 8.10.0.11 et supérieur

Sur ArubaOS 8.X, il existe une solution alternative autre que le patch de sécurité. Elle consiste à configurer la fonction de sécurité "Enhanced PAPI" pour ne pas utiliser la clé par défaut.

Pour le moment, rien n'indique que ces vulnérabilités soient exploitées dans le cadre de cyberattaques.

Source

The post Ces 4 failles de sécurité critiques exposent le matériel Aruba à des attaques par exécution de code à distance first appeared on IT-Connect.

Vous utilisez un NAS QNAP ? Veillez à ce qu'il soit à jour, car plusieurs failles de sécurité critiques ont été corrigées ! Elles représentent une menace sérieuse pour votre NAS et vos données. Faisons le point.

En mars dernier, nous avons déjà publié un article au sujet de 3 failles de sécurité critiques découvertes dans le système d'exploitation utilisé par les NAS QNAP. Il s'avère que 3 autres vulnérabilités sont désormais mentionnées dans ce bulletin de sécurité et qu'une autre alerte mentionne 2 failles de sécurité découvertes à l'occasion d'une édition de la compétition de hacking Pwn2Own. L'exploitation de ces vulnérabilités peut permettre à un attaquant d'exécuter des commandes sur le NAS, ce qui pourrait lui permettre de compromettre l'appareil.

Commençons par évoquer les trois failles de sécurité critiques évoquées sur cette page :

• CVE-2024-27124 :

Cette vulnérabilité d'injection de commande pourrait permettre à des utilisateurs d'exécuter des commandes sur le système du NAS, à distance, via le réseau. Elle est associée à un score CVSS de 7.5 sur 10.

• CVE-2024-32764 :

Cette vulnérabilité donne accès à une fonction critique du système sans authentification et pourrait permettre à des utilisateurs standards (sans privilèges élevés) d'accéder à certaines fonctions et de les utiliser, à distance. Ceci est lié au service myQNAPcloud Link. Elle est associée à un score CVSS de 9.9 sur 10.

"Un défaut de contrôle de l’authentification dans myQNAPcloud Link permet à un attaquant non authentifié, en envoyant des requêtes spécifiquement forgées, d’accéder à certaines fonctionnalités critiques.", peut-on lire sur le site du CERT Santé.

• CVE-2024-32766 :

Cette vulnérabilité d'injection de commande pourrait permettre à un attaquant non authentifié d'exécuter des commandes arbitraires sur le système du NAS, à distance, via le réseau. Elle est associée à un score CVSS de 10 sur 10.

En plus de ces 3 vulnérabilités, voici 2 autres failles de sécurité importantes patchées il y a quelques jours par QNAP :

• CVE-2023-51364, CVE-2023-51365 :

Il s'agit de deux vulnérabilités de type "path transversal" permettant à un attaquant de lire le contenu de fichiers protégés, et potentiellement, d'exposer des données sensibles via le réseau. Elles sont associées à un score CVSS de 8.7 sur 10.

Quelles sont les versions affectées ?

Voici la liste des versions affectées, pour chaque système :

• QTS 5.x et QTS 4.5.x
• QuTS hero h5.x et QuTS hero h4.5.x
• QuTScloud c5.x
• myQNAPcloud 1.0.x
• myQNAPcloud Link 2.4.x

Comment se protéger ?

Pour vous protéger de l'ensemble de ces failles de sécurité, vous devez utiliser l'une de ces versions :

• QTS 5.1.4.2596 build 20231128 et supérieur
• QTS 4.5.4.2627 build 20231225 et supérieur 
• QuTS hero h5.1.3.2578 build 20231110 et supérieur 
• QuTS hero h4.5.4.2626 build 20231225 et supérieur 
• QuTScloud c5.1.5.2651 et supérieur 
• myQNAPcloud 1.0.52 (2023/11/24) et supérieur
• myQNAPcloud Link 2.4.51 et supérieur

En complément, veillez à utiliser un mot de passe robuste sur vos comptes d'accès au NAS (activez le MFA également), sauvegardez régulièrement vos données et limitez les accès au NAS notamment l'exposition de l'appareil sur Internet.

À vos mises à jour !

The post Ces failles de sécurité peuvent permettre la compromission de votre NAS QNAP ! first appeared on IT-Connect.

Mercredi 24 avril 2024, l'éditeur Teclib a publié une nouvelle version de la solution GLPI : 10.0.15. Au-delà de corriger quelques bugs, cette mise à jour corrige également deux failles de sécurité ! Faisons le point.

Deux vulnérabilités de type "injection SQL" ont été découvertes dans l'application GLPI. Elles sont toutes les deux considérées comme importantes :

• CVE-2024-31456 : injection SQL à partir de la fonction de recherche dans la carte (nécessite d'être authentifié)
• CVE-2024-29889 : prise de contrôle d'un compte via une injection SQL présente dans la fonction de recherche sauvegardée

Une injection SQL peut permettre à un attaquant d'exécuter des requêtes SQL arbitraires dans la base de données de l'application. Cela peut lui permettre de lire, modifier ou supprimer des données dans l'application, et donc, de compromettre l'application.

Les versions 10.0.0 à 10.0.14 de GLPI sont affectés par ces vulnérabilités. Vous pouvez récupérer cette nouvelle version sur le GitHub du projet GLPI, via cette page, et consulter l'article publié sur le site de Teclib pour en savoir plus sur cette nouvelle version.

Les dernières mises à jour de GLPI

Voici un historique des dernières versions mineures les plus récentes de GLPI 10, avec de nombreuses failles de sécurité découvertes et corrigées :

• GLPI 10.0.14 - Sortie le 14 mars 2024 - Cette version corrige un bug gênant introduit par la version 10.0.13
• GLPI 10.0.13 - Sortie le 13 mars 2024 - Cette version corrige 6 failles de sécurité
• GLPI 10.0.12 - Sortie le 1er février 2024 - Cette version corrige 2 failles de sécurité
• GLPI 10.0.11 - Sortie le 11 décembre 2023 - Cette version corrige 3 failles de sécurité
• GLPI 10.0.10 - Sortie le 25 septembre 2023 - Cette version corrige 10 failles de sécurité

Comment effectuer la mise à jour de GLPI ?

Si vous avez besoin d'aide pour mettre à jour GLPI, référez-vous à notre tutoriel via le lien ci-dessous :

• Comment mettre à jour GLPI ?

The post Passez sur GLPI 10.0.15 pour vous protéger de 2 failles de sécurité de type « injection SQL » first appeared on IT-Connect.

Utilisée par des centaines de milliers de sites WordPress, l'extension Forminator contient une faille de sécurité critique permettant à un attaquant de charger un fichier malveillant sur le serveur où est hébergé le site web. Faisons le point sur cette menace.

L'extension Forminator, développée par WPMU DEV, sert à ajouter des formulaires de différents types à WordPress, dont des formulaires de paiements, ainsi que des quiz et des sondages.

Le CERT du Japon a mis en ligne un bulletin d'alerte au sujet de la faille de sécurité critique CVE-2024-28890 présente dans Forminator et associée à un score CVSS v3 de 9.8 sur 10. "Un attaquant distant peut obtenir des informations sensibles en accédant aux fichiers du serveur, modifier le site qui utilise le plugin et provoquer un déni de service.", peut-on lire.

Par ailleurs, ce n'est pas la seule faille de sécurité évoquée, puisqu'il y en a deux autres avec une sévérité inférieure : la CVE-2024-31077, une injection SQL qui implique d'être administrateur du site WordPress pour être exploitée, et la CVE-2024-31857 (une vulnérabilité de type XSS).

Comment se protéger ?

Pour se protéger de ces trois failles de sécurité, vous devez installer Forminator 1.29.3. Cette version a été publiée le 8 avril 2024. L'extension Forminator compte plus de 500 000 installations actives, et depuis le 8 avril 2024, elle a été téléchargée environ 180 000 fois. Ce qui signifierait que la mise à jour de sécurité n'a pas été déployé sur environ 320 000 sites WordPress et qu'ils sont vulnérables à une attaque.

Pour le moment, rien n'indique qu'elles sont exploitées dans le cadre d'attaques. Néanmoins, cela pourrait évoluer compte tenu de la popularité de cette extension et du nombre de cibles potentielles.

En résumé : si vous utilisez l'extension Forminator sur votre site WordPress, vous devez passer sur la version 1.29.3 le plus rapidement possible pour vous protéger de ces 3 vulnérabilités.

Source

The post Environ 300 000 sites WordPress menacés par une faille de sécurité critique dans Forminator ! first appeared on IT-Connect.

Le mardi 9 avril 2024, Microsoft a dévoilé son nouveau Patch Tuesday qui va permettre de corriger 150 failles de sécurité, ainsi que 2 zero-day ! Faisons le point sur ce "très gros Patch Tuesday" d'avril 2024 !

Même si ce Patch Tuesday corrige 150 vulnérabilités dans les différents produits de Microsoft, il n'y a que 3 failles de sécurité critiques alors que 67 d'entres elles permettent une exécution de code à distance (RCE). Les trois failles de sécurité critiques ont été corrigées dans Microsoft Defender for IoT : CVE-2024-29053, CVE-2024-21323 et CVE-2024-21322.

Bien d'autres produits et services de chez Microsoft sont concernés par ce nouveau Patch Tuesday, notamment Azure (Azure Arc, Azure Migrate, Azure Monitor, Azure SDK, etc.), Microsoft Office (Outlook, Excel, SharePoint), le rôle "Serveur DNS" (7 vulnérabilités), le rôle "Hyper-V", SQL Server, le rôle "Serveur DHCP" (4 vulnérabilités) et Windows (BitLocker, Windows Defender Credentials Guard, Kerberos, le composant LSASS, le Secure Boot ou encore le noyau de Windows). De plus, Microsoft a corrigé 5 failles de sécurité dans son navigateur Edge.

Deux failles de sécurité zero-day

Microsoft a corrigé deux failles de sécurité zero-day et il s'avère qu'elles sont activement exploitées dans des attaques de logiciels malveillants. Pour en savoir plus sur cette vulnérabilité, vous pouvez lire cet article où nous apportons des détails supplémentaires :

• Avril 2024 - Deux zero-day corrigées dans Windows (CVE-2024-26234 et CVE-2024-29988)

CVE-2024-26234 - Vulnérabilité dans le pilote de Proxy de Windows (spoofing)

La faille de sécurité CVE-2024-26234 a été remontée à Microsoft par Christopher Budd de chez Sophos. D'ailleurs, Sophos a indiqué que cette vulnérabilité était associée à un pilote malveillant étant signé avec un certificat "Microsoft Hardware Publisher" valide, ce qui lui permet d'être approuvé par le système d'exploitation Windows.

Ce pilote malveillant et signé a été utilisé dans le cadre de cyberattaques pour déployer une porte dérobée (backdoor) sur les machines compromises. Sans surprise, compte tenu de l'origine de ce problème de sécurité, toutes les versions de Windows et Windows Server sont affectées (à partir de Windows Server 2008), y compris les plus récentes.

CVE-2024-29988 - Vulnérabilité dans la fonction SmartScreen de Windows (bypass)

Microsoft semble avoir des difficultés à corriger une faiblesse de longue date dans la fonction de sécurité SmartScreen de Windows. En effet, Microsoft a déjà publié plusieurs correctifs, mais à chaque fois, le patch parvient à être contourné. Ainsi, la faille de sécurité CVE-2024-29988 permet de bypasser le correctif CVE-2024-21412, qui lui-même permettait de bypasser le correctif CVE-2023-36025. Ceci permet d'ouvrir des fichiers malveillants sur la machine sans déclencher le filtre SmartScreen, c'est-à-dire qu'il n'y a pas de fenêtre d'avertissement pour demander à l'utilisateur de confirmer l'ouverture du fichier.

Le groupe de pirates Water Hydra a fait usage de cette vulnérabilité dans SmartScreen dans le cadre de cyberattaques ayant pour objectif d'infecter l'appareil des victimes avec le malware DarkMe, qui est un cheval de Troie d'accès à distance (RAT).

Versions affectées : Windows 10 Version 1809 et versions supérieures et Windows Server 2019 et versions supérieures.

Les mises à jour pour Windows 10 et Windows 11

Pour en savoir plus sur les nouvelles mises à jour pour Windows 10 et Windows 11, retrouvez nos deux articles :

• Mise à jour Windows 10 d'avril 2024
• Mise à jour Windows 11 d'avril 2024

Source

The post Patch Tuesday – Avril 2024 : 150 vulnérabilités corrigées, ainsi que 2 failles zero-day ! first appeared on IT-Connect.

Environ 16 500 passerelles Ivanti Connect Secure (ICS) et Policy Secure exposées sur Internet pourraient être vulnérable à une faille de sécurité corrigée la semaine dernière par l'éditeur Ivanti ! Faisons le point sur cette menace.

Une nouvelle fois, certains produits de chez Ivanti sont impactés par des failles de sécurité importantes. Une faiblesse de type "heap overflow" est présente dans le composant IPSec d'Ivanti Connect Secure 9.x et 22.x et Ivanti Policy Secure. Il y a deux références CVE associées : CVE-2024-21894 et CVE-2024-22053. En exploitant ces failles de sécurité, un attaquant non authentifié pourrait déclencher un déni de service sur la passerelle Ivanti, voire même effectuer une exécution de code à distance grâce à une requête spécialement conçue, en fonction de la CVE exploitée.

D'après The Shadow Server, il y a actuellement environ 16 500 passerelles Ivanti potentiellement vulnérables à ces failles de sécurité, au niveau mondial. Si l'on regarde la carte publiée, on constate qu'il y a 926 instances exposées en France, ainsi que 329 au Canada, 258 en Belgique et 248 en Suisse. Près d'un tiers de ces instances sont situées aux États-Unis (4 686).

Pour le moment, cette vulnérabilité ne serait pas exploitée massivement par les cybercriminels, mais compte tenu de l'actualité récente autour des solutions Ivanti, il est préférable d'installer le patch dès que possible. En effet, il y a eu plusieurs failles de sécurité découvertes et les cybercriminels en ont très largement profité pendant plusieurs semaines. Voici nos précédents articles sur le sujet :

• Solutions Ivanti : les pirates exploitent massivement une nouvelle faille zero-day (CVE-2024-21893) !
• Cyberattaque : la CISA, agence américaine de la cybersécurité, victime des failles Ivanti !

Cette fois-ci, en plus des vulnérabilités CVE-2024-21894 et CVE-2024-22053, Ivanti a corrigé deux autres failles de sécurité : CVE-2024-22052 et CVE-2024-22023. Vous pouvez vous référer à ce bulletin de sécurité mis en ligne par Ivanti pour en savoir plus.

Source

The post Plus de 16 000 passerelles VPN Ivanti vulnérables à une nouvelle faille de sécurité ! first appeared on IT-Connect.

Un nouvel ensemble de vulnérabilités baptisé "CONTINUATION Flood" a été découvert dans le protocole HTTP/2 ! Dans certains cas, l'exploitation de ces vulnérabilités permet un déni de service sur le serveur web pris pour cible, à partir d'une seule connexion TCP. Voici ce qu'il faut savoir !

Le chercheur en sécurité Barket Nowotarski a fait la découverte des vulnérabilités "CONTINUATION Flood" présente dans HTTP/2, une version du protocole HTTP standardisée en 2015. S'il a choisi ce nom, ce n'est pas un hasard, car ces faiblesses sont liées à une mauvaise gestion des trames HTTP/2 CONTINUATION dans de nombreuses implémentations du protocole HTTP/2. Ces trames sont utilisées pour assembler le flux de données correspondant à différents blocs de messages du protocole HTTP/2, notamment pour l'en-tête.

Lorsque les données ne sont pas correctement limitées ou vérifiées, un attaquant peut exploiter ces vulnérabilités en envoyant des trames extrêmement longues, sans définir l'indicateur "END_HEADERS", ce qui va permettre d'épuiser les ressources du serveur cible et engendrer un déni de service. Dans certains cas, une seule connexion TCP en HTTP/2 peut suffire pour saturer le serveur en mémoire vive et le faire planter.

"Les implémentations sans timeout pour les en-têtes ne nécessitaient qu'une seule connexion HTTP/2 pour faire planter le serveur.", peut-on lire dans le rapport de Barket Nowotarski.

Par ailleurs, il est important de préciser que le protocole HTTP/2 est encore largement utilisé. "Selon Cloudflare Radar, le trafic HTTP/2 représente environ 60 % de l'ensemble du trafic HTTP humain (données excluant les robots)", précise Barket Nowotarski, avec un graphe à l'appui.

CONTINUATION Flood, un ensemble de 9 failles de sécurité

Le CERT/CC a également publié un rapport au sujet de l'ensemble de vulnérabilités CONTINUATION Flood. Il référence 9 failles de sécurité correspondantes à cette faiblesse dans différentes implémentations : la bibliothèque nghttp2, AMPHP, Apache HTTP, Arista Networks, Red Hat, SUSE Linux, Node.js, Envoy (version 1.29.2 ou antérieure), ainsi que le langage de programmation Go.

À la fin de l'article du CERT/CC, il y a un tableau récapitulatif, et nous pouvons voir que le statut est actuellement inconnu pour plusieurs dizaines d'implémentations. Voici un extrait :

Les CVE suivantes sont associées à CONTINUATION Flood : CVE-2024-27983, CVE-2024-27919, CVE-2024-2758, CVE-2024-2653, CVE-2023-45288, CVE-2024-28182, CVE-2024-27316, CVE-2024-31309, CVE-2024-30255.

Si vous utilisez Apache2, sachez que la vulnérabilité CVE-2024-27316, correspondante à CONTINUATION Flood, a été corrigée dans Apache 2.4.59 publiée ce jeudi 4 avril 2024 (voir cette page).

Ceci n'est pas sans rappeler la faille de sécurité "Rapid Reset" présente dans le protocole HTTP/2 et révélée en octobre 2023. À l'époque, elle avait permis de déclencher des attaques DDoS records !

The post CONTINUATION Flood : une nouvelle vulnérabilité dans HTTP/2 expose les serveurs web à des attaques DoS first appeared on IT-Connect.

Google Chrome bénéficie d'une nouvelle mise à jour de sécurité pour combler une faille zero-day découverte à l'occasion de l'événement Pwn2Own 2024, ainsi que deux autres vulnérabilités importantes ! Faisons le point !

Si vous utilisez Google Chrome, oubliez les versions 123.0.6312.86/.87 pour Windows et Mac, ainsi que la version 123.0.6312.86 pour Linux ! Google a mis en ligne de nouvelle version pour corriger 3 vulnérabilités, dont une faille de sécurité zero-day découverte et exploitée le 22 mars 2024 par Edouard Bochin et Tao Yan de Palo Alto Networks, à l'occasion de la compétition de hacking Pwn2Own 2024 de Vancouver.

Associée à la référence CVE-2024-3159, cette faille de sécurité élevée correspond à une faiblesse de type "out-of-bounds read" est présente dans le moteur JavaScript Chrome V8. Elle pourrait être exploitée à partir d'une page HTML dans le but d'accéder à des informations sensibles ou de déclencher un plantage sur l'ordinateur de la victime. Grâce à la découverte de cette vulnérabilité présente aussi dans Microsoft Edge, Edouard Bochin et Tao Yan ont été récompensés par une belle somme : 42 500 dollars.

Par ailleurs, Google a corrigé deux autres failles de sécurité importantes découvertes en mars dernier : CVE-2024-3156 et CVE-2024-3158. La première est également présente dans le moteur JavaScript Chrome V8 tandis que la seconde est présente dans le gestionnaire de favoris.

Comment se protéger ?

Google a publié de nouvelles versions stables pour son navigateur Chrome. Ainsi, vous devez mettre à jour Google Chrome pour passer sur les versions 123.0.6312.105/.106/.107 pour Windows et Mac et 123.0.6312.105 pour Linux. Ces versions sont en cours de diffusion à l'échelle mondiale.

Pour rappel, mardi 26 mars 2024, Google avait déjà publié de nouvelles versions pour Chrome dans le but de corriger 7 vulnérabilités, dont 2 failles de sécurité zero-day découvertes lors du Pwn2Own 2024 de Vancouver. Donc, ces nouvelles versions vous permettent aussi de vous protéger contre ces vulnérabilités.

Retrouvez plus d'informations dans le changelog de Google Chrome.

Source

The post Dans Chrome, Google a corrigé une nouvelle faille zero-day découverte et exploitée au Pwn2Own 2024 first appeared on IT-Connect.