
En début de semaine, le fabricant QNAP a corrigé une faille de sécurité critique qui affecte ses NAS ! Les utilisateurs sont invités à installer la mise à jour en urgence. Faisons le point !
Associée à la référence CVE-2022-27596, cette faille de sécurité critique hérite d'un score CVSS de 9,8 sur 10 ! De type injection SQL, les pirates peuvent exploiter cette vulnérabilité à distance sur les NAS QNAP exposés sur Internet et non à jour ! D'après les détails techniques mis en ligne, cette faille de sécurité serait assez facile à exploiter et elle ne nécessite ni d'action de la part d'un utilisateur, ni d'être authentifié sur le NAS.
Au sein du bulletin de sécurité de QNAP, on peut lire : "Une vulnérabilité a été signalée sur les appareils QNAP exécutant QTS 5.0.1 et QuTS hero h5.0.1. Si elle est exploitée, cette vulnérabilité permet à des attaquants distants d'injecter du code malveillant." - Ce n'est donc pas une question de modèles, mais de version de système.
Pour se protéger, les utilisateurs doivent installer une version patchée, à savoir à minima :
Suite à la découverte de cette vulnérabilité, les chercheurs en sécurité de Censys ont mis en ligne un rapport révélant qu'il y avait plusieurs dizaines de milliers de NAS QNAP vulnérables à la CVE-2022-27596.
Censys a analysé 67 415 NAS QNAP, et sur ce total, il a été possible d'obtenir le numéro de version du système sur 30 520 appareils. Sur ce total de 30 520 appareils, il y en a seulement 557 qui sont protégés contre cette faille de sécurité. Autrement dit, il y a plus de 29 000 NAS QNAP exposés sur Internet et vulnérables à la CVE-2022-27596 !
Les NAS, et en particulier ceux de QNAP, sont régulièrement pris pour cible dans le cadre de campagnes d'attaques par ransomware. Il est clair que cette vulnérabilité représente une nouvelle opportunité pour les cybercriminels, donc si vous avez un NAS QNAP exposé sur Internet, n'attendez pas avant d'effectuer la mise à jour. Même si pour le moment, QNAP estime que cette vulnérabilité n'est pas activement exploitée.
Si vous ne pouvez pas appliquer la mise à jour, faites en sorte que votre NAS ne soit pas accessible depuis Internet (pas d'UPNP, ni de règle de redirection de ports).
L'article CVE-2022-27596 : cette faille critique affecte plus de 29 000 NAS QNAP est disponible sur IT-Connect : IT-Connect.Abonnez-vous aux newsletters Numerama pour recevoir l’essentiel de l’actualité https://www.numerama.com/newsletter/
Abonnez-vous aux newsletters Numerama pour recevoir l’essentiel de l’actualité https://www.numerama.com/newsletter/
Abonnez-vous aux newsletters Numerama pour recevoir l’essentiel de l’actualité https://www.numerama.com/newsletter/
couv Arc A750
full
couv Arc A750
thumbnail
Abonnez-vous aux newsletters Numerama pour recevoir l’essentiel de l’actualité https://www.numerama.com/newsletter/
Un serveur appartenant à la chaîne de magasins JD Sports a été piraté ! Les cybercriminels ont pu récupérer des informations sur les commandes effectuées par 10 millions de clients ! Faisons le point.
Très populaire au Royaume-Uni, la chaîne de magasins JD Sports est également très présente en France, avec des boutiques un peu partout sur l'hexagone. D'ailleurs, les adeptes de sportwear connaissent très bien JD Sports !
Dans un communiqué adressé par e-mail aux clients concernés, la direction de JD Sports explique que la fuite de données contient des informations pour des commandes passées entre novembre 2018 et octobre 2020. C'est en accédant à un serveur que les cybercriminels ont pu récupérer ces données.
Il est temps de répondre à la traditionnelle question "quelles sont les informations contenues dans cette fuite de données ?". Et bien, d'après le communiqué de JD Sports, il y a les informations suivantes : nom et prénom, adresse de livraison, adresse e-mail, numéro de téléphone, détails de la commande, informations sur la facturation et les 4 derniers chiffres du numéro de la carte bancaire !
Il est important de préciser que les cybercriminels n'ont pas eu accès aux mots de passe, et que JD Sports ne stocke pas les informations bancaires en intégralité. Mais bon, par précaution, il est préférable de renouveler votre mot de passe si vous avez un compte JD Sports.
Il est clair qu'avec toutes ces informations, les cybercriminels peuvent imaginer une campagne de phishing pour cibler les clients de JD Sports ! D'autant plus si l'e-mail contient les 4 derniers chiffres du numéro de la carte bancaire utilisé pour passer la commande, cela peut s'avérer particulièrement trompeur. Fort heureusement, il s'agit de commandes particulièrement anciennes donc certaines données sont probablement erronées.
Conscient du risque, la direction de JD Sports alerte les clients concernés : "Nous contactons de manière proactive les clients concernés afin de leur conseiller d'être vigilants face au risque de fraude et d'attaques de phishing".
Soyez vigilants.
L'article Fuite de données chez JD Sports : 10 millions de clients concernés ! est disponible sur IT-Connect : IT-Connect.kv-product-internalssd-980pro-pc
full
kv-product-internalssd-980pro-pc
thumbnail