Ciblage beaucoup plus que publicitaire

L’entreprise de marketing israélienne Discover-Tech a participé à une attaque zéro-clic installant un logiciel espion via des publicités. Elle vise particulièrement les utilisateurs du réseau Starlink, selon des sources de l’agence de presse Reuters.

L’agence de marketing israélienne Discover-Tech, impliquée dans la diffusion d’un logiciel espion via une attaque zéro-clic, est aussi une des entreprises qui enchérissent le plus pour obtenir des publicités sur le réseau Starlink. Ainsi, elle serait en capacité de localiser assez facilement des utilisateurs de ce réseau qui permet à ses utilisateurs de passer à travers les surveillances gouvernementales.

Mi-octobre, on apprenait que Discover-Tech avait mis au point une attaque zéro-clic installant un logiciel espion via la publicité ciblée. Les chercheurs de Citizen Lab et de Cinfiant avaient constaté que des appareils des équipes du média Al Jazeera avaient été choisis pour être infectés avec un logiciel espion attribué à la société Candiru.

En parallèle, des chercheurs de l’entreprise de sécurité Trend Micro publiaient un rapport sur les activités d’un groupe nommé SHADOW-EARTH-79 qui utilise aussi la publicité ciblée pour « suivre et établir le profil de personnes se trouvant dans des zones de conflit, des États soumis à des sanctions et d’autres lieux sensibles à travers le monde ».

Des sources anonymes affirment que Discover-Tech et SHADOW-EARTH-79 sont la même entité

Selon plusieurs sources de Reuters, Discover-Tech est l’entité réelle qui se trouve derrière le groupe SHADOW-EARTH-79. Les chercheurs de l’unité TrendAI de Trend Micro ne citent pas le nom de l’entreprise israélienne : cette unité s’est donné des règles très prudentes concernant l’attribution des menaces cyber qu’elle découvre. Mais six sources ont confirmé à l’agence de presse que Shadow-Earth-79 est le nom de code utilisé par TrendAI pour désigner Discover-Tech.

Selon TrendAI, ce groupe est sur le trafic des adresses IP de Starlink, ce groupe est la deuxième entreprise concernant le nombre d’enchères gagnées pour placer des publicités (12,9%) derrière l’entreprise américaine de marketing ciblé Steelhouse  qui a obtenu 38,4 % des enchères sur une période de 90 jours étudiée.

TrendAI a pu observer que ce groupe avait gagné des enchères publicitaires dans 150 pays concernant le trafic des adresses IP de Starlink. « Certains de ces pays (le Cameroun, la Syrie, le Soudan, la Birmanie et la Libye) sont des pays où Starlink est officiellement interdit ou soumis à des restrictions réglementaires », remarquent-ils dans leur rapport. Mais on peut y voir qu’y figurent aussi la France, l’Italie ou l’Espagne où le groupe est premier enchérisseur concernant les pubs du trafic de Starlink.

Infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale

Concernant les enchères publicitaires sur tout le trafic (et non plus seulement Starlink), selon TrendAI, ce groupe est « le premier enchérisseur dans 49 pays où les données publicitaires font l’objet d’enchères ». « Dans plusieurs cas, il détient une part incroyablement dominante de l’ensemble des enchères, ce qui ne correspond pas à un achat publicitaire concurrentiel normal », ajoutaient les chercheurs en cybersécurité. Ils pointaient notamment son « quasi monopole » en Hongrie, en Israël, en Égypte, en Azerbaïdjan et au Venezuela où le groupe fait entre 72 % et 91 % des offres.

Le rapport de TendAI concluait que « les éléments de preuve recueillis indiquent, avec un niveau de confiance modéré à élevé, que la présence publicitaire de SHADOW-EARTH-79 sert d’infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale ».

Contactées par Reuters, Discover-Tech mais aussi SpaceX n’ont pas répondu aux demandes de commentaires sur le sujet de nos confrères.

En mai dernier, Intelligence Online expliquait qu’une autre entreprise israélienne, Targeteam qui a aussi un bureau à Chypre, allait dévoiler un nouvel outil dédié à la désanonymisation des utilisateurs du système Starlink. Cette entreprise est la « nouvelle aventure business d’un vétéran du secteur cyber israélien et légende de l’export, Ron Zilka », selon nos confrères. De son côté, le média israélien Haaretz parlait de deux entreprises du même pays capables de localiser les terminaux satellitaires de Starlink alors que ce système permet, par exemple, à l’armée ukrainienne de se défendre face à l’envahisseur russe. Mais récemment, le pays de Volodymyr Zelensky a accusé Starlink d’avoir restreint l’accès à Internet de ses forces militaires.

Un paquet ICMP suffit pour exécuter du code avant Secure Boot sur une machine en boot PXE. Voici ce qu'il faut savoir sur la faille UEFI CVE-2026-97631.

Le post Faille UEFI CVE-2026-97631 : un paquet ICMP suffit pour exécuter du code avant le Secure Boot a été publié sur IT-Connect.

Vitesse et précipitation

Une faille de sécurité critique a été découverte dans la plupart des firmwares UEFI utilisés dans les serveurs. Bien qu’elle ne requière pas d’authentification, il faut remplir plusieurs conditions pour l’exploiter, dont l’utilisation du PXE pour le démarrage réseau.

Quand on allume un ordinateur, un petit logiciel est d’abord chargé d’initialiser le matériel et de préparer les conditions au lancement du système d’exploitation. On l’a historiquement appelé « BIOS » (Basic Input/Output System), mais il s’agit depuis longtemps d’un microgiciel (firmware) nommé UEFI (Unified Extensible Firmware Interface). Parmi les fonctions apportées par ce firmware plus moderne, des fonctionnalités réseau en standard.

Dans la grande majorité des cas, les constructeurs n’écrivent pas leur UEFI depuis zéro. Ils se basent sur des travaux existants, en particulier EDK II, une base de code libre maintenue par le projet TianoCore. Presque tous les éditeurs de firmware – dont AMI, Insyde et Phoenix – s’en servent copieusement, y compris Project Mu, une variante renforcée (durcie) d’EDK II maintenue par Microsoft.

Or, c’est dans cette base EDK II que réside la faille.

Un débordement en mémoire

La faille en question, estampillée CVE-2026-97631, réside dans la fonction de démarrage réseau, ou PXE. Quand elle est activée, la machine ne démarre pas sur son disque, elle récupère son système sur un serveur distant. Ce mécanisme est largement utilisé dans les centres de données pour installer ou réinstaller en masse des serveurs.

Pendant ce démarrage réseau, le pilote PXE (NetworkPkg ou UefiPxeBcDxe) attend d’éventuels messages d’erreur ICMP. S’il en reçoit, il les copie dans une zone de mémoire de taille fixe, précisément 504 octets. Il existe deux variantes du code pour le réseau, une pour IPv4, l’autre pour IPv6. C’est là que réside le problème : dans les deux cas, la copie en mémoire continue même si le message d’erreur dépasse les 504 octets. En outre, le pointeur de destination avance sur la base du total cumulé au lieu de la taille du seul fragment copié.

Dans le scénario d’une attaque, un pirate peut donc exploiter ce mécanisme pour écrire un message trop long, avec des octets choisis en dépassement de la zone prévue en mémoire. Rien en amont ne limite la taille du message, renforçant l’ampleur du problème. Le pirate peut donc glisser des instructions dans ces octets, qui seront alors exécutées par le firmware UEFI.

Les conditions d’exploitation

La faille CVE-2026-97631 affiche un score CVSS 4.0 de 9,5 sur 10, soit très près du maximum. Le seul facteur limitant la portée de l’exploitation est l’obligation d’utiliser PXE, ce qui n’arrive que dans des environnements spécifiques, et a priori pas chez le grand public. Autre condition tout de même, il faut connaitre la version exacte du firmware que l’on veut attaquer.

Si ces deux conditions sont remplies, tout ce que le pirate a à faire est d’envoyer un message d’erreur ICMP spécialement conçu pour y glisser des commandes. Aucune authentification n’est nécessaire. De plus, puisque les commandes sont exécutées à un stade très précoce de la chaine de démarrage, ni Secure Boot ni le démarrage mesuré n’ont le temps d’intervenir.

C’est l’accumulation de ces deux éléments – aucune authentification et déclenchement avant tous les mécanismes de sécurité – qui donne son score de gravité à la faille. S’il parvient à exploiter la faille, le pirate a même le choix : se servir de la corruption mémoire pour provoquer une exception processeur et le blocage du démarrage, ou l’exécution du code qui aura alors le niveau de privilège le plus élevé. Même si ce code ne survit pas lui-même au redémarrage, il peut être utilisé pour installer des composants persistants.

Une divulgation « ratée »

La faille a été découverte par Alex Matrosov d’Anthropic et Dan Holmes-Mitra de Google, qui ont également fourni la solution recommandée. On ne sait pas quand cette découverte a eu lieu, mais la communication de l’équipe de TianoCore a entrainé une réservation de l’identifiant CVE le 24 septembre.

En théorie, les détails d’une telle vulnérabilité restent secrets jusqu’à ce que ces correctifs soient disponibles, mais il y a eu une erreur. Ars Technica parle de « divulgation ratée » : AMI a publié fin septembre une demande de modification publique qui décrivait la faille et contenait le correctif. Alex Matrosov et Dan Holmes-Mitra s’en sont aperçus, ont prévenu TianoCore, qui a alors décidé de rendre public l’avis de sécurité le 22 octobre.

En outre, bien que le correctif ait effectivement été proposé, les différentes parties s’étaient mises d’accord pour attendre une publication des détails en janvier. L’erreur d’AMI a précipité le calendrier, car le délai devait servir aux éditeurs de firmwares à proposer de nouvelles moutures. Il faut désormais surveiller ce que des entreprises comme Dell, Lenovo, SuperMicro ou encore HPE publient. Selon les cas, le mécanisme de mise à jour peut être plus ou moins complexe, mais il réclame dans tous les cas un temps d’immobilisation du serveur.

Les firmwares concernés sont a priori très nombreux, sur la base du code vulnérable d’EDK II. Ars Technica a interrogé Intel et Arm sur la portée du problème, les deux entreprises affirmant que leurs produits ne sont pas concernés. Nos confrères indiquent cependant que l’une comme l’autre utilisent amplement EDK II comme base de référence. Dans le cas d’Intel, le dépôt GitHub pour les binaires FSP (Firmware Support Package) mentionne clairement EDK II et TianoCore. Même chose pour Arm. D’autres entreprises comme AMD, Microsoft et Amazon n’ont pas répondu aux questions de nos confrères, mais elles sont très probablement concernées aussi.

La méfiance est donc de mise. Il est recommandé de dresser l’inventaire des machines utilisant PXE. Si parmi elles certaines l’ont activé sans l’utiliser, mieux vaut le désactiver pour supprimer la surface d’attaque. Si la fonction est nécessaire, il est recommandé de garder le trafic de démarrage sur un segment isolé du réseau, de surveiller les pages de support des constructeurs ou des éditeurs impliqués et de filtrer les messages ICMP inattendus.

Apprenez pourquoi le DNS est un canal d'exfiltration puissant pour les cybercriminels, et les mesures pour le détecter et le bloquer sur votre infrastructure.

Le post Exfiltration DNS : comprendre, détecter et bloquer un canal de fuite discret a été publié sur IT-Connect.

Une faille de sécurité critique située dans le composant CDP Coordinator a été patchée dans Veeam Backup & Replication 13 : CVE-2026-108142. Voici les patchs.

Le post Veeam Backup & Replication 13 (CVE-2026-108142) : une faille critique exploitable sans authentification a été publié sur IT-Connect.

AuthMask (CVE-2026-80097) : une faille dans Microsoft Authenticator laissait une appli Android sans permission accéder à votre compte Microsoft 365.

Le post Microsoft Authenticator : la faille AuthMask offrait un accès à votre compte Microsoft 365 a été publié sur IT-Connect.

Microsoft a publié des mises à jour hors bande pour Windows 11 afin de retirer 7 certificats eMudhra sur les postes Windows coupés d'Internet, mais pas que.

Le post Windows : ces mises à jour hors bande éliminent les certificats de l’autorité eMudhra a été publié sur IT-Connect.

Born to kill's bills

Devenu secrétaire adjoint à la Défense de Trump, le milliardaire Steve Feinberg a d’abord annoncé vouloir réformer la façon dont le budget du Pentagone (mille milliards de dollars) serait dépensé. Il a ensuite créé une agence secrète de sabotage « dotée de ses propres pouvoirs en matière de marchés publics », au grand dam du Commandement des opérations spéciales et de l’US Cyber Command dont elle rogne les missions et budgets. Le fonds d’investissement qu’il avait créé a par ailleurs d’ores et déjà reçu des fonds du Pentagone.

En décembre 2024, Mike Waltz, le conseiller à la sécurité nationale de la future administration Trump, déplorait que les États-Unis se soient surtout concentrés sur leurs moyens de cyberdéfense, au détriment de ses capacités cyberoffensives.

En mars 2026, l’administration Trump nommait à la tête de la National Security Agency (NSA) et de l’U.S. Cyber Command (USCYBERCOM, le bras armé de la NSA et de l’armée US) Joshua M. Rudd, un général sans expertise ni compétence particulière en matière de renseignement technique ni d’informatique.

Ancien patron des opérations spéciales du Pacifique, son profil de « chef de guerre » rompu au combat semblait par contre pouvoir contribuer à la montée en puissance des capacités cyberoffensives de l’US Cyber Command, que l’administration Trump appelait de ses vœux.

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »
• L’administration Trump nomme à la tête de la NSA un général sans compétence cyber

Un programme voulu par un milliardaire du secteur du capital-investissement

POLITICO vient de son côté de révéler que le Pentagone a discrètement créé en avril dernier une nouvelle agence d’élite. La mission de ce « Technology Support Office » (TSO) : perturber et saboter en secret les programmes technologiques étrangers considérés comme des menaces pour la supériorité militaire américaine.

TSO témoignerait de la volonté du département de la Guerre états-unien d’intensifier toute une série d’activités secrètes et agressives à l’étranger, explique POLITICO, qui précise en avoir discuté avec 12 actuels et anciens officiels.

Sa création avait été poussée par Steve Feinberg, un milliardaire du secteur du capital-investissement et ancien président du Conseil consultatif du renseignement de la Maison Blanche sous le premier mandat de Donald Trump, devenu secrétaire adjoint à la Défense en mars 2025.

Son conseiller principal au Pentagone, Tom Rakusan, aurait également joué un rôle actif dans la mise en place de TSO. Vétéran de longue date des services clandestins de la CIA, il travaillait jusqu’à récemment au sein de la société de capital-investissement de M. Feinberg, où il se consacrait aux technologies émergentes.

Cyberattaques, perturbations de la supply chain et opérations de désinformation

TSO résulterait de la fusion de deux programmes de renseignement classifiés du Pentagone qui menaient, depuis 2023, des opérations clandestines similaires de sabotage technologique à plus petite échelle.

L’objectif serait d’intensifier ce type d’actions, « pouvant notamment inclure des cyberattaques, des perturbations de la chaîne d’approvisionnement et des opérations de désinformation ». Et ce, afin de gagner du temps ou d’empêcher les adversaires d’accéder à des technologies de défense critiques susceptibles de menacer l’armée américaine « en cas de conflit majeur », voire de les saboter à distance, résume POLITICO :

« Le TSO est composé d’ingénieurs, d’agents des forces spéciales et d’officiers du renseignement ; ses missions vont de la conception d’outils de piratage sur mesure à la planification d’opérations de diversion sophistiquées visant à inciter les adversaires à installer des composants défectueux — probablement conçus par le TSO — dans des plates-formes d’armement étrangères stratégiques. »

En réponse à une série de questions concernant TSO et les détails de cette affaire, Jacob Bliss, porte-parole adjoint du Pentagone, a répondu à POLITICO que « cette interrogation semble reposer sur des informations qui sont tout simplement fausses. La personne qui vous transmet ces allégations est soit très mal informée, soit cherche délibérément à vous induire en erreur pour colporter ses fantasmes. »

Une indépendance mal vue par les forces spéciales et l’US Cyber Command

POLITICO, qui souligne que « les détails de ses activités, les grandes lignes de sa mission et les raisons pour lesquelles ses opérations sont entourées de secret », a cela dit appris qu’après avoir initialement envisagé de rattacher le TSO à l’US Cyber Command, le Pentagone a finalement préféré créer une nouvelle agence « dotée de son propre budget et de ses propres pouvoirs en matière de marchés publics », afin de pouvoir « intégrer plus rapidement les technologies de pointe issues du secteur privé » :

« Au-delà des opérations offensives, le TSO s’attachera également à coordonner l’utilisation des technologies et à réduire les formalités administratives pour les sous-traitants du secteur de la défense, qui doivent composer avec un dédale de programmes de renseignement du Pentagone fortement cloisonnés. »

Trois des sources de POLITICO soulignent que ce choix avait irrité plusieurs officiels du Pentagone, au point que le Commandement des opérations spéciales et l’US Cyber Command s’y seraient tous deux opposés, de crainte que TSO n’entame leurs propres budgets.

Tout en soutenant la mission de la TSO, plusieurs des interlocuteurs de POLITICO craignent cela dit que le secret qui entoure ses activités n’encourage les dirigeants du Pentagone à lancer des missions bafouant le droit international, ou à attribuer des contrats classifiés à des alliés politiques.

Un risque de conflits d’intérêts avec les fonds d’investissement qu’il avait créés

Lors de sa nomination, les démocrates avaient en effet souligné les risques de conflits d’intérêts, les sociétés de capital-investissement et de capital-risque que dirigeait Feinberg avant de rejoindre le département de la Guerre détenant toutes deux des participations importantes dans des entreprises de technologie de défense susceptibles d’entrer en concurrence pour remporter des marchés du Pentagone.

Un an après une première fuite, la Fédération française de tir a de nouveau été piratée : 64 000 photos d'identité et près de 19 000 documents dérobés.

Le post Photos d’identité, certificats : la Fédération française de tir piratée pour la deuxième fois en un an a été publié sur IT-Connect.

La faille Brotli CVE-2026-111497 dépasse Node.js : Python, .NET et Linux sont aussi touchés. Voici comment se protéger de cette vulnérabilité.

Le post Broccoli2Shell : la faille Brotli de Node2Shell touche aussi Python, .NET et Linux a été publié sur IT-Connect.

WPAD est activé par défaut sous Windows et peut servir de vecteur d'attaque. Comprenez le protocole, ses risques réels en 2026 et désactivez-le par GPO.

Le post WPAD sous Windows : comprendre le protocole, ses risques de sécurité et le désactiver par GPO a été publié sur IT-Connect.

Avec Tailworm, Erica Windisch a publié 11 failles non corrigées dans Tailscale et Headscale, dont un accès root via Tailscale SSH. Voici comment vous protéger.

Le post Tailworm : 11 failles non corrigées dans Tailscale, dont un accès root via Tailscale SSH a été publié sur IT-Connect.

La Fédération française de tir (FFTir) a indiqué le 22 octobre dernier à ses adhérents avoir été victime d’une nouvelle intrusion dans ses systèmes informatiques. Elle précise que l’attaquant a réussi à récupérer des données personnelles liées à ses licenciés pratiquant le tir sportif.

« Ce qui a été récupéré dépend de chacun. Pour la plupart des licenciés, actuels et anciens, il s’agit du nom, du prénom, du club, de la catégorie d’âge et, le cas échéant, du grade Cibles Couleurs avec sa date de validation et de la mention d’une pratique handisport. L’attaquant a aussi récupéré environ 64 000 photos d’identité et près de 19 000 documents déposés par des licenciés dans leur espace, dont des certificats d’aptitude à la pratique du tir sportif », écrit la Fédération dans son courrier aux licenciés, également publié sur son site web.

Si la Fédération indique que le « dossier complet » de 55 licenciés a été copié, elle se veut rassurante concernant les informations relatives à la détention d’armes à feu :

« Aucune information sur la possession d’armes n’a été touchée : la Fédération ne détient pas ces informations. Vos mots de passe ne sont pas concernés. Nous rappelons également qu’il n’y a aucune donnée bancaire dans les outils ».

La Fédération précise le calendrier de cette attaque qu’elle présente comme « préparée ». D’après son communiqué, l’attaquant a réussi à se connecter le 12 octobre à l’espace licencié grâce à des identifiants volés ou devinés. De là, il aurait réussi à outrepasser ses droits pour accéder aux données d’autres licenciés, puis à interroger « en masse » la fonction de vérification des licences de Cibles Couleurs, son site dédié à la formation.

La FFTir affirme que l’accès litigieux a été détecté et bloqué dès le 12 octobre, mais la fonction d’interrogation de Cibles Couleurs n’a été fermée et corrigée que le 15 et l’accès aux documents déposés dans EDEN, le système de gestion des licences pour les tireurs, n’a été coupé que le 16.

« Depuis le 12 octobre, une cellule de crise suit la situation chaque jour. Nous avons informé l’Agence nationale de la sécurité des systèmes d’information les 13 et 15 octobre, et la CNIL le 16, dans le délai prévu par la loi. Des experts nous accompagnent », écrit Hugues Senger, président de la FFTir, dans un courrier aux licenciés.

Il y rappelle que cette intrusion intervient un an environ après une première attaque réussie, qui avait déjà exposé les informations personnelles des licenciés. Il y revient aussi sur les chantiers de sécurisation des systèmes d’information de la Fédération, soulignant en creux que ces derniers n’ont pas encore été menés à leur terme.

« La double authentification est déployée progressivement sur nos outils et va être généralisée dans les semaines à venir, écrit par exemple Hugues Senger. Le chantier le plus lourd a été la réécriture complète de nos applications, qui est en cours de finalisation. La nouvelle plateforme sera mise en service prochainement, après la réalisation de tests. »

La communication de la FFTir se conclut sans surprise sur un appel à la prudence en cas de sollicitations intempestives. « De votre côté, soyez prudents avec les messages et les appels qui se réclament de la Fédération, de votre club ou d’une administration. Vos données peuvent servir à les rendre crédibles, conseille-t-elle. Restez discrets sur votre pratique et votre équipement, notamment sur les réseaux sociaux. »

Un updater abandonné de Popcorn Time pouvait exécuter du code avec les droits SYSTEM. Eye Security l'a neutralisé à distance sur des millions de machines.

Le post Popcorn Time : un processus oublié menaçait des millions de PC (CVE-2026-30612) a été publié sur IT-Connect.

Capcom, l’éditeur japonais de jeux comme Street Fighter, Monster Hunter, Resident Evil ou encore Mega Man (et bien d’autres), a été victime d’un vol de données. L’entreprise a détecté le 19 octobre une « activité suspecte » ayant débouché sur un accès non autorisé à la base de données de Capcom ID. Il s’agit de comptes servant à accéder aux services en ligne de Capcom, et dont la création peut être obligatoire pour pouvoir jouer à certains titres.

Dès la découverte de la brèche, la société a bloqué l’accès à la base et lancé des mesures d’urgence pour identifier la méthode d’attaque. Capcom confirme que des informations de joueurs enregistrés avec un ID maison ont été subtilisées. Plus de 11 millions d’adresses e-mail et d’informations propres au système (date et heure de création du compte, nombre de connexions, adresses IP) sont dans la nature. Plus anecdotique, 43 enregistrements de dates de naissance, genres, pays et pseudos ainsi que 196 modifications non autorisées de mots de passe ont été comptabilisés dans la fuite.

Les mots de passe de ces comptes ont déjà été réinitialisés. Capcom ne confirme pour le reste « aucune compromission des mots de passe de connexion aux comptes Capcom ID initialement définis par les utilisateurs eux-mêmes. » Les informations bancaires des utilisateurs ne font pas partie des données volées.

Les utilisateurs de ces comptes ont été notifiés de l’incident par l’entreprise. Des formulaires de demandes d’assistance ont été mises en ligne (ici pour l’Europe). Capcom prévient que les informations en fuite peuvent être exploitées dans des campagnes de hameçonnage. Elle recommande de « faire preuve de prudence » et de ne pas cliquer sur les liens ou les pièces jointes contenus dans des courriels suspects qui pourraient usurper l’identité de Capcom.

CVE-2026-115560 : PHP signale une nouvelle faille RCE. Désactiver Session Upload Progress, déjà conseillé pour PHP2Shell, suffit en attendant le correctif.

Le post PHP signale une nouvelle faille RCE (CVE-2026-115560) : appliquez le même réglage que PHP2Shell a été publié sur IT-Connect.

Signal a corrigé dans RingRTC, sa bibliothèque d’appels, une faille qui empêchait le raccrochage de clore réellement l’appel. Le correctif date du 4 septembre, mais la divulgation publique n’est intervenue que le 20 octobre 2026.

La faille est estampillée CVE-2026-113380 et réside donc dans RingRTC, la bibliothèque logicielle créée par Signal (en open source) responsable des appels vocaux et vidéo. Elle affecte toutes les versions antérieures à la 2.72.0 et est critique, avec un score CVSS v4.0 de 9,3 sur 10.

Avec une version vulnérable, un pirate peut exploiter la faille en saturant la file d’attente de la machine à états finis (FSM) d’un appel pour empêcher le raccrochage local de démonter l’appel. Selon les cas, cela signifie que la piste audio, voire vidéo, continue. Le chiffrement de bout en bout n’est pas affecté, car le défaut porte sur la fermeture de l’appel, pas sur la protection des conversations.

Selon les notes du chercheur a priori à l’origine de la découverte, trois problèmes se cumulent, comme relevé par SecurityWeek. Ils sont loin d’être anodins :

• le raccrochage n’était pas un arrêt immédiat mais un évènement de plus dans la file d’attente ;
• il n’y avait aucune limitation de débit sur les évènements provenant du pair distant ;
• l’évènement de raccrochage n’avait aucune priorité.

Le correctif du 4 septembre ajoute ainsi un indicateur de terminaison séparé, avec sa propre priorité, et limite à 5 secondes les attentes lors de l’arrêt pour que le nettoyage continue même si certaines opérations échouent.

Cependant, la situation sur les nouvelles versions des différentes applications n’est pas claire. On ignore quand le correctif a été déployé, ni même s’il a bien été distribué. Nous avons contacté la fondation Signal et mettrons à jour cet article en cas de réponse.

Le gestionnaire de mots de passe 1Password ajoute une nouvelle corde à son arc. Dans un billet publié le 22 octobre, l’entreprise a présenté une nouvelle plateforme baptisée « 1Password for Agents » pour fluidifier l’utilisation des identifiants stockés dans la base, mais sans les voir.

Dans le scénario décrit par 1Password, un agent arrive sur un formulaire de connexion. Il interroge alors le gestionnaire de mots de passe, déclenchant une demande d’approbation par l’utilisateur. Si ce dernier confirme, 1Password remplit lui-même les champs d’identifiants, l’agent n’ayant pas accès à ces informations.

Pour réaliser l’opération, l’agent s’authentifie auprès de 1Password via une clé unique propre. Quand la connexion est faite, le gestionnaire supprime l’identifiant de la page pour que l’agent ne puisse jamais le voir ou le réutiliser. Dans le cas où plusieurs identifiants correspondent à un même formulaire, l’utilisateur est invité à choisir l’agent à utiliser. Ce dernier n’accède pas non plus au reste du coffre.

Ce mécanisme est clairement une évolution du complément 1Password for Claude lancé en juillet. Cette fois cependant, il s’agit d’une plateforme disposant d’intégrations pour Muse de Meta, Claude Duet d’Anthropic, ChatGPT Work et Dots d’OpenAI, Grok Bot de SpaceXSI (anciennement SpaceXAI, encore plus anciennement xAI) et Townie de Town. Selon les cas, la compatibilité est en cours de déploiement ou doit arriver « bientôt ». 1Password prévoit également l’intégration dans Instinct, Browserbase, Browser Use, Dana, KERNEL, Perplexity, Ramp, Tomo et Wajo.

1Password prévient toutefois que ce mécanisme ne sert qu’à protéger les identifiants, pas à contrôler l’agent lui-même. L’entreprise ne peut pas agir sur ce que l’agent fera avec ces identifiants, mais le problème était exactement le même en entrant manuellement les mots de passe pour réaliser une opération.

Mise à jour du 23 octobre : La version finale de KeePassXC est désormais disponible au téléchargement. Comme prévu, elle introduit le remplissage automatique des identifiants dans les applications sur Linux au sein des sessions Wayland (via XDG Portals), marquant une nette hausse du confort d’utilisation pour les personnes concernées.

On y retrouve également le portage vers Qt 6, le déverrouillage rapide via Polkit, des raccourcis configurables, le support de la génération de clés RSA, ECDSA et Ed25519 dans l’agent SSH, améliore l’intégration au bureau pour la version AppImage, ou encore introduit une AppImage pour les configurations ARM64.

---

Article original du 25 septembre  :

Le gestionnaire de mots de passe KeePass XC est une variante multiplateforme de KeePass, avec comme objectif une plus grande richesse fonctionnelle de base, sans passer par des plugins. La version 2.8, en préparation et dont une bêta vient de paraitre, s’annonce déjà comme une mouture majeure.

KeePass XC 2.8 bénéficie en effet d’un portage vers Qt 6, avec à la clé une modernisation de son interface et de ses intégrations dans les différentes plateformes prises en charge. Parmi les améliorations, on note surtout l’arrivée de l’auto-remplissage (fonction Auto-Type) pour les sessions Wayland, c’est-à-dire la capacité à insérer rapidement un identifiant et un mot de passe dans la fenêtre d’une application.

L’ajout est majeur, car Wayland ne permet plus « d’espionner » simplement une fenêtre active pour savoir si elle présente des champs d’authentification. La compatibilité annoncée va se faire à travers les portails XDG, ce qui revient à demander l’autorisation à Wayland d’examiner la fenêtre et d’y insérer des informations. L’équipe de KeePass XC avertit que ce support dépend pour l’instant de l’environnement choisi : support complet pour KDE 6.6 +, initial pour GNOME 48 + et dépendant du support des portails XDG dans les autres (Sway, Hyprland, labwc…).

Les autres améliorations sont nombreuses, avec par exemple l’arrivée d’une version compilée nativement pour les systèmes Windows ARM64 (y compris pour la version portable), une meilleure intégration sur Linux via l’AppImage, la possibilité de montrer des suggestions quand on ajoute des attributs, le support des clés d’accès (passkeys) dans les statistiques, la synchronisation des bases de données distantes via des outils tiers, des raccourcis clavier personnalisables ou encore le déverrouillage rapide sur macOS et Linux, respectivement via le mot de passe et Polkit. Enfin, plusieurs vulnérabilités ont été corrigées.

Pour les utilisateurs aventureux, le téléchargement de cette première bêta peut se faire depuis l’annonce officielle.

Oups ?

La Zero Day Initiative de Trend Micro a envoyé six rapports de failles de sécurité sur des listes de diffusion publiques du noyau Linux, avec de nombreux détails. Le caractère accidentel de ces publications est contesté. Le danger, bien que limité, est réel pour certaines configurations.

Les 21 et 22 octobre, six rapports de vulnérabilités ont été envoyés par Trend Micro sur des listes publiques rattachées au développement du noyau public. Plus précisément, ces rapports ont été adressés à la liste de sécurité privée du noyau, mais les listes publiques linux-kernel, linux-cifs, netdev et dri-devel figuraient en copie. Les détails techniques, avec les chemins de code et les traces KASAN, sont depuis publics alors qu’aucun correctif n’est encore publié.

Six vulnérabilités, dont deux critiques

Parmi les rapports, deux concernent des failles critiques dans ksmbd. La première, estampillée par Trend Micro ZDI-CAN-33774, réside dans une situation de compétition dans l’affectation de la table de traitement. Si l’on envoie une rafale de paquets SMB1 courts suivie d’un paquet SMB2 dans la même écriture TCP, les processus de travail traitent alors les données SMB1 avec un gestionnaire SMB2, qui va lire au-delà de la mémoire tampon. Une écriture hors limites devient ainsi possible, à condition que le pirate ait accès à un partage, mais aucune autorisation n’est nécessaire, expliquant le score CVSS de 9 sur 10.

L’autre faille, ZDI-CAN-33549, est un dépassement par le bas d’un entier (integer underflow) dans le chemin SMB Direct de ksmbd. Un client peut envoyer des descripteurs de tampon RDMA dont le premier est plus long que la charge annoncée. Le compteur de taille du serveur repasse alors par zéro et une copie mémoire déborde ensuite du tampon alloué. Pour l’exploitation en revanche, il faut réunir trois conditions : une interface compatible RDMA (matérielle ou le pilote logiciel rxe), un partage ksmbd accessible en écriture et un client qui négocie SMB Direct. À noter cependant que le support de SMB Direct est une option, désactivée par défaut. Le score CVSS est quand même de 9, confirmant la criticité de la brèche.

Ces notes sont attribuées via CVSS 3.1, le caractère critique débutant à 9. Trois autres failles – ZDI-CAN-33367, ZDI-CAN-34068 et ZDI-CAN-34076 – sont tout de même dans la tranche élevée, avec des notes comprises entre 7,8 et 8,8. Elles concernent respectivement une élévation locale de privilèges dans skb_zerocopy (réseau), une élévation locale de privilèges dans le pilote de GPU virtuel vmwgfx (VMware) et une divulgation d’informations dans nvmet (un pilote NVMe). La sixième faille, ZDI-CAN-32005, est un dépassement de pile (stack overflow) dans ConnMan, mais aucun score CVSS n’est rattaché.

Bien que le danger soit limité à certaines configurations spécifiques (ksmbd est un serveur compatible Samba mais n’est pas Samba), il est réel. Dans le contexte de publication de ces failles, il est probable qu’aucun correctif ne sera disponible avant plusieurs semaines.

Accident ou respect des nouvelles règles du noyau ?

Phoronix est le premier site à s’être rendu compte de ces publications. Pour nos confrères, il s’agissait clairement d’une bourde importante. D’ailleurs, Greg Kroah-Hartman en personne, le mainteneur principal du noyau Linux, s’est étonné et agacé dans des réponses à ces publications. Sur le pilote GPU VMware par exemple, il a répondu : « Pour une raison quelconque, vous avez envoyé cela dans des listes publiques, sans correctif, donc nous ne pouvons pas faire grand-chose avec ça ». L’agacement est monté d’un cran sur le rapport du pilote NMVe : « Encore une fois, pas de correctif, et envoyé sur une liste publique ? Merci de corriger votre processus de soumission… ».

Mais en dépit de ces réponses, certains médias s’interrogent : s’agissait-il vraiment d’un accident ? Cyber Kendra note ainsi que les rapports attribuent clairement la découverte des failles à TrendAI, le scanner IA de vulnérabilités de Trend Micro. Or, selon la documentation sur les failles de sécurité dans le noyau, réécrite et fusionnée pour le noyau Linux 7.1, indique que toute vulnérabilité trouvée grâce à l’IA doit être considérée comme publique et envoyée aux mainteneurs concernés plutôt que sur la liste privée.

Nos confrères rappellent que cette règle est une conséquence directe de l’agacement de Linus Torvalds sur le caractère « presque totalement ingérable » de la liste privée de sécurité depuis l’émergence des outils IA. Mais selon ces mêmes directives, les découvreurs de failles doivent joindre des correctifs ou des analyses d’impact. Les rapports de Trend Micro ne contenaient ni l’un ni l’autre, expliquant en partie l’agacement de Greg Kroah-Hartman.

The Hacker News évoque les mêmes règles et ne mentionne d’ailleurs jamais le caractère éventuellement accidentel de ces publications.

Nous avons contacté Trend Micro et mettrons à jour cette actualité si nous obtenons une réponse.