A 12-Year-Old Security Flaw Was Just the Beginning | Threat Wire

Cette semaine, le monde de la cybersécurité a été secoué par plusieurs incidents majeurs. Tout d'abord, E-Mudra, un émetteur de certificats, a été contraint de fermer ses portes. La raison ? Huit de ses clés privées de certificats intermédiaires manquaient de caractère aléatoire suffisant, les rendant vulnérables. Un chercheur a pu signer des messages avec ces clés faibles, prouvant leur inutilité pour la sécurité d'Internet. Cette compromission aurait pu mener à des attaques de l'homme du milieu, car les certificats d'E-Mudra étaient approuvés par les principaux navigateurs. Ensuite, GitLab a révélé une vulnérabilité critique (CVSS 10.0) affectant des versions datant de 12 ans. Elle permettait l'exécution de code à distance via un dépassement d'entier lors de la compilation d'expressions régulières. Bien que GitLab ait publié des correctifs, cette faille, ainsi que trois autres, provenaient en réalité d'erreurs dans l'environnement Ruby plus large. Parallèlement, Node.js a annoncé dix vulnérabilités, dont une critique (CVSS 9.2) concernant le format de compression Brotli. Une faille dans le décodeur Brotli utilisé par Node.js, présente dans la bibliothèque C de Google, pouvait causer des plantages, des corruptions de mémoire ou une exécution de code à distance. Cette vulnérabilité affectait également Python, .NET et PowerShell. De plus, Railway a subi une brèche, compromettant des variables d'environnement cryptées dans une petite partie de ses espaces de travail. PingCAP, l'entreprise derrière la base de données TIDB, a également été victime d'une cyberattaque par le groupe de ransomware ThreatSpinned (Fulcrrimsack), qui a dérobé 10 téraoctets de données, incluant des clés API en clair. Enfin, un infostealer a été découvert dans une nouvelle version du package Python LightLLM, visant à voler des identifiants et des secrets de développeurs.