TRACKFLAWGitHub étend sa fonctionnalité de détection de secrets à d’autres plateformes
GitHub a annoncé une amélioration et une extension de sa fonction d’analyse de secret à des services populaires tels que Amazon Web Services (AWS), Microsoft, Google et Slack. Les analyses statiques de codes, introduites par la filiale de Microsoft au début de l’année, alertent les utilisateurs lorsque des jetons/secrets sont exposés dans les projets partagés. Cette fonctionnalité a, dans un premier temps été uniquement accessible sur Github et est maintenant disponible sur d’autres plateformes.
Looney Tunables : nouvelle faille Linux permettant une élevation de privilèges sur les principales distributions
Une nouvelle vulnérabilité de sécurité Linux, baptisée Looney Tunables, a été découverte dans la bibliothèque GNU C. Elle permet de conduire à une élévation locale des privilèges et d’obtenir les privilèges root. Identifié comme CVE-2023-4911 (score CVSS : 7.8), la faille réside sur un débordement de tampon résidant dans le traitement de la variable d’environnement GLIBC_TUNABLES. Qualys, a déclaré qu’il avait été introduit dans le cadre d’un changement de code effectué en avril 2021. De nombreux exploit sont disponibles sur GitHub impactant la majorité des systèmes d’exploitation Linux.
Vulnérabilité de type RCE via une technique de Zip Slip impactant OpenRefine
Une faiblesse a été révélée dans l’outil open-source de nettoyage et de transformation de données OpenRefine permettant d’entraîner une exécution de code arbitraire. Identifiée comme CVE-2023-37476 (CVSS score : 7.8), la vulnérabilité est une faille de type Zip Slip permettant de manipuler la localisation d’écriture d’une fonctionnalité. Ce manque de contrôle permet à un attaquant de déposer des fichiers malveillants permettant d’exécuter des commandes.
Qualcomm publie un correctif pour 3 nouvelles 0day activement exploitées
Le fabricant de puces Qualcomm a publié des mises à jour de sécurité pour corriger 17 vulnérabilités dans divers composants, tout en avertissant que trois autres failles de type “zero day” sont activement exploitées. Sur les 17 failles, trois sont considérées comme critiques, 13 comme élevées et une comme moyennement grave. Il y a encore peu d’informations sur le sujet mais elles permettraient d’obtenir une exécution de commande sous certaines conditions. Les constructeurs ont été informés sur les correctis à déployer.