TRACKFLAWRachat de Wiz par Google pour 32 milliards de dollars
Après des mois de négociations, Google finalise l’acquisition de Wiz pour 32 milliards de dollars. Cette start-up, spécialisée en cybersécurité cloud, analyse des données issues de divers services pour détecter les vulnérabilités. En intégrant Wiz, Google Cloud espère combler son retard face à AWS et Microsoft Azure, qui dominent encore largement le marché. Ce rachat représente l’opération la plus coûteuse jamais réalisée par Google, surpassant celles de Motorola Mobility et Mandiant. Wiz, qui prévoyait initialement une introduction en bourse, a finalement cédé après avoir atteint 500 millions d’euros de revenus récurrents annuels.
Six gouvernements soupçonnés d’utiliser le logiciel espion israélien Paragon
Un rapport de The Citizen Lab révèle que six pays, dont l’Australie et le Canada, pourraient exploiter Graphite, un logiciel espion conçu par Paragon Solutions. Ce programme permet d’infiltrer les applications de messagerie instantanée pour collecter des données sensibles. Des journalistes et membres de la société civile ont été ciblés via WhatsApp avant que Meta n’interrompe ces attaques en décembre 2024. Les attaques impliquaient l’envoi de fichiers PDF piégés sur WhatsApp pour exploiter une faille zero-day. Les victimes étaient disséminées dans plusieurs pays, notamment en Europe.
Rejet de la réforme d’affaiblissant du chiffrement des messageries
🔸L’Assemblée nationale a rejeté une disposition législative qui aurait imposé aux messageries d’intégrer des portes dérobées pour les services de renseignement. La mesure, modifiée pour inclure la “technique du fantôme”, permettait d’ajouter secrètement un utilisateur aux discussions chiffrées. Cette approche, popularisée par les services britanniques, a été vivement critiquée pour son impact sur la sécurité des communications. 🔸Malgré les pressions gouvernementales, le rejet de cette technique est salué par les défenseurs des libertés numériques. Ils estiment que toute altération du chiffrement affaiblit la protection des données personnelles et ouvre la porte à des abus.
Une faille critique dans Next.js expose les systèmes utilisant son middleware
🔸Des chercheurs ont découvert une vulnérabilité majeure dans Next.js, permettant de contourner le middleware chargé de gérer l’authentification et les permissions. Exploitable sur toutes les versions depuis la 11.1.4, cette faille repose sur la manipulation de l’en-tête “x-middleware-subrequest”. Un attaquant peut ainsi accéder à des pages restreintes, contourner les protections CSP et même provoquer un déni de service via empoisonnement du cache. 🔸Un correctif est disponible depuis la version 15.2.3, mais les utilisateurs de versions plus anciennes doivent appliquer des mesures de contournement en bloquant les requêtes contenant cet en-tête. Les applications hébergées sur Vercel et Netlify auraient déjà été sécurisées.