TRACKFLAWVulnérabilités critiques dans les thermostats et systèmes intelligents Bosch
Des failles de sécurité majeures ont été découvertes dans les thermostats Bosch BCC100 et les systèmes intelligents Rexroth NXA015S-36V-B de Bosch. Ces vulnérabilités permettraient l’exécution de code arbitraire par des attaquants. Bosch a corrigé ces failles, notamment la CVE-2023-49722 (score CVSS 8.3), en fermant un port réseau utilisé pour le débogage. Ces failles concernent le microcontrôleur WiFi des thermostats et peuvent entraîner des opérations malveillantes comme le détournement de trafic ou l’installation de rançongiciels sur les boulonneuses Rexroth Nexo.
GitHub effectue un changement de clés suite à une vulnérabilité majeure
GitHub a procédé à un changement de clés en réponse à une vulnérabilité critique (CVE-2024-0200 au score CVSS 7.2) qui aurait pu exposer des informations d’identification. Cette vulnérabilité touchait également GitHub Enterprise Server (GHES) et a été corrigée dans plusieurs versions de GHES. GitHub a aussi rectifié un autre bug (CVE-2024-0507, score CVSS 6.5), permettant une élévation de privilèges. La firme recommande aux utilisateurs d’importer les nouvelles clés et de mettre à jour leurs systèmes.
Les failles PixieFail de l’UEFI menacent des millions d’ordinateurs
Les failles PixieFail, trouvées dans la pile TCP/IP de l’UEFI par Quarkslab, exposent les ordinateurs à des risques de RCE, de DoS et de vol de données. Ces vulnérabilités, présentes dans le TianoCore EFI II (EDK II), affectent les microprogrammes UEFI de plusieurs fabricants. Ces failles, dont la CVE-2023-45229 (score CVSS 6.5), peuvent être exploitées pour réaliser des attaques DNS et DHCP, des fuites d’informations et des dénis de service. L’exploitation nécessite plusieurs prérequis dont le fait d’être présent sur le même réseau local des victimes. L’impact et l’exploitabilité de ces vulnérabilités dépendent aussi de la version spécifique du micrologiciel et de la configuration par défaut du démarrage PXE.
Chrome corrige (encore) une vulnérabilité 0day activement exploitée
Google a mis à jour Chrome pour corriger une vulnérabilité de jour zéro (CVE-2024-0519) dans le moteur V8 JavaScript et WebAssembly. Cette faille permettait l’accès à la mémoire hors limites et était activement exploitée. Il est conseillé aux utilisateurs de Chrome et de navigateurs basés sur Chromium de mettre à jour vers les dernières versions pour se protéger contre cette menace et d’autres problèmes de sécurité récemment corrigés.
Cet article vous a intéressé ?