International

Selon Darktrace, une campagne multi‑phases cible les appliances FortiGate via trois vulnérabilités critiques SSL‑VPN permettant une exécution de code à distance sans authentification, avec un enchaînement allant de la compromission initiale à l’escalade de privilèges et à l’accès RDP. • Vulnérabilités exploitées et impact: les failles CVE‑2022‑42475 et CVE‑2023‑27997 (dépassement de tampon sur le tas) et CVE‑2024‑21762 (écriture hors limites dans le démon sslvpnd) sont utilisées pour obtenir une RCE sans authentification sur FortiOS SSL‑VPN et accéder de façon non autorisée à des FortiGate. ...

Source : Gal Bar Nahum’s Blog — Le 13 août 2025, le chercheur Gal Bar Nahum a dévoilé « MadeYouReset » (CVE‑2025‑8671), une vulnérabilité HTTP/2 de type déni de service qui exploite les mécanismes de contrôle de flux/erreurs du protocole pour contourner les limites de concurrence, en collaboration avec Prof. Anat Bremler‑Barr et Yaniv Harel (Université de Tel-Aviv), avec le soutien partiel d’Imperva. 🛑 Principe clé: MadeYouReset s’appuie sur l’idée de « Rapid Reset » (2023) mais avec un twist: au lieu que le client annule la requête, l’attaquant provoque des erreurs de flux afin que le serveur émette un RST_STREAM après le démarrage d’une requête valide. Comme les flux réinitialisés ne comptent plus dans MAX_CONCURRENT_STREAMS, le serveur poursuit souvent le travail backend (calcul de réponse) malgré la fermeture du flux côté HTTP/2, ce qui permet de créer un nombre non borné de travaux concurrents et d’induire un DoS. ...

Source : Trustwave (SpiderLabs Blog). Dans cette publication, des chercheurs présentent une méthodologie complète pour analyser le malware SnakeKeylogger et élaborer des signatures de détection efficaces. Ils montrent comment le code malveillant contourne des règles existantes en encodant en Base64 des données exfiltrées via SMTP, et proposent un flux de travail pratique pour collecter des IOC et affiner continuellement les signatures. 🔬 Comportement réseau et évasion : l’analyse met en évidence des connexions vers des IP malveillantes sur les ports 80, 443 et 587, et l’usage de l’encodage Base64 dans le trafic SMTP afin de contourner les règles de détection. ...

Selon Arctic Wolf, Fortinet a publié des correctifs pour une vulnérabilité critique (CVE-2025-25256) dans FortiSIEM, permettant à un attaquant non authentifié de réaliser une exécution de code à distance (RCE) via injection de commandes dans le service phMonitor. Un proof-of-concept public est disponible, renforçant l’urgence d’appliquer les mises à jour. 🚨 Sur le plan technique, la faille provient d’une neutralisation incorrecte d’éléments spéciaux dans des commandes système. Le service phMonitor, à l’écoute sur le port TCP 7900, peut être ciblé via des requêtes CLI spécialement conçues, ouvrant la voie à l’exécution de code non autorisé. ...

Selon Have I Been Pwned (HIBP), après les gros titres de juin 2025 annonçant un « leak de 16 milliards de mots de passe », le lot en question s’avère être une compilation de logs de stealer accessibles publiquement, majoritairement réutilisés d’anciennes fuites, avec seulement une petite portion réellement nouvelle. – Nature des données: logs de stealer publics principalement repackagés à partir d’anciens leaks, avec une faible part de données inédites. ...

Selon GuidePoint Security (blog), la prompt injection reste le risque de sécurité n°1 pour les modèles de langage (LLM), car ceux-ci ne distinguent pas de façon fiable les instructions système des entrées utilisateur dans une même fenêtre de contexte. Sur le plan technique, les attaques tirent parti du traitement token-based dans un contexte unifié où instructions système et requêtes utilisateur sont traitées de manière équivalente. Cette faiblesse structurelle permet de détourner le comportement de l’IA. ...

Source : VulnCheck — Des chercheurs analysent une chaîne de vulnérabilités critiques affectant ScriptCase, permettant une exécution de code à distance (RCE) sans authentification. Malgré des correctifs disponibles et des exploits publics, des centaines d’instances demeurent exposées et des acteurs malveillants scannent activement Internet. Vulnérabilités: CVE-2025-47227 (réinitialisation de mot de passe non authentifiée via fixation de session et contournement de captcha) et CVE-2025-47228 (injection de commandes dans la fonctionnalité de test de connexion SSH au sein d’une bibliothèque ADOdb modifiée). 🔥 ...

Selon Intigriti, ce guide présente une méthodologie complète pour repérer des implémentations Google Firebase et évaluer des mauvaises configurations fréquentes dans Firestore et Firebase Storage, avec des exemples pratiques de règles vulnérables menant à l’accès non autorisé, la manipulation ou la suppression de données. Le document couvre la fingerprinting de déploiements Firebase via l’analyse du trafic réseau et la découverte de la configuration dans le JavaScript côté client, la création de requêtes HTTP vers les API REST (firestore.googleapis.com et firebasestorage.app), ainsi que des tests d’accès avec des sessions anonymes et authentifiées. ...

Selon Check Point Research (Threat Intelligence Report du 11 août), un bulletin recense des menaces majeures mêlant fuites de données, vulnérabilités critiques et évolution de malwares actifs. • Fuites de données: des brèches significatives chez Air France, Google et d’autres organisations ont exposé des millions d’enregistrements clients. • Vulnérabilités critiques: plusieurs failles à fort impact sont détaillées: Cursor IDE — CVE-2025-54136: permet une exécution de code à distance persistante (RCE) via manipulation de la configuration MCP. Dell ControlVault3 (ReVault): cinq vulnérabilités critiques autorisant implant firmware et élévation de privilèges. Trend Micro Apex One — CVE-2025-54987, CVE-2025-54948: failles RCE activement exploitées. • Malware et techniques: le malware Raspberry Robin a renforcé son obfuscation et est passé du chiffrement AES‑CTR à ChaCha20 avec compteurs aléatoires. Un nouveau malware “AV‑killer” abuse du driver ThrottleStop.sys (CVE-2025-7771) pour réaliser des terminaisons de processus au niveau kernel, en manipulant la mémoire via MmMapIoSpace. ...

Selon Security Info (securityinfo.it), des chercheurs de SafeBreach ont mis au jour une vulnérabilité dans Google Calendar qui permettait de compromettre à distance l’assistant Gemini de Google en exploitant un simple invité à un événement. 🐞 La faille permettait à un attaquant de cibler l’assistant Gemini (LLM de Google) via un invitation Google Calendar. Une fois exploitée, elle autorisait l’exfiltration de données personnelles, le contrôle d’appareils smart home 🏠 et même le lancement d’applications sur le smartphone de la victime 📱. ...