Vulnérabilité : CVE-2026-18556

• Un patch incomplet pour la vulnérabilité identifiée par le code CVE-2026-18556 permet un contournement de l’authentification et un prise de contrôle de compte.
• Cela concerne les versions de N-central jusqu'à la version 2026.3.1.

Explications des termes :

• CVE (Common Vulnerabilities and Exposures) : Système de référence pour identifier et cataloguer les vulnérabilités de sécurité.
• Authentification bypass : Technique permettant à un attaquant d'accéder à un système sans passer par les méthodes de vérification d'identité normales.
• Account takeover : Situation où un attaquant obtient un accès non autorisé à un compte, pouvant entraîner des abus ou des compromissions de données.

Implications :

• Cette vulnérabilité peut nuire à la sécurité des utilisateurs de N-central, permettant à des attaquants de détourner des comptes légitimes.
• Il est crucial que les utilisateurs de cette plateforme mettent à jour vers une version corrigée pour se protéger contre cette menace.

Recommandations :

• Vérifiez votre version de N-central et appliquez immédiatement les mises à jour nécessaires.
• Surveillez vos systèmes pour toute activité suspecte.

Vulnérabilité WordPress

WordPress présente une vulnérabilité XSS (Cross-Site Scripting) réfléchie pré-authentification sur l'écran de connexion. Voici les détails :

• XSS (Cross-Site Scripting) : Technique d'injection permettant à un attaquant d'injecter du code javascript malveillant dans une page web.
• Un attaquant peut exploiter cette vulnérabilité via un site tiers malveillant, capable d'interagir avec le site WordPress de la victime.
• Si cette attaque est réussie, elle peut potentiellement être escaladée en RCE (Remote Code Execution), permettant à l'attaquant d'exécuter du code à distance sur le système de la victime. Cependant, cela nécessite une manipulation sociale réussie et une interaction de la part de la victime.

Cette vulnérabilité affecte toutes les versions de WordPress.

• La version 7.0.3 a été publiée pour corriger cette vulnérabilité.
• Par mesure de courtoisie, le correctif a été rétroporté à toutes les versions anciennes à partir de 4.7.

Cette vulnérabilité a été découverte et divulguée de manière responsable par l'équipe de pwn.ai.

Dans JetBrains TeamCity, avant les versions 2026.1.3 et 2025.11.7, une vulnérabilité a été identifiée permettant une exécution de code à distance non authentifiée (appelée RCE pour Remote Code Execution) via le protocole de sondage de l'agent.

Détails :

• JetBrains TeamCity : Outil d'intégration continue et de déploiement.
• RCE (Exécution de code à distance) : Type de vulnérabilité où un attaquant peut exécuter du code malveillant sur un serveur à distance, sans avoir besoin d'une authentification.
• Protocole de sondage de l'agent : Mécanisme utilisé par les agents TeamCity pour communiquer avec le serveur.

Cette faille a permis aux attaquants de cibler des installations de TeamCity vulnérables pour exécuter potentiellement des commandes ou des scripts malveillants, exposant ainsi les systèmes aux risques de compromission. Il est donc conseillé de mettre à jour vers les dernières versions pour sécuriser votre environnement.

Action Pack est un cadre utilisé pour gérer et répondre aux requêtes web. Dans les versions antérieures à 7.2.3.2, 8.0.5.1 et 8.1.3.1, Active Storage ne désactive pas les opérations libvips désignées comme non sécurisées pour du contenu non fiable. Cela permettrait à un fichier malveillant téléchargé d'invoquer de telles opérations.

Les applications qui utilisent libvips et acceptent des téléchargements d'images de la part d'utilisateurs non fiables sont exposées. Un attaquant non authentifié pourrait exploiter ce comportement pour lire des fichiers arbitraires accessibles au processus Rails, y compris des variables d'environnement et des secrets d'application.

La divulgation d'informations sensibles comme secret_key_base ou des jetons de services externes pourrait permettre une exécution de code à distance (RCE) ou un mouvement latéral dans le système.

Ce problème a été corrigé dans les versions 7.2.3.2, 8.0.5.1 et 8.1.3.1.

Terminologie:

• RCE (Remote Code Execution) : Exécution de code à distance, permettant à un attaquant de contrôler un système.
• SSRF (Server-Side Request Forgery) : Lorsque l'attaquant manipule un serveur pour effectuer des requêtes sur d'autres ressources.
• XSS (Cross-Site Scripting) : Injection de scripts dans des pages web vues par d'autres utilisateurs.

Dans le noyau Linux, la vulnérabilité suivante a été corrigée :

KVM (Kernel-based Virtual Machine) : x86 : Vérifier les racines invalides/obsolètes après avoir rendu les pages MMU (Memory Management Unit) disponibles.

Détails de la vulnérabilité :

• La vérification concerne les erreurs de pages "stales" (obsolètes), c'est-à-dire des racines invalides après la disponibilité des pages MMU pour le MMU de contournement.
• Si la restitution de pages de contournement marque une racine utilisée comme invalide, KVM essaiera de mapper la mémoire dans une racine invalide.
• Bien que remplir une racine invalide soit en soi acceptable, cela entraîne la création de pages enfant invalides, créant ainsi une violation de l'invariant de KVM qui stipule que les pages invalides ne doivent jamais figurer dans la liste des pages MMU actives.

Historique :

• La faille sous-jacente existe depuis que KVM a commencé à suivre les racines invalides en 2008.
• Ce n'est qu'en 2020 (avec la version 5.9 de Linux) que l'invariant concernant les pages invalides a été introduit.

Remarque :

• L'héritage de l'état invalide lors de la création de pages enfant n'est pas optimal et sera traité séparément.

Ceci souligne l'importance de maintenir des pratiques robustes de gestion de mémoire dans les systèmes de virtualisation comme KVM pour éviter de telles vulnérabilités.

Vulnérabilité Log4j2

Apache Log4j2 versions 2.0-beta9 à 2.15.0 (à l'exception des versions de sécurité 2.12.2, 2.12.3 et 2.3.1) présentent une vulnérabilité liée aux fonctionnalités JNDI. Voici les détails importants :

• JNDI (Java Naming and Directory Interface) permet aux applications Java d'accéder à des ressources externes.
• Les fonctionnalités JNDI dans la configuration, les messages de journalisation et les paramètres ne protègent pas contre des points de terminaison LDAP (Lightweight Directory Access Protocol) contrôlés par un attaquant.
• Un attaquant ayant accès à des messages de journalisation peut exécuter du code arbitraire provenant de serveurs LDAP lorsque la substitution de recherche de message est activée.
• Depuis la version 2.15.0, ce comportement a été désactivé par défaut.
• À partir de la version 2.16.0, ainsi que dans les versions de sécurité mentionnées précédemment, cette fonctionnalité a été complètement supprimée.

Remarques

• Cette vulnérabilité concerne spécifiquement log4j-core et n'affecte pas log4net, log4cxx ou d'autres projets d'Apache Logging Services.
• Cela met en évidence l'importance de la mise à jour des bibliothèques utilisées pour protéger les applications contre les attaques potentielles.

Traduction et explication

Une préservation inadéquate du mode SQL lors du changement de nom de bases de données dans cPanel permet l'exécution de requêtes SQL dans le contexte root.

Explications :

• cPanel : Un outil de gestion d'hébergement web qui permet aux utilisateurs de gérer leurs sites web, bases de données, et autres services.

• SQL : Langage de requête utilisé pour interagir avec les bases de données.

• Mode SQL : Désigne le format ou les règles qui régissent le comportement des requêtes SQL. Une mauvaise gestion peut entraîner des failles de sécurité.

• Contexte root : Se réfère à l'accès administratif complet à un système. Exécuter du SQL dans ce contexte permettrait un contrôle total sur la base de données, ce qui est dangereux.

Risque potentiel :

• Cette vulnérabilité pourrait conduire à une exécution de code à distance (RCE) si un attaquant parvient à injecter des requêtes malveillantes, prenant ainsi le contrôle de la base de données.

Conclusion :

Il est essentiel pour les utilisateurs de cPanel de s'assurer que leurs systèmes sont à jour et de suivre les bonnes pratiques en matière de sécurité pour éviter l'exploitation de cette vulnérabilité.

Vulnérabilité d’exécution de contournement d'authentification dans N-able N-central

• Description : Une vulnérabilité de contournement d'authentification utilisant un chemin ou un canal alternatif a été identifiée dans N-able N-central. Cette faille permet à un attaquant de passer outre le processus d’authentification d’une manière non prévue.

• Produits affectés : Cette vulnérabilité concerne les versions de N-central jusqu'à la version 2026.1.

Détails Techniques

• Contournement d'authentification : Cela signifie qu'un utilisateur malveillant peut accéder à des fonctionnalités ou des informations sans fournir les identifiants appropriés.

Acronymes

• RCE (Remote Code Execution) : Exécution de code à distance, permettant à un attaquant d'exécuter des commandes sur un serveur distant.

• SSRF (Server-Side Request Forgery) : Un type de vulnérabilité qui permet à un attaquant d'envoyer des requêtes depuis le serveur d'une application vers d'autres ressources.

• XSS (Cross-Site Scripting) : Une vulnérabilité qui permet à un attaquant d'injecter des scripts malveillants dans des pages web vues par d'autres utilisateurs.

Remarque : Il est conseillé de mettre à jour N-central vers une version sécurisée pour se protéger contre ce type de vulnérabilité.

Vulnérabilité Résolue dans le Noyau Linux

Une vulnérabilité a été corrigée dans le noyau Linux concernant les fonctionnalités liées aux mutex temps réel (rtmutex). Voici un résumé des détails :

• Contexte : La fonction remove_waiter() est utilisée dans les chemins de verrouillage lents, ainsi que pour le rollback de verrouillage proxy dans rt_mutex_start_proxy_lock(), qui est appelé à partir de futex_requeue().

• Problèmes rencontrés : 1. La suppression du tâche waiter se fait sans que le verrou pi_lock soit détenu, ce qui est problématique. 2. L'état pi_blocked_on de la tâche waiter n'est pas réinitialisé, créant un pointeur suspendu susceptible de provoquer une UAF (Use After Free). 3. La fonction rt_mutex_adjust_prio_chain() utilise la mauvaise tâche de la liste des attentes, ce qui peut entraîner des comportements inattendus.

• Solution apportée : Il a été décidé d'utiliser waiter::task au lieu de current dans toutes les opérations liées à remove_waiter() pour résoudre ces problèmes. Cette modification vise à garantir une meilleure gestion des ressources et la sécurité du noyau.

Ces ajustements ont été documentés avec des commentaires et une mise à jour du journal des modifications.

Une vulnérabilité de remote code execution (RCE), ou exécution de code à distance, pré-authentification existe dans les versions 19.0.0, 19.1.0, 19.1.1 et 19.2.0 des React Server Components. Cela comprend les paquets suivants :

• react-server-dom-parcel
• react-server-dom-turbopack
• react-server-dom-webpack

Détails sur la vulnérabilité :

• La vulnérabilité provient d'une désérialisation non sécurisée des données provenant des requêtes HTTP envoyées aux Server Function endpoints.
• La désérialisation est le processus de conversion d'une structure de données ou d'un objet stocké en une version exploitable.

Risques :

• Cette faille permet à un attaquant d'exécuter arbitrairement du code sur le serveur, ce qui peut entraîner la compromission complète de l'application.

Prévention :

• Mettre à jour vers une version de React Server Components qui corrige cette vulnérabilité pour éviter les risques associés.

Assurez-vous de bien comprendre les implications de cette vulnérabilité afin de protéger vos applications.

IBM Langflow OSS versions 1.0.0 à 1.10.0 permettent à des attaquants non authentifiés d'exploiter une vulnérabilité en combinant deux API :

• /api/v1/auto_login : Cette API génère des jetons SUPERUSER pour n'importe quel appelant sur le réseau, permettant un accès élevé.
• /api/v1/validate/code : Cette API exécute du code utilisateur en utilisant la fonction exec(), ce qui peut entraîner l'exécution de commandes malveillantes.

Cela permet d'atteindre une RCE (Remote Code Execution ou exécution de code à distance) complète sur les déploiements par défaut de Langflow.

Explications des acronymes :

• RCE : Exécution de code à distance, une vulnérabilité qui permet à un attaquant d'exécuter des codes arbitraires sur le serveur.

Cette vulnérabilité est critique car elle permet à des attaquants de prendre le contrôle total d'une instance de Langflow sans avoir à s'authentifier. Les administrateurs doivent mettre à jour vers une version sécurisée pour éviter de telles attaques.