Bug-Bounty

🎯 Contexte Article publié le 29 septembre 2026 sur le blog personnel du chercheur zonduu, décrivant une vulnérabilité critique découverte lors du live hacking event de Meta en mai 2026 à Taïwan. La cible était un service GraphRAG (IA d’assistance aux réunions) hébergé sur AWS ECS Fargate, dans un environnement de développement sous le domaine *.aws.metafb.cloud. 🔗 Chaîne d’exploitation Le chercheur a enchaîné quatre vulnérabilités distinctes : Clé API hardcodée dans un chunk JavaScript Next.js côté client (apprunner_fast_graphrag_fgr_k3y_8x4n9p2q...), donnant accès à l’ensemble de l’API GraphRAG Path traversal sur le champ filename de l’endpoint load_datasources, permettant une écriture arbitraire de fichiers (ex: ../../h1_rce_module4.py → site-packages) Path traversal sur le paramètre dataset de l’endpoint /visualize, permettant de pointer vers un répertoire arbitraire Désérialisation pickle non sécurisée (pickle.loads() sans vérification de signature) sur l’endpoint /visualize, chargeant un fichier graph_igraph_data.pklz contrôlé par l’attaquant 💥 Impact RCE en tant que root (uid=0(root) gid=0(root)) sur le conteneur ECS Fargate Accès en lecture/écriture à 3 287 sessions réelles de transcriptions de réunions IA stockées dans S3 et DynamoDB Exfiltration des credentials AWS ECS task role via le metadata service (169.254.170.2) Accès complet à 17 secrets dans AWS Secrets Manager, dont : fb_client_secret (OAuth Meta/Facebook) okta/client-secret (SSO) JWT_SECRET (forgerie de tokens) OPENAI_API_KEY Plusieurs paires de clés LiveKit (accès/enregistrement de rooms) Deux comptes de service GCP (dont un nommé sso-admin) Validation des accès GCP via gcloud auth print-access-token ⏱️ Timeline 19 avril : Rapport initial → évaluation en 1h30, PoC complet demandé le soir même 20 avril ~4h40 : Rotation des credentials déjà en cours 8 mai : Paiement de la prime : 525 USD (500 + 25 bonus) 📄 Type d’article Write-up technique détaillé de bug bounty (post-mortem offensif), dont le but est de documenter publiquement la chaîne d’exploitation, les preuves d’impact et le déroulement de la divulgation responsable. ...

🔍 Contexte Publié le 24 septembre 2026 sur le blog officiel de Cloudflare, cet article constitue un post-mortem détaillé d’une vulnérabilité de type cross-tenant data exposure affectant Cloudflare Containers et Cloudflare Sandboxes. La vulnérabilité a été signalée de manière responsable le 4 septembre 2026 par Oren Yomtov, chercheur en sécurité chez Accomplish, via le programme de bug bounty HackerOne de Cloudflare. ⚙️ Mécanisme technique La vulnérabilité repose sur la combinaison de deux éléments : ...

🔍 Contexte Publié le 15 septembre 2026 par CrowdStrike Counter Adversary Operations, cet article présente l’analyse technique et le profil d’un acteur de menace financièrement motivé ayant développé et distribué un infostealer JavaScript nommé PhantomRaven via la plateforme npm. 🎭 Profil de l’acteur L’acteur, actif depuis novembre 2022, se présente comme un bug bounty hunter et a collecté des primes auprès d’au moins neuf entités dans les secteurs technologique, retail et hôtellerie via des plateformes comme Bugcrowd, Intigriti, YesWeHack, HackenProof et HackerOne. Il opère sous plusieurs pseudonymes npm incluant jpdhellonpm1, jpd15, jpd12, jpd13, npmhell, npmpackagejpd, npmtestdharsh, jpdhackerone11, packagedharsh. L’adresse email jpdtester01@gmail.com lui est associée. ...

🔍 Contexte Publié le 15 septembre 2026 sur SecurityWeek par Kevin Townsend, cet article rend compte des résultats du programme de bug bounty « challenge » organisé par Vercel du 18 août au 1er septembre 2026, avec une récompense totale de 1 million de dollars. 🏗️ Environnement ciblé Le programme visait le sandbox Vercel, un environnement microVM basé sur Firecracker, utilisé pour isoler le code d’agents IA non fiables. Deux types de testeurs ont participé : ...

🎯 Contexte Publié le 2 septembre 2026 sur le blog d’Intigriti, cet article est basé sur une présentation d’Inti De Ceukelaire (membre fondateur d’Intigriti) au Bug Bounty Village lors de DEF CON 34. Les recherches ont généré plus de 50 000 $ en bug bounties en quelques week-ends, sans utilisation de Burp Suite ni de scanners automatisés. 📧 Weaponisation des chatbots via email Plusieurs techniques d’abus des agents IA via le canal email sont documentées : ...

🔍 Contexte Source : METR (blog officiel), publié le 31 août 2026. METR est une organisation spécialisée dans l’évaluation de modèles d’IA. Cet article est un post-mortem de deux incidents de sécurité distincts survenus en 2026, accompagné d’une description des mesures correctives adoptées. 🗓️ Incident 1 — Mars 2026 : Vol d’une clé API via un dashboard d’orchestration d’agents Un chercheur de METR a déployé une application d’orchestration d’agents sur une instance EC2 personnelle, intentionnellement exposée sur internet derrière une authentification Google. L’application, vibe-codée, contenait une vulnérabilité fail-open qui désactivait silencieusement l’authentification, exposant le système publiquement pendant plusieurs jours. ...

📰 Source : Chancellerie fédérale suisse (admin.ch) — Communiqué de presse du 25 août 2026 🔐 Contexte général AGOV est le service de login centralisé de la Confédération suisse, des cantons et des communes, opérationnel depuis début 2024. Il permet l’accès à des services publics en ligne (déclarations fiscales, gestion militaire, etc.). En août 2026, il franchit le cap de 2 077 481 comptes actifs, avec une croissance de 25 000 nouveaux comptes par semaine. ...

📰 Source : ithinkdiff.com (via Financial Times), publié le 2 août 2026 Contexte Apple a discrètement modifié son système de soumission de rapports de sécurité en juin 2026, en limitant le nombre de rapports actifs qu’un chercheur peut avoir ouverts simultanément. Cette décision fait suite à une augmentation massive de soumissions assistées par IA, dont un grand nombre décrivaient des vulnérabilités inexistantes (hallucinations). Élément déclencheur La startup italienne de cybersécurité Bynario a utilisé ChatGPT pour identifier plus de 50 vulnérabilités potentielles dans la dernière version de macOS en seulement trois semaines, dont une chaîne d’exploitation d’élévation de privilèges (privilege escalation exploit chain). Bynario n’a pas pu soumettre toutes ses découvertes en raison de la nouvelle limite imposée par Apple. ...

📅 Publié le 18 mai 2026 sur le blog officiel de Bugcrowd, cet article signé par Trey Ford détaille les nouvelles mesures mises en place par la plateforme de bug bounty pour contrer le phénomène dit de « AI slop » ou « sloptimism » : des soumissions en volume élevé, à faible valeur, générées ou assistées par des outils d’IA. 🔍 Contexte Bugcrowd observe une dégradation significative du rapport signal/bruit sur sa plateforme, avec une augmentation des soumissions spéculatives, non vérifiées, issues de comptes nouvellement créés ou rotatifs (sock puppets), et des tentatives d’utiliser les retours de la plateforme comme signal d’entraînement pour des systèmes d’IA. ...

🗞️ Contexte Article publié le 29 mai 2026 par TechCrunch (Lorenzo Franceschi-Bicchierai). Il couvre un conflit public entre Microsoft et un chercheur en sécurité indépendant opérant sous le pseudonyme “Nightmare Eclipse”, autour de la divulgation de plusieurs vulnérabilités non corrigées. 🔍 Faits rapportés Le chercheur Nightmare Eclipse a publié publiquement plusieurs vulnérabilités affectant des produits Microsoft, accompagnées de code d’exploitation (proof-of-concept) : BlueHammer RedSun UnDefend YellowKey Ces failles affectent notamment : Windows Defender (moteur antivirus intégré) BitLocker (outil de chiffrement de disque) Les vulnérabilités ont été publiées sur GitHub et GitLab, les deux comptes du chercheur ayant ensuite été bannis. Selon Microsoft et la CISA, certaines de ces vulnérabilités ont depuis été exploitées dans des attaques réelles. ...