Misconfiguration

🔍 Contexte Publié le 14 août 2026 par Starknex (https://www.starknex.com/news-media/billgate-dataverse-powerpages-exfilsquad-research), cet article présente les résultats d’une recherche en sécurité portant sur deux expositions distinctes mais liées affectant Microsoft Dataverse et Microsoft Power Pages (anciennement Power Apps Portals). ⚠️ Exposition 1 : Dataverse Default environments + comptes invités (B2B) Les environnements Dataverse par défaut ne peuvent pas se voir attribuer un groupe de sécurité, rendant impossible le contrôle d’accès au niveau de l’environnement. Les utilisateurs invités (guest) présents dans un tenant peuvent lire la table systemusers via l’API Web Dataverse standard. Cela expose l’ensemble des informations utilisateurs du tenant Microsoft Entra ID : noms, titres de poste, adresses e-mail internes, UPNs, numéros de téléphone directs, identifiants objet Entra, informations de licence et statut activé/désactivé. ⚠️ Exposition 2 : API Web Power Pages / flux OData Les sites Power Pages exposent des tables Dataverse aux visiteurs du site. Lorsqu’une permission de table accorde un accès en lecture à portée globale aux rôles web Anonymous Users ou Authenticated Users, et que l’API Web ou un flux OData est activé pour cette table, l’intégralité de la table peut être récupérée via HTTPS. Si la permission est attribuée à Anonymous Users, aucune authentification n’est requise. 🔓 Problème connexe : authentification invité via endpoint Entra Un endpoint de connexion Entra reste accessible même lorsque son bouton n’est pas affiché sur la page de connexion d’un portail Power Pages. Un utilisateur invité peut s’authentifier via cet endpoint et obtenir des enregistrements en tant qu’Authenticated User. 💥 Impact L’impact documenté inclut : ...

📅 Publié le 7 août 2026 sur le blog officiel AWS Security, cet article technique présente une méthodologie structurée pour détecter, remédier et surveiller en continu les buckets Amazon S3 sur-permissifs dans des environnements AWS mono ou multi-comptes. 🔍 Contexte et problématique Les buckets S3 mal configurés — via des politiques trop larges ou des ACL (Access Control Lists) permissives — peuvent exposer des données sensibles à des accès non autorisés. Sans revue proactive, ces configurations passent inaperçues. ...

🔍 Contexte Source : Cybernews, publié le 8 juillet 2026. L’équipe de recherche de Cybernews a découvert le 18 mai 2026 une base de données Elasticsearch publiquement exposée appartenant à Nextcloud, plateforme allemande de stockage cloud open-source. 📦 Données exposées Le cluster contenait 7,92 Go de données réparties en 367 000 enregistrements dans un index unique correspondant à des fichiers internes Nextcloud : Factures (envoyées et reçues) : adresses e-mail d’employés Nextcloud, noms et adresses de sociétés clientes, e-mails d’émetteurs de factures Contrats, modèles, résumés : détails de partenariats client-fournisseur Scripts Shell et Python développés pour des clients, incluant des identifiants de base de données en dur (hardcoded credentials) Fichiers .eml : contenu d’e-mails non chiffrés, horodatages, adresses expéditeur/destinataire Listes de bêta-testeurs : noms complets et adresses e-mail professionnelles En-têtes HTTP, chemins de fichiers, noms de fichiers, hachages MD5 Parmi les domaines e-mail externes identifiés : IONOS, STRATO (hébergeurs web), et des institutions gouvernementales allemandes dont le MSB NRW (Ministère de l’Éducation de Rhénanie-du-Nord-Westphalie). ...

🔍 Contexte Publié le 9 juin 2026 par Lucas Dodgson, Tobias Oberdörfer et Robin Hilber (InfoGuard Labs), cet article de recherche offensive décrit une vulnérabilité de configuration baptisée Ghost-Sender, affectant Microsoft Exchange Online utilisé en combinaison avec un enregistrement MX externe (solution de filtrage tiers ou anti-spam). ⚠️ Description de la vulnérabilité Ghost-Sender exploite le comportement par défaut d’Exchange Online qui accepte tout email entrant directement adressé au tenant, indépendamment des résultats des contrôles SPF, DKIM et DMARC. Lorsqu’un enregistrement MX externe est configuré (ex : Mailgun, solution anti-spam tierce), un attaquant peut contourner ce filtrage en envoyant directement au endpoint Exchange Online (*.mail.protection.outlook.com), livrant des emails usurpés depuis n’importe quel expéditeur interne ou externe. ...

🔍 Contexte Publié en avril 2026 sur morganrobertson.net, cet article de recherche en sécurité documente une investigation menée entre mars et mai 2025 sur les instances Perforce Helix Core (P4) accessibles publiquement sur Internet. Le chercheur a identifié 6 121 instances contactables présentant des failles critiques liées aux configurations par défaut non sécurisées. 📊 Statistiques d’exposition 72% des serveurs autorisent un accès en lecture aux fichiers internes 21% (1 334 serveurs) permettent un accès en lecture/écriture 4% (223 serveurs) disposent de comptes « super » non sécurisés permettant une compromission complète via injection de commandes (RCE) 32% des serveurs sous licence (268/829) présentent une configuration non sécurisée 🛠️ Misconfigurations identifiées Création automatique de comptes utilisateurs (dm.user.noautocreate non configuré) Listage d’utilisateurs non authentifié — permet l’énumération et le brute-force Comptes sans mot de passe — accès direct en usurpant l’identité d’un utilisateur Auto-définition du mot de passe initial — permet à un attaquant de s’approprier un compte inactif Synchronisation non authentifiée via Remote Depot — l’utilisateur caché remote (activé par défaut jusqu’à la version 2025.1) permet la lecture de tous les fichiers sans authentification si le niveau de sécurité est ≤ 3 💥 Impact et vecteurs d’attaque Exfiltration de code source : dépôts de jeux AAA, logiciels médicaux, bancaires, gouvernementaux, automobiles RCE via triggers P4 : un compte super sans mot de passe permet d’injecter des scripts exécutés côté serveur Mouvement latéral : présence de certificats PEM, clés privées, fichiers .env, configurations Okta/SAML dans des dépôts exposés Attaques supply chain : un seul serveur vendeur exposait le code source de dizaines de clients en aval 🏭 Secteurs impactés Jeux vidéo (AAA, indie), santé/dispositifs médicaux, services financiers (core banking, PoS), gouvernement/défense, automobile (ECU, schémas électriques), éducation, industrie/ICS, Web3/crypto, aérospatiale, VFX/animation. ...

📰 Source : NRK (média public norvégien), publié le 15 avril 2026. L’article rapporte la découverte et la divulgation responsable d’une vulnérabilité de configuration dans le réseau mobile de Telia Norvège, opérateur comptant environ 2 millions d’abonnés. 🔍 Découverte de la faille Le 20 mars 2026, le chercheur en sécurité Harrison Sand, employé de la société norvégienne Mnemonic, découvre la faille lors d’investigations sur l’abus du réseau téléphonique à des fins de fraude par SMS. En passant un appel vers un journaliste de NRK, il constate que Telia transmet spontanément l’identifiant de la station de base à laquelle le téléphone appelé est connecté. ...

📰 Contexte Source : Have I Been Pwned (haveibeenpwned.com), publié le 16 avril 2026. L’entreprise d’édition éducative McGraw Hill a confirmé avoir subi une violation de données à la suite d’une tentative d’extorsion. 🔍 Cause et vecteur L’incident est attribué à une mauvaise configuration Salesforce (misconfiguration). Selon la déclaration de l’entreprise, l’incident a exposé « un ensemble limité de données provenant d’une page web hébergée par Salesforce sur sa plateforme ». ...

🔍 Contexte Publié le 14 avril 2026 par la Sansec Forensics Team sur sansec.io, ce rapport de recherche documente une mauvaise configuration critique affectant plus de 200 boutiques PrestaShop en production réparties dans 27 pays, dont la France, l’Italie, la Pologne et la République tchèque représentent la majorité des cas. ⚠️ Mécanisme d’attaque PrestaShop est livré avec un répertoire d’installation (/install/ en version release, /install-dev/ en version développement) contenant un assistant d’installation complet. Lorsque ce répertoire reste accessible publiquement, un attaquant peut : ...