Sécurité

Selon un article publié le 14 mai 2025 par SecurityWeek, Apple a déployé des mises à jour pour ses plateformes iOS et macOS afin de corriger des failles de sécurité critiques. Ces mises à jour, notamment iOS 18.5, corrigent des vulnérabilités dans AppleJPEG et CoreMedia qui pourraient permettre à des attaquants de prendre le contrôle des appareils en utilisant des fichiers multimédias malveillants. Les failles dans CoreAudio, CoreGraphics et ImageIO ont également été corrigées pour éviter des crashs d’applications ou des fuites de données. ...

Selon un article de presse, le BACS (Bundesamt für Bevölkerungsschutz) se prépare à faire face à un cyberattaque potentielle lors du Concours Eurovision de la Chanson 2025 qui se tiendra à Bâle. Contexte : L’Eurovision est un événement annuel majeur qui attire une audience internationale, ce qui en fait une cible potentielle pour les cybercriminels cherchant à perturber l’événement ou à voler des données sensibles. Préparations : Le BACS a mis en place des mesures de sécurité renforcées pour protéger l’infrastructure numérique de l’événement. Cela inclut la surveillance des réseaux, la mise à jour des systèmes de sécurité et la coordination avec d’autres agences de sécurité pour anticiper et répondre à toute tentative d’intrusion. ...

L’article met en lumière une vulnérabilité critique identifiée dans macOS Sequoia 15.5, référencée sous le code CVE-2025-31250. Cette faille permettait à une application malveillante de manipuler les demandes de consentement de macOS, en faisant apparaître un prompt comme provenant d’une application différente de celle qui recevrait effectivement le consentement de l’utilisateur. Cela était possible en envoyant des messages XPC spécialement conçus au daemon tccd, qui gère le système de permissions TCC d’Apple. ...

L’article publié le 07 mai 2025 sur le site de Cisco décrit une vulnérabilité critique dans la fonctionnalité de téléchargement d’image Out-of-Band Access Point (AP) de Cisco IOS XE Software pour les contrôleurs de réseau local sans fil (WLCs). Cette vulnérabilité est due à la présence d’un JSON Web Token (JWT) codé en dur sur les systèmes affectés. Un attaquant pourrait exploiter cette faille en envoyant des requêtes HTTPS spécialement conçues à l’interface de téléchargement d’image AP. Une exploitation réussie permettrait à l’attaquant de télécharger des fichiers, de réaliser une traversée de chemin et d’exécuter des commandes arbitraires avec des privilèges root. ...

La CISA, l’agence américaine de cybersécurité et de sécurité des infrastructures, a émis un avertissement concernant des cyberattaques qui, bien que non sophistiquées, représentent une menace sérieuse pour l’infrastructure pétrolière des États-Unis. Ces attaques, bien qu’elles ne fassent pas appel à des techniques avancées, ont réussi à perturber certains aspects critiques de l’infrastructure, soulignant la vulnérabilité de ces systèmes. L’agence insiste sur le fait que même des attaques de faible complexité peuvent avoir des conséquences graves si les systèmes ne sont pas correctement protégés. ...

L’article de presse publié le 8 mai 2025 discute des tactiques potentielles de la Russie dans un contexte de guerre hybride avec l’Occident. Le média souligne que Moscou pourrait envisager des attaques sur les infrastructures énergétiques comme une stratégie de déstabilisation. Les cyberattaques sont mentionnées comme un outil possible dans cet arsenal, bien qu’elles présentent des inconvénients. Le texte met en avant les risques associés à l’utilisation de telles méthodes, notamment la possibilité de représailles et les difficultés à contrôler les conséquences d’une cyberattaque à grande échelle. ...

Selon un article de Cointelegraph, Ledger, une entreprise spécialisée dans les portefeuilles de cryptomonnaie, a averti ses utilisateurs d’une tentative d’escroquerie par courrier. Les escrocs envoient des lettres physiques aux propriétaires de portefeuilles de cryptomonnaie Ledger, les invitant à valider leurs phrases secrètes pour accéder aux portefeuilles et les vider. Jacob Canfield, un commentateur technologique, a partagé une lettre d’escroquerie qu’il a reçue, qui semblait provenir de Ledger et demandait une « mise à jour de sécurité critique » sur son appareil. ...

L’article met en évidence l’importance des systèmes LLM (Machine Learning) dans la collecte et l’interprétation des informations dans le domaine de l’espionnage militaire. Cependant, la quantité massive de données produites par ces systèmes pose un défi, car il est difficile pour un être humain de vérifier la précision des résultats. L’article discute des avantages et des défis de l’utilisation de l’IA dans ce contexte. Il souligne que, bien que l’IA puisse aider à gérer de grandes quantités de données, il est crucial de vérifier l’exactitude des résultats produits. Cela soulève des questions de sécurité et de fiabilité des systèmes d’IA dans le contexte militaire. ...

Le CA/Browser Forum, un organisme central regroupant les fabricants de navigateurs web, les émetteurs de certificats de sécurité et d’autres acteurs, a voté pour réduire la durée de vie maximale des nouveaux certificats SSL/TLS à seulement 47 jours d’ici le 15 mars 2029. Actuellement, ces certificats, qui soutiennent des choses comme les connexions HTTPS cryptées entre les navigateurs et les sites web, sont valables jusqu’à 398 jours avant de devoir être renouvelés. L’argument avancé est que des périodes de renouvellement plus courtes signifient que les certificats compromis ou volés peuvent être abusés pendant au plus des jours ou des semaines plutôt que des mois avant d’expirer. ...