Vulnérabilité

Selon iTnews, des chercheurs d’ERNW (Allemagne) ont publié une divulgation complète détaillant des vulnérabilités dans des SoC Bluetooth Airoha qui permettent d’exploiter des casques/écouteurs pour hijacker des smartphones à proximité. Les failles affectent des appareils supportant Bluetooth Classic et Bluetooth Low Energy et peuvent être exploitées en proximité physique. Les chercheurs ont pu se connecter silencieusement à des casques et activer leur microphone pour de l’écoute clandestine. 🔊🎧 Les vulnérabilités exposent le protocole RACE (Remote Access Control Engine) utilisé par Airoha pour les mises à jour/diagnostics. Avec l’accès RACE, un attaquant peut vider la mémoire flash du casque et extraire la clé de lien Bluetooth (link key), puis interagir avec le smartphone qui fait confiance au périphérique appairé. Cela permet de déclencher les assistants vocaux (Siri, Hey Google) pour envoyer des messages, passer des appels et effectuer d’autres actions, y compris de la collecte de données. 📲 ...

Selon BleepingComputer, MongoDB a émis une alerte pressant les administrateurs IT d’appliquer sans délai les correctifs pour une vulnérabilité classée à haute gravité. ⚠️ L’éditeur met en garde contre une vulnérabilité de lecture de mémoire de gravité élevée, qui pourrait être exploitée à distance par des attaquants non authentifiés. Alerte sécurité : vulnérabilité critique MongoDB (CVE-2025-14847) Détails de la vulnérabilité Identifiant : CVE-2025-14847 Vecteur d’attaque : Non authentifié, faible complexité, aucune interaction utilisateur requise Cause : Mauvaise gestion d’une incohérence de paramètres de longueur dans l’implémentation zlib côté serveur Impact : Exécution de code arbitraire Fuite de mémoire (heap non initialisé) Prise de contrôle potentielle du serveur MongoDB Selon MongoDB : ...

Selon le blog de Korben (8 décembre 2025), des chercheurs de l’Université de Vienne ont présenté « Careless Whisper », une attaque récompensée Best Paper à RAID 2025, montrant comment exploiter les accusés de réception de WhatsApp (et Signal) pour surveiller un utilisateur à distance sans notification. • L’attaque s’appuie sur des accusés de réception silencieux déclenchés via l’envoi de réactions à des messages inexistants. L’utilisateur ne voit rien (pas de notif, pas de message visible), tandis que l’attaquant mesure les temps de réponse du téléphone pour en tirer des informations. 🕵️ ...

Source: JPCERT/CC — Alerte JPCERT-AT-2025-0024 (ouverte le 2025-12-03, mise à jour le 2025-12-05). Le CERT japonais décrit une vulnérabilité d’injection de commandes affectant la fonctionnalité DesktopDirect des appliances Array AG d’Array Networks, permettant l’exécution de commandes arbitraires. Aucun CVE n’est attribué au moment de la publication. Produits et versions concernés: ArrayOS AG 9.4.5.8 et antérieurs lorsque la fonction DesktopDirect est activée. État et impact: JPCERT/CC a confirmé des attaques survenues depuis août 2025 au Japon, menant à l’implantation de webshells, la création de nouveaux comptes utilisateurs et des intrusions internes via l’équipement ciblé. Dans les cas observés, des commandes tentaient de déposer un webshell PHP sous le chemin incluant /webapp/. Un IOC IP d’émission des communications d’attaque est fourni: 194.233.100[.]138. ...

Selon Keystone-SDA rapporté par swissinfo.ch, des inconnus ont exploité une faille de sécurité dans un système géré par la police de Lucerne et également utilisé par la police cantonale de Schwytz, lequel gère et contrôle l’accès mobile aux téléphones professionnels des employés. Impact signalé: des données personnelles de membres des corps de police n’étaient pas protégées contre tout accès. Les éléments concernés incluent: Nom de famille Prénom Adresse e-mail Numéro de téléphone fixe de l’entreprise La Chancellerie d’État de Lucerne affirme qu’il n’y a jamais eu de danger pour les téléphones portables ni pour les systèmes internes, et que la préparation opérationnelle des corps n’a jamais été menacée. 🛡️ ...

Selon BleepingComputer, le plugin WordPress « Anti-Malware Security and Brute-Force Firewall », installé sur plus de 100 000 sites, présente une vulnérabilité permettant à des utilisateurs au rôle d’« abonné » de lire n’importe quel fichier sur le serveur, exposant ainsi des informations privées. Le problème touche un plugin de sécurité très répandu et ouvre la voie à une lecture de fichiers arbitraire par des comptes disposant de privilèges faibles (simples abonnés). L’impact direct est une exposition de données sensibles stockées côté serveur. ...

Selon The Record, des intervenants en réponse à incident ont révélé que des agences gouvernementales situées en Afrique et en Amérique du Sud font partie d’une longue liste d’organisations compromises via l’exploitation d’une vulnérabilité dans Microsoft SharePoint. Les hackers chinois exploitent la faille ToolShell pour cibler des gouvernements en Afrique et en Amérique du Sud Des équipes de réponse à incident de Symantec et du Carbon Black Threat Hunter Team ont identifié une série d’intrusions contre des agences gouvernementales, opérateurs télécoms et universités dans plusieurs pays, liées à la vulnérabilité CVE-2025-53770 surnommée ToolShell, signalée pour la première fois par Microsoft en juillet 2025. Trois groupes chinois, dont Linen Typhoon et Violet Typhoon, exploitent activement cette faille dans SharePoint on-premise, utilisé par des centaines d’administrations et d’entreprises dans le monde. ...

Selon BleepingComputer, une vulnérabilité de haute gravité (CVE-2025-62518) affecte la bibliothèque Rust désormais abandonnée async-tar ainsi que ses forks, et peut être exploitée pour obtenir une exécution de code à distance (RCE) sur des systèmes exécutant des logiciels non patchés. L’article met en avant le caractère critique de la faille et le fait qu’elle touche non seulement le projet d’origine, mais aussi ses dérivés. ⚠️ La conséquence principale est la possibilité pour un attaquant d’exécuter du code arbitraire à distance. ...

Selon BleepingComputer Source : BleepingComputer (Sergiu Gatlan), Oracle a publié ce week-end une mise à jour de sécurité d’urgence pour corriger une vulnérabilité affectant Oracle E‑Business Suite (EBS). Oracle a diffusé ce week-end un correctif de sécurité d’urgence pour une nouvelle vulnérabilité critique affectant sa suite E-Business Suite (EBS), pouvant être exploitée à distance sans authentification. La faille, identifiée sous le code CVE-2025-61884, touche les versions 12.2.3 à 12.2.14 du composant Runtime UI et permettrait à des attaquants non authentifiés de voler des données sensibles via Internet. ...

En mai 2025, l’ingénieur sécurité RyotaK de GMO Flatt Security a découvert une vulnérabilité critique (CVE-2025-59489) dans le moteur Unity affectant tous les jeux et applications produits depuis la version 2017.1[web:135][web:137][web:139]. Cette faille permet à une application malveillante sur le même appareil d’exploiter la gestion des intents sous Android pour injecter des arguments dans Unity Runtime. Un attaquant peut ainsi charger une bibliothèque partagée (.so) arbitraire et exécuter du code malveillant avec les droits de l’application Unity, impactant potentiellement l’intégrité et la confidentialité des données utilisateur. ...