Vulnérabilité

Une série de vulnérabilités majeures a été découverte dans le protocole AirPlay et le SDK d’Apple. Ces failles, collectivement appelées ‘AirBorne’, permettent une série d’attaques sévères. Le plus critique est l’exécution de code à distance (RCE) ‘wormable’ sans clic, ce qui signifie que les attaquants peuvent prendre le contrôle des appareils Apple et de tiers via Wi-Fi sans aucune interaction de l’utilisateur. L’impact de ces vulnérabilités est énorme, touchant potentiellement des milliards d’appareils à travers le monde. Ces informations ont été publiées sur la plateforme GBHackers Security le 1er mai 2025. ...

Une information publiée le 28 avril 2025 révèle qu’une vulnérabilité de téléchargement de fichiers non authentifiée de gravité maximale affecte plus de 1200 instances de SAP NetWeaver exposées sur Internet. Cette vulnérabilité est activement exploitée par des attaquants pour prendre le contrôle des serveurs. SAP NetWeaver est une plateforme de technologie intégrée pour toutes les applications SAP. Elle fournit la base technique pour une grande variété de produits SAP. La vulnérabilité permet aux attaquants de télécharger des fichiers sans avoir besoin de s’authentifier, ce qui peut potentiellement conduire à un détournement de serveur. Les utilisateurs de SAP NetWeaver sont donc fortement encouragés à mettre à jour leurs systèmes pour corriger cette vulnérabilité. ...

L’article, une news publiée sur Bleeping Computer le 25 avril 2025, rapporte que deux vulnérabilités dans Craft CMS ont été exploitées dans des attaques de jour zéro pour infiltrer des serveurs et voler des données. Selon CERT Orange Cyberdefense, l’exploitation de ces vulnérabilités est toujours en cours. Craft CMS est un système de gestion de contenu populaire utilisé pour la création de sites web. Les vulnérabilités exploitées permettent à un attaquant d’exécuter du code à distance (RCE), ce qui peut conduire à une compromission totale du système. Les attaques de jour zéro se réfèrent à l’exploitation de failles de sécurité avant que le développeur n’ait eu la possibilité de créer et de déployer un correctif. ...

SonicWall, un fournisseur majeur de solutions de sécurité réseau, a émis une alerte urgente concernant une vulnérabilité de haute gravité dans son interface SSLVPN Virtual Office. Cette vulnérabilité, suivie sous le nom de CVE-2025-32818, permet aux attaquants non authentifiés de faire planter les pare-feu à distance, causant des perturbations de réseau généralisées. Avec un score CVSS v3 de 7.5, cette faille affecte des dizaines de modèles de pare-feu à travers les gammes de produits Gen7 et TZ80 de SonicWall. Les entreprises utilisant ces produits sont fortement encouragées à appliquer les correctifs nécessaires pour éviter toute exploitation potentielle de cette faille. ...

Selon une actualité publiée sur le site GBHackers le 24 avril 2025, une vulnérabilité de type déni de service (DoS) de haute gravité a été découverte dans Redis. Identifiée sous le code CVE-2025-21605, cette faille permet à des attaquants non authentifiés de faire planter des serveurs ou d’épuiser la mémoire système en exploitant des tampons de sortie mal limités. La vulnérabilité affecte les versions de Redis 2.6 et ultérieures. Des correctifs sont désormais disponibles dans les mises à jour 6.2.18, 7.2.8, et 7.4.3. La vulnérabilité provient de la configuration par défaut de Redis, qui n’impose aucune limite. ...

ASUS, le fabricant d’équipements informatiques, a publié des mises à jour de sécurité pour corriger une faille de sécurité de gravité maximale, identifiée sous le nom de CVE-2024-54085. Cette vulnérabilité pourrait permettre à des attaquants de détourner des serveurs et même de les rendre inutilisables. La faille a été découverte dans le logiciel d’ASUS et a été jugée suffisamment grave pour nécessiter une action immédiate de la part de l’entreprise. ...

Cisco a publié des mises à jour de sécurité pour corriger une vulnérabilité de haute gravité dans Webex, son service de vidéoconférence. Cette vulnérabilité permet à des attaquants non authentifiés d’exécuter à distance du code côté client. Les attaquants peuvent exploiter cette vulnérabilité en utilisant des liens d’invitation à des réunions malveillants. L’exécution de code à distance (RCE) est une faille de sécurité majeure qui peut permettre à un attaquant de prendre le contrôle d’un système à distance. Dans ce cas, l’attaque est d’autant plus dangereuse qu’elle peut être réalisée sans authentification, ce qui signifie que n’importe qui peut potentiellement l’exploiter. ...

Microsoft se prépare à réintroduire la fonction Recall dans Windows 11, une fonctionnalité limitée aux PC Copilot+ et qui a été controversée en raison de sa capacité à construire une base de données extensive de textes et de captures d’écran, enregistrant presque tout ce qu’un utilisateur fait sur son PC. Le principal problème avec la version initiale de Recall était qu’elle était précipitée, activée par défaut et présentait d’importantes failles de sécurité, rendant trivial pour quiconque ayant un accès à votre PC de voir l’ensemble de votre base de données Recall. Elle ne faisait aucun effort pour exclure automatiquement les données sensibles comme les informations bancaires ou les numéros de carte de crédit, offrant seulement quelques mécanismes aux utilisateurs pour exclure manuellement des applications ou des sites web spécifiques. ...

Un acteur de la menace prétend offrir un exploit zero-day pour une vulnérabilité d’exécution de code à distance non authentifiée dans les pare-feu Fortinet.

Les produits Ivanti ont été touchés par des vulnérabilités exploitées 16 fois depuis 2024, plus que tout autre fournisseur dans l’espace des périphériques de bord de réseau.