Un identifiant de connexion critique et codé en dur dans la ligne d’assistance Web de SolarWinds a été exploité dans la nature par des criminels, selon l’Agence américaine de cybersécurité et de sécurité des infrastructures, qui a ajouté cette erreur de sécurité à son Catalogue des vulnérabilités exploitées connues (KEV). Cette négligence notée 9.1 CVSS permet à des attaquants distants et non authentifiés de se connecter à des instances vulnérables via ces informations d’identification intégrées, puis d’accéder à des fonctionnalités internes et de modifier des données sensibles. Il s’agit de SolarWinds, bien connu pour la porte dérobée malicieusement ajoutée à sa suite Orion lors d’une attaque via la chaîne d’approvisionnement par la Russie contre des organisations publiques et privées dans le monde entier. Bien que nous n’ayons aucun détail sur l’ampleur de cette dernière exploitation, l’éditeur de logiciels a corrigé son erreur fin août. « Nous n’avons observé aucune activité menaçante sur les instances corrigées et encourageons tous les clients à mettre à jour SolarWinds Web Help Desk (WHD) 12.8.3 HF1 ainsi que toutes les versions précédentes vers 12.8.3 HF2 », a déclaré un porte-parole de SolarWinds au Register, tout en évitant nos questions sur l’étendue de l’exploitation.
Trump suspend son décret sur l’IA, Nvidia vise 200 milliards et l’Europe place l’éducation au cœur de la révolution IA
Le président Trump reporte un décret majeur sur l’IA par crainte de freiner l’innovation, Nvidia dévoile le CPU Vera pour un marché de 200 milliards de dollars, Lenovo explose grâce à l’IA (+84%), et le Conseil de l’UE adopte des conclusions historiques sur l’IA dans l’éducation. Décryptage par Netz Informatique.