Cc'est au tour de Brother de subir une série de failles de sécurité concernant quasiment 700 modèles d'imprimantes ! 8 failles ont été annoncées. C'est le résultat de plusieurs mois de travail entre Rapid7 et le constructeur japonaise. Au-delà de Brother, des dizaines de modèles Fujifilm, Ricoh, Toshiba et Konica sont impactés.

Les failles :

- CVE-2024-51977 : un attaquant non autorisé peut accéder à des données sensibles, en cause le port 80 HTTP, HTTPS port 443 et IPP port 631

- CVE-2024-51978 : génération d'un mot de passe administration par un utilisateur non authentifié !

- CVE-2024-51979 : possibilité d'un buffer overflow

- CVE-2024-51980 : forcer l'ouverture d'une connexion TCP par un utilisateur non autorisé

- CVE-2024-51981 : forcer une imprimante à faire une requête HTTP !

- CVE-2024-51982 : un utilisateur non autorisé peut faire crasher l'imprimante, voire, la briquer totalement

- CVE-2024-51983 : un utilisateur non autorisé peut faire crasher l'imprimante, voire, la briquer totalement

- CVE-2024-51984 : divulgation d'une mot de passe d'un service externe... En lien avec LDAP et FTP.

La plupart des failles impactent l'ensemble des modèles. Le constat est inquiétant et illustre la faiblesse de sécurité liée aux matériels comme les imprimantes. Heureusement, 7 CVE peuvent être comblées par une mise à jour du firmware :

• CVE-2024-51977
• CVE-2024-51979
• CVE-2024-51980
• CVE-2024-51981
• CVE-2024-51982
• CVE-2024-51983
• CVE-2024-51984

Malheureusement, la CVE-2024-51978 est la plus critique et le constructeur indique qu'aucune correction complète n'est possible !

Annonce : https://www.rapid7.com/blog/post/multiple-brother-devices-multiple-vulnerabilities-fixed/

Alexandre Pujol, travaillant chez Linagora, a imagé une machine totalement isolé avec AppArmor. AppArmor offre un environnement restreint pour faire fonctionner des systèmes hôtes. Play Machine propose un accès root à tous les utilisateurs ! Elle se base sur un Ubuntu 24.04. 2 idées motivent ce choix surprenant :

- montrer que AppArmor est sécurisé pour permettre un accès root 

- montrer que le root n'est pas un graal de la sécurité actuelle, ni les diverses autorisations Unix

L'auteur veut montrer que les autorisations systèmes ne sont pas les remparts contre les attaques et les hackers. Le rôle de sécurité est dévolu à AppArmor qui fonctionne avec des règles de sécurité, dit Full System Policies. Un environnement isolé comme AppArmor peut suffir à assurer la sécurité et en cas de problème, la machine virtuelle en cause est déjà isolé et ne peut pas corrompre une autre machine. 

Pour en savoir plus : https://github.com/roddhjav/apparmor.d

Nouvelle vulnérabilité de grande ampleur sur WordPress. Aujourd'hui, le problème vient du thème Motors du CMS. Il permet de voler les comptes administrateurs pour prendre le contrôle complet des sites en modifiant les droits. Cette faille est la CVE-2025-4322. Il faut mettre à jour immédiatement. 

Le thème Motors est développé par StylemixThemes. Des dizaines de milliers sites fonctionnent avec ce thème. La faille a été découverte début mai. Le problème vient d'une validation mal définie de l'identitié des utilisateurs. Cela permet aux hackers non référencés de modifier les mots de passe des utilisateurs y compris ceux des administrateurs. Et ensuite : c'est open bar !

Un fix a été distribué en urgence le 14 mai : Motors 5.6.68. 

A la conférence Wordfence, une session a expliqué la faille et a montré qu'elle a été largement exploitée. En 2 semaines, plus de 23 000 attaques ont pu être identifiées. La faille est relativement simple à exploiter. 

Les détails techniques : https://www.bleepingcomputer.com/news/security/wordpress-motors-theme-flaw-mass-exploited-to-hijack-admin-accounts/

Azul et Chainguard veulent mieux sécuriser les images de conteneurs Java. Chainguard produira à partir du code source des images de conteneurs Java intégrant la version OpenJDK supportée par Azul.

Java est au coeur des des applications critiques. Il faut fournir aux entreprises des mises à jour régulières et sécurisées. Azul répond à ce besoin en fournissant des distributions OpenJDK entièrement supportés, pouvant remplacer Oracle Java sans modification — aidant ainsi les organisations à rester conformes et sécurisées tout en réduisant leurs coûts et en libérant leurs équipes pour qu’elles se concentrent sur l’innovation. Les entreprises sont confrontées à une complexité croissante et à des risques accrus pour sécuriser chaque couche de leur pile logicielle — du système d’exploitation au runtime Java en passant par les outils. Les équipes d’ingénierie et de sécurité ont du mal à suivre le rythme des vulnérabilités signalées, des délais de correctifs incohérents, et du besoin de renforcer la sécurité des conteneurs et des machines virtuelles sans nuire à la rapidité de développement ni à la productivité des développeurs. Ces défis sont particulièrement critiques pour les workloads Java, qui nécessitent des mises à jour fréquentes, un support commercial et des environnements de déploiement sécurisés et légers.

Une étude récente de NetRise a montré qu'en moyenne un conteneur contenait 604 vulnérabilités, souvent en incluant des composants obsolètes. De plus, selon le récent rapport State of Java 2025 d’Azul, 33 % des répondants indiquent que leurs équipes DevOps perdent plus de la moitié de leur temps à traiter de faux positifs liés à des vulnérabilités Java, et 49 % des entreprises rencontrent encore des failles Log4j en production — trois ans après leur découverte. Sécuriser le cycle de développement logiciel exige de verrouiller toutes les couches de la pile, du système d’exploitation à l’environnement d’exécution et à la chaîne d’outils.

Les deux éditeurs veulent élever la qualité des conteneurs incluant une OpenJDK et réduire au maximum les vulnérabilités.

Kali Linux est une des distributions les plus utilisées pour le pentesting et le (bon) hacking. La version 2025.2 est disponible depuis quelques jours.

Cette version propose 13 nouveaux outils et d'autres évolutions :

- mise à jour et nouveaux nomx pour les outils dédiés aux hackings de voitures

- mise à jour de NetHunter : support de nouveaux matériels Xiomi, Realme et Samsung

- outil d'analyse de firmware binwalk3

- crfluzz : outil de scan de vulnérabilité CRFL 

- dotnut shellcode

- gitxray : scan de dépôts GitHub

- ldeep : utilitaire pour voir en profondeur les annuaires LDAP

- tinja : CLI pour tester les pages web avec un template d'injection

Annonce : https://www.kali.org/blog/kali-linux-2025-2-release/

Les équipes de JFrog ont découvert un nouveau package malveillant sur PyPi qui accumulent les problèmes de sécurité : chimera-sandbox-extensions. Il se confond avec Chimera Sandbox qui sert à créer et à tester des LLM. Ce package malveillant a été conçu pour dérober des identifiants ainsi que d’autres informations sensibles, telles que la configuration de Jamf, les variables d’environnement CI/CD, les jetons AWS, et bien plus encore.

JFrog résumé ainsi la découverte :

• Le malware chimera-sandbox se distingue par son caractère hautement ciblé, s’attaquant spécifiquement aux environnements corporate et cloud afin d’exfiltrer des données sensibles telles que des jetons cloud, des informations CI/CD et des fichiers de configuration.
• Une fois exécuté, le malware établit une connexion sophistiquée avec le serveur de l’attaquant, depuis lequel il télécharge et exécute un payload Python de type infostealer.
• Ce dernier cible avec précision les données associées à l’infrastructure des entreprises, qu’il transmet ensuite au serveur distant via une requête POST.
• La logique côté serveur analyse ces informations volées afin de déterminer s’il convient de déployer un second payload, destiné à prolonger ou intensifier l’activité malveillante.
• La découverte du package chimera-sandbox-extensions illustre l’essor d’attaques avancées au sein des dépôts open source, et rappelle la nécessité d’une vigilance accrue lors de l’installation de packages tiers.
• Elle souligne également l’importance pour les équipes de sécurité de mettre en place une surveillance continue et de réagir rapidement face aux menaces identifiées.
• Il est vivement recommandé aux utilisateurs concernés de révoquer immédiatement tout jeton compromis et de supprimer le package malveillant. JFrog Xray a d’ores et déjà été mis à jour pour détecter ce package.

La sécurité est un domaine sur lequel Azul veut se différentier. Connu pour sa JDK, l'éditeur propose d'autres outils tels que Azul Vulnerability Detection. Sa mission est de détecter les vulnérabilités jusqu'à identifier la classe mise en cause tout en réduisant drastiquement les faux positifs. "Azul Vulnerability Detection s’appuie sur des données d’exécution collectées en production au niveau des classes. Cela permet aux organisations de se concentrer uniquement sur les chemins de code réellement utilisés, réduisant ainsi les faux positifs de 100 à 1 000 fois par rapport aux autres outils. Les équipes DevOps peuvent ainsi hiérarchiser plus rapidement les vrais risques, renforcer leur posture de sécurité et améliorer significativement la productivité des développeurs." indique l'éditeur. 

Les composants Java comme Log4j sont constitués de fichiers JAR (Java ARchive), qui contiennent généralement de nombreuses classes. Il est donc possible qu’un composant vulnérable soit présent dans l’application sans que la classe vulnérable ne soit jamais invoquée — ce qui signifie que l’application n’est pas réellement exposée.

L'outil s’appuie sur une base de connaissances enrichie, qui fait le lien entre les CVE et les classes réellement utilisées à l’exécution. Cela permet de cibler précisément les composants vulnérables, de les corriger plus efficacement, et d’éliminer jusqu’à 99 % des faux positifs.

L'éditeur met en avant 4 avantages :

• Tri efficace des nouvelles vulnérabilités : détection continue et en temps réel des failles Java en production, permettant une réponse rapide, notamment lors d’incidents critiques comme Log4j.
• Analyse en temps réel et historique, enrichie par l’IA : conserve l’historique des composants et de leur usage, pour une traçabilité fine. L’équipe sécurité d’Azul utilise l’IA pour identifier rapidement les nouvelles CVE Java dans la base NVD et autres sources, et met à jour sa base de données en continu.
• Surveillance en production des JDK Oracle et OpenJDK : fonctionne avec toutes les JVM basées sur OpenJDK (Azul, Amazon, Temurin, Microsoft, Red Hat, etc.), indépendamment du fournisseur.
• Aucun impact sur la performance : s’appuie sur les données disponibles au sein même de la JVM à l’exécution, sans surcoût ni dégradation des performances — ce qu’aucun autre outil ne permet à ce niveau de précision.

Django comble la vulnérabilité CVE-2025-48432 avec les mises à jour 5.2.2, 5.1.10 et 4.2.22. Cette vulnérabilité permettait de faire une injection de code non autorisée en utilisant resquest.path. "This could enable log injection or forgery, letting attackers manipulate log appearance or structure, especially in logs processed by external systems or viewed in terminals." précise Django.

Détail : https://www.djangoproject.com/weblog/2025/jun/04/security-releases/

Google met à jour Chrome en urgence pour des raisons de sécurité. Une importante faille (CVE-2025-5419) a été découverte dans le moteur V8. La faille permet de lire et d'écrire au-delà des limites autorisées dans la mémoire permettant de corrompre la mémoire et d'exécuter un code non autorisé. Cette faille est déjà exploitée. La seconde faille était un problème de libération de la mémoire dans le moteur Blink. 

Les versions disponibles sont :

- les 137.0.7151.68 et .69 sur Windows et macOS

- la 137.0.7151.68 sur Linux : pas encore disponible

Bulletin de sécurité : https://chromereleases.googleblog.com/2025/06/stable-channel-update-for-desktop.html