Qu'est-ce que le Secure by Design, l'AppSec ? Est-ce que la sécurité change quand on parle de code et quand on parle d'infrastructure ? Nous échangeons avec Franck Farre et Sébastien Roche chez Sopra Steria.
Et aussi, écoutez notre podcast 75 : l'expérience développeur (DevEx) devient un levier clé pour attirer les talents, réduire le turnover et maximiser la performance.. Selon IDC, plus d’un milliard de nouvelles applications seront créées d’ici 2028 (IDC FutureScape), ce qui met une pression inédite sur les équipes de développement.
ThisarticleseekstounderstandwhythefieldofexplainableAI(xAI),despiteitsimportanceandeffervescence,isstrugglingtoestablishitselfasastableandconsensualscientificfield.Through a sociological analysis, we argue that this instability is not simply a technical failure, but the consequence of its function as a “frontier” space, one of whose functions is to absorb criticism and external demands in order to facilitate the acceptance of AI.
Inresponsetotheopacityofdeeplearning,thisarticlepresentsthemainmethodsinthefieldofexplainableAI(xAI),organisingthemaccordingtoadistinctionbetweenlocalandglobalapproaches.While detailing these techniques, it nevertheless highlights their lack of robustness and the absence of scientific consensus on what constitutes a valid explanation, thus revealing the profound heterogeneity of the field.
Asartificialintelligencesystemsbecomeincreasinglyprevalent,theneedtoexplaintheirdecisionshasbecomeamajorregulatoryandpoliticalissue.This article traces the evolution of this challenge by contrasting symbolic AI, based on interpretable human logic, with deep learning, whose ‘black box’ operation makes the question of explicability even more complex.
Pour répondre à l'opacité de l'apprentissage profond, cet article présente les principales méthodes du champ de l'IA explicable (xAI), en les organisant selon une distinction entre approches locales et globales. Tout en détaillant ces techniques, il souligne cependant leur manque de robustesse et l'absence de consensus scientifique sur ce qui constitue une explication valide, révélant ainsi l'hétérogénéité profonde du domaine.
Alors que les systèmes d'intelligence artificielle sont de plus en plus présents, la nécessité d'expliquer leurs décisions est devenue un enjeu réglementaire et politique majeur. Cet article retrace l'évolution de ce défi en opposant l'IA symbolique, fondée sur une logique humaine interprétable, à l'apprentissage profond, dont le fonctionnement en « boîte noire » complexifie la question de l'explicabilité.
Cet article cherche à comprendre pourquoi le champ de l'IA explicable (xAI), malgré son importance et son effervescence, peine à se constituer en un domaine scientifique stable et consensuel. À travers une analyse sociologique, il soutient que cette instabilité n'est pas un simple échec technique, mais la conséquence de sa fonction de « zone frontière » subordonnée, dont le rôle principal est d'absorber les critiques et les demandes externes pour faciliter l'acceptation de l'IA.
Pour répondre à l'opacité de l'apprentissage profond, cet article présente les principales méthodes du champ de l'IA explicable (xAI), en les organisant selon une distinction entre approches locales et globales. Tout en détaillant ces techniques, il souligne cependant leur manque de robustesse et l'absence de consensus scientifique sur ce qui constitue une explication valide, révélant ainsi l'hétérogénéité profonde du domaine.
Alors que les systèmes d'intelligence artificielle sont de plus en plus présents, la nécessité d'expliquer leurs décisions est devenue un enjeu réglementaire et politique majeur. Cet article retrace l'évolution de ce défi en opposant l'IA symbolique, fondée sur une logique humaine interprétable, à l'apprentissage profond, dont le fonctionnement en « boîte noire » complexifie la question de l'explicabilité.
Les contenus à caractère pédopornographique pullulent sur le net. Ils sont issus de la terrible exploitation d’enfants, et ce qui est montré constitue avant tout un crime réellement perpétré. Ils sont également dangereux pour les gens qui les voient, notamment les enfants.
Ces contenus criminels font donc l’objet de plus en plus de régulations et de détection automatisées. Mais comment concilier la protection des mineurs avec la préservation de la vie privée, la protection des données personnelles, et les libertés fondamentales — sans ouvrir la voie à une surveillance de masse ?
Certaines entreprises, comme Apple, Google et Meta, pratiquent déjà la détection de contenus pédopornographiques sur certains services (hormis les messageries chiffrées de bout en bout comme WhatsApp ou Signal). La France est particulièrement concernée, avec plus de 310 000 signalements reçus. Ces entreprises procèdent volontairement à ces détections grâce à une dérogation européenne à la directive ePrivacy.
Aujourd’hui, le Conseil de l’Europe envisage, dans sa proposition de régulation communément appelée ChatControl, de rendre obligatoire le scan des communications privées pour y détecter les contenus pédopornographiques — y compris sur les applications chiffrées de bout en bout.
En effet, bien que ces contenus soient illégaux, leur détection automatique ne fait pas encore l’objet d’une régulation. Mais une telle mesure généraliserait la surveillance : chaque média échangé par chaque citoyen devrait être scanné. Quelle est aujourd’hui l’efficacité de la détection de contenu à caractère pédocriminel et de leur signalement ?
Le chiffrement « de bout en bout » (de l’émetteur au récepteur) et sans accès possible aux données par les fournisseurs est de plus en plus populaire avec les applications comme WhatsApp, Signal ou iMessage.
En effet, une fois les moyens techniques de surveillance instaurés, il est extrêmement difficile de s’assurer qu’ils ne seront pas, par exemple, exploités à des fins de répression politique. On l’a vu avec le logiciel espion Pegasus et, plus récemment, avec l’affaire TeleMessage, quand des membres du gouvernement américain pensaient utiliser une version sécurisée de Signal, alors que leurs communications étaient en fait accessibles quasi publiquement.
Tous les quinze jours, de grands noms, de nouvelles voix, des sujets inédits pour décrypter l’actualité scientifique et mieux comprendre le monde. Abonnez-vous gratuitement dès aujourd’hui !
Détection de contenus à caractère pédocriminel : comment ça marche, techniquement ?
On distingue deux types de contenus à caractère pédocriminel.
D’une part, les contenus déjà identifiés, qui représentent la grande majorité des contenus à caractère pédocriminel en ligne.
D’autre part, les contenus nouveaux, qu’ils soient réels ou générés par IA (et donc des « faux » à proprement parler, mais présentant quand même un caractère pédocriminel), qui sont très minoritaires en pratique aujourd’hui.
Pour identifier les contenus à caractère pédocriminel connus, on pourrait être tenté de les stocker dans une base de données qui servirait de base de comparaison. Cependant, un tel stockage est illégal dans la plupart des pays, et dangereux (car des personnes pourraient y être exposées).
C’est pour cela que les plates-formes – à qui incombe la responsabilité de scanner les contenus — stockent uniquement une « signature », et non les images elles-mêmes. Ces signatures sont générées par des « fonctions de hachage perceptuelles ».
Ces fonctions produisent des signatures similaires pour des contenus visuellement proches. Par exemple, une photo légèrement modifiée (en appliquant un filtre par exemple) conserve une signature proche de celle de la photo d’origine, alors que deux images différentes (un chien et un chat) donneront des signatures bien distinctes.
Les fonctions de hachage perceptuelles sont conçues pour donner une signature identique pour des images proches (même si un filtre est appliqué par exemple), et des signatures différentes pour des images différentes. Ceci permet de comparer les images soupçonnées d’être criminelles à une base de données de contenus criminels déjà connus et identifiés – sans être exposé aux images.Diane Leblanc-Albarel, Fourni par l'auteur
Ainsi, si une plate-forme veut détecter un contenu à caractère pédocriminel, elle calcule le « haché perceptuel » (la signature) de l’image et le compare aux signatures de contenus connus.
C’est le seul moyen de détection automatique qui existe aujourd’hui — les systèmes d’intelligence artificielle sont pour l’instant moins performants et nécessitent systématiquement une vérification humaine. Il est déjà utilisé à grande échelle, puisque les GAFAM utilisent ce système pour scanner uniquement les informations que les utilisateurs choisissent de partager sur les réseaux sociaux, Internet ou via des messageries non chiffrées de bout en bout.
Signalements de contenus à caractère pédocriminel
Si une correspondance est trouvée entre la signature d’une image d’un utilisateur et celle d’un contenu pédocriminel, l’image est signalée automatiquement au NCMEC (National Center for Missing and Exploited Children ou Centre national pour les enfants disparus et exploités), une organisation américaine à but non lucratif qui centralise et coordonne les signalements à l’échelle mondiale et agit comme un intermédiaire entre les plates-formes numériques, les forces de l’ordre et les autorités nationales. Les plates-formes peuvent également suspendre le compte de l’utilisateur.
Si aucun organisme n’a communiqué sur l’efficacité réelle des fonctions de hachage perceptuelles, il est établi qu’elles peuvent être attaquées avec succès et que le système de détection peut être mis en échec. Il est par exemple possible de modifier légèrement une image pour que sa signature corresponde à celle d’une image anodine, ce qui permettrait à des individus malveillants de faire passer un contenu dangereux pour anodin (faux négatifs).
Les fonctions de hachage perceptuelles génèrent aussi de nombreux faux positifs : des images différentes peuvent partager la même signature, ce qui pourrait mener à accuser à tort des centaines de milliers de citoyens.
Les fonctions de hachage peuvent générer des « faux positifs », c’est-à-dire attribuer la même signature à des images différentes.Fourni par l'auteur
Introduire des portes dérobées
Aujourd’hui, le Conseil de l’Union européenne souhaite rendre la détection obligatoire, y compris aux applications de messageries qui, pour la plupart, ne font pas encore de détection de contenus à caractère pédocriminel.
Or, pour détecter automatiquement des contenus illégaux, il faut y avoir accès… ce qui est compliqué puisqu’une grande part des communications passe par des messageries chiffrées « de bout en bout », c’est-à-dire pour lesquelles un tiers ne peut pas scanner les contenus échangés entre deux personnes.
Rendre la détection possible même sur des messageries chiffrées reviendrait à intégrer une porte dérobée dans le protocole de chiffrement afin de fournir l’accès aux données chiffrées à un tiers. Une telle porte dérobée représente une faille de cybersécurité — ce qui rend cette option inenvisageable en pratique.
Scanner les photos directement sur les téléphones des utilisateurs
En pratique, ce que recommande donc aujourd’hui le Conseil de l’Union, sur la base d’un rapport technique de 2022 analysant les options disponibles (qui n’ont pas évolué depuis la publication du rapport), c’est de recourir au client-side scanning, c’est-à-dire scanner les photos directement sur les téléphones des utilisateurs.
Cela impliquerait un accès aux photos de tous les appareils en Europe, posant des risques majeurs : détection automatique de contenus légitimes (par exemple des photos d’enfants partagées avec un médecin) ou de nudes échangés volontairement entre adolescents.
De plus, cet accès pourrait permettre la consultation de tout ou partie des photos stockées sur téléphone, sans que les citoyens n’en soient informés, ce qui représenterait une atteinte potentielle à la vie privée, en contradiction avec la Convention européenne des droits de l’homme.
Enfin, l’efficacité limitée des fonctions actuelles pourrait entraîner de nombreux faux positifs, tout en laissant passer des contenus pédocriminels légèrement modifiés.
Le « function creep » : le risque de détournement d’une technologie conçue pour un usage particulier
L’un des principaux dangers liés à l’affaiblissement du chiffrement est le phénomène du « function creep » : une technologie conçue pour un usage précis finit par dériver, au détriment des libertés.
L’histoire de la surveillance numérique montre que des outils mis en place sous couvert de sécurité ont régulièrement été réutilisés pour d’autres finalités, parfois abusives.
Un exemple emblématique est le programme de surveillance PRISM mis en place par la National Security Agency (NSA) des États-Unis. Ce programme illustre bien comment des outils de surveillance créés pour des motifs de sécurité nationale afin de lutter contre le terrorisme (notamment après les attentats du 11 septembre 2001) ont été utilisés pour collecter des données de masse, y compris sur des citoyens ordinaires et des alliés des États-Unis.
De façon semblable, dans un premier temps, les autorités pourraient justifier la nécessité d’un accès aux communications chiffrées par la lutte contre la pédocriminalité et le terrorisme, deux causes auxquelles l’opinion publique est particulièrement sensible. Mais une fois l’infrastructure technique en place, il pourrait devenir tentant d’élargir leur usage à d’autres types d’infractions : criminalité organisée, fraudes, voire délinquance économique.
Ainsi, un système conçu pour détecter des images pédopornographiques dans les messages chiffrés pourrait être détourné pour identifier des documents sensibles partagés par des journalistes d’investigation ou des opposants politiques, comme les affaires Pegasus et Telemessage l’ont montré récemment. Mais finalement, le plus grand problème de ces systèmes imposés à large échelle est simplement qu’ils seront facilement contournés par les criminels.
Le projet DIGISOV ANR-23-CE53-0009 est soutenu par l’Agence nationale de la recherche (ANR), qui finance en France la recherche sur projets. L’ANR a pour mission de soutenir et de promouvoir le développement de recherches fondamentales et finalisées dans toutes les disciplines, et de renforcer le dialogue entre science et société. Pour en savoir plus, consultez le site de l’ANR.
Aurélien Francillon a reçu des financements de la commission européenne via le projet ORSHIN (Horizon 101070008), l'ANR via le projet PEPR REV (ANR-22-PECY-0009 France 2030) et les entreprises Eviden et SAP.
Diane Leblanc-Albarel reçoit des financements du Fonds Wetenschappelijk Onderzoek (Fonds de recherche scientifique flamand, FWO).
Francesca Musiani reçoit des financements de l'Agence Nationale de la Recherche (projets ANR DIGISOV et ORA ClaimSov).
Pierrick Philippe a reçu des financements de CREACH LABS.
Sudo est une commande largement utilisée sur les systèmes Linux. Malheureusement, régulièrement, des failles critiques apparaissent. Récemment, deux vulnérabilités ont été publiées :
- CVE-2025-32462
- CVE-2025-32463
Elles permettent d'élever les droits sans être root. La 32462 permet une élevation des privilèges en utilisant l'option host dans la commande sudo. Cette faille existe depuis 12 ans. On peut ainsi forcer la commande à voir les privlèges d'un autre user. Cette CVE concerne les versions 1.8.8 à 1.8.32 et 1.9.0 à 1.9.17.
La seconde CVE est une faille critique permettent d'exploiter un accès root via l'option chroot. Cette faille cible les versions 1.9.14 à 1.9.17.
Solution : patcher sans délai avec la version 1.9.17p1.
Cc'est au tour de Brother de subir une série de failles de sécurité concernant quasiment 700 modèles d'imprimantes ! 8 failles ont été annoncées. C'est le résultat de plusieurs mois de travail entre Rapid7 et le constructeur japonaise. Au-delà de Brother, des dizaines de modèles Fujifilm, Ricoh, Toshiba et Konica sont impactés.
Les failles :
- CVE-2024-51977 : un attaquant non autorisé peut accéder à des données sensibles, en cause le port 80 HTTP, HTTPS port 443 et IPP port 631
- CVE-2024-51978 : génération d'un mot de passe administration par un utilisateur non authentifié !
- CVE-2024-51979 : possibilité d'un buffer overflow
- CVE-2024-51980 : forcer l'ouverture d'une connexion TCP par un utilisateur non autorisé
- CVE-2024-51981 : forcer une imprimante à faire une requête HTTP !
- CVE-2024-51982 : un utilisateur non autorisé peut faire crasher l'imprimante, voire, la briquer totalement
- CVE-2024-51983 : un utilisateur non autorisé peut faire crasher l'imprimante, voire, la briquer totalement
- CVE-2024-51984 : divulgation d'une mot de passe d'un service externe... En lien avec LDAP et FTP.
La plupart des failles impactent l'ensemble des modèles. Le constat est inquiétant et illustre la faiblesse de sécurité liée aux matériels comme les imprimantes. Heureusement, 7 CVE peuvent être comblées par une mise à jour du firmware :
The artificial intelligence ecosystem is strongly structured around open source resources : models, datasets and librairies. This allows anyone to use these resources – sometimes with restrictions – to adapt them to new needs (for exemple, by refining models on specific datasets) and often to make them available to the community once again. This mode of collaboration is undoubtedly at the root of some of AI’s greatest successes. Nevertheless, this proliferation of freely exchanged models and datasets raises questions about the protection of personal data, and their traceability is becoming a major issue. For example, if an individual’s personnal data is present in training dataset with errors, how can we identify the models in which the data might be contained ?
Profitez de l'offre Bitdefender Total Security à -50 % par ici : https://bit.ly/48c85HT
Elle a 82 ans. Elle quitte tout pour un homme de 28 ans. Marie-José pensait vivre une histoire d’amour. En réalité, elle tombait dans l’un des pièges les plus dangereux d’Internet : l’arnaque sentimentale.
Rencontré sur Facebook sous un faux profil de célébrité, Chris, un brouteur ivoirien va la manipuler jusqu’à la convaincre de s’envoler pour Abidjan, vider ses comptes, couper les ponts avec sa famille… et défendre son escroc devant les caméras.
Cette vidéo raconte son histoire, mais aussi celles de milliers d’autres victimes silencieuses à travers le monde.
Alexandre Pujol, travaillant chez Linagora, a imagé une machine totalement isolé avec AppArmor. AppArmor offre un environnement restreint pour faire fonctionner des systèmes hôtes. Play Machine propose un accès root à tous les utilisateurs ! Elle se base sur un Ubuntu 24.04. 2 idées motivent ce choix surprenant :
- montrer que AppArmor est sécurisé pour permettre un accès root
- montrer que le root n'est pas un graal de la sécurité actuelle, ni les diverses autorisations Unix
L'auteur veut montrer que les autorisations systèmes ne sont pas les remparts contre les attaques et les hackers. Le rôle de sécurité est dévolu à AppArmor qui fonctionne avec des règles de sécurité, dit Full System Policies. Un environnement isolé comme AppArmor peut suffir à assurer la sécurité et en cas de problème, la machine virtuelle en cause est déjà isolé et ne peut pas corrompre une autre machine.
Vous pensiez que votre smartphone ne craignait rien, bien à l'abri dans votre main ? Pourtant, un gadget en vente libre sur Internet est capable de le brouiller et de pirater de nombreux autres appareils.
Nouvelle vulnérabilité de grande ampleur sur WordPress. Aujourd'hui, le problème vient du thème Motors du CMS. Il permet de voler les comptes administrateurs pour prendre le contrôle complet des sites en modifiant les droits. Cette faille est la CVE-2025-4322. Il faut mettre à jour immédiatement.
Le thème Motors est développé par StylemixThemes. Des dizaines de milliers sites fonctionnent avec ce thème. La faille a été découverte début mai. Le problème vient d'une validation mal définie de l'identitié des utilisateurs. Cela permet aux hackers non référencés de modifier les mots de passe des utilisateurs y compris ceux des administrateurs. Et ensuite : c'est open bar !
Un fix a été distribué en urgence le 14 mai : Motors 5.6.68.
A la conférence Wordfence, une session a expliqué la faille et a montré qu'elle a été largement exploitée. En 2 semaines, plus de 23 000 attaques ont pu être identifiées. La faille est relativement simple à exploiter.
L’écosystème de l’intelligence artificielle se structure fortement autour de la mise à disposition en open source de ressources : modèles, jeux de données, librairies. Cela permet à tout un chacun de se saisir – parfois avec des restrictions – de ces ressources, afin de les adapter à des nouveaux besoins (par exemple en affinant les modèles sur des jeux de données spécifiques) et souvent de les mettre à nouveaux à disposition de la communauté. Ce mode de collaboration est sans nul doute à l’origine de très grands succès en IA. Néanmoins, ce foisonnement de modèles et de jeux de données échangés librement pose question vis-à-vis de la protection des données personnelles et leur traçabilité devient un enjeu majeur. Par exemple, dans le cas où les données à caractère personnel d’un individu seraient présentes dans un jeu de données d’entraînement avec des erreurs, comment est-il possible d’identifier les modèles dans lesquels ces données seraient susceptibles d’être contenues ?
Je me suis rendu dans les entrailles d'OVHcloud pour comprendre les mesures de sécurité en place qui permettent de protéger des milliards de données ⏬ Cliquez ci-dessous pour en savoir plus ⏬.
Envie de propulser tes compétences et ta (future) carrière en Cybersécurité/Informatique ?... alors, 👍 POUCE BLEU, ABONNE TOI ET METS LA CLOCHE 🛎️ ► https://www.youtube.com/c/MichelKartner?sub_confirmation=1
▂▂▂▂▂▂ LIENS UTILES ▂▂▂▂▂▂
👨🎓 FORMATION CYBERSÉCURITÉ CERTIFIANTE (Reconnue par l’État) ► https://cyberini.com/catalogue-formation/
▂▂▂▂▂▂ DESCRIPTION ▂▂▂▂▂▂
OVHcloud est l'un des fournisseurs cloud les plus populaires avec plus de 1,6 millions de clients dans le monde. 450 000 serveurs sont déployés à l'échelle mondiale, dont une partie dans le datacenter de Roubaix que j'ai pu visiter pour vous. Voici donc comment sont crées, assemblés et sécurisés les serveurs d'OVH !
🗨️ On se retrouve dans les COMMENTAIRES pour toutes remarques/questions !
👉 Playlist Hacking éthique - Progresser en cybersécurité, amorcer une carrière ou apprendre par simple intérêt : https://www.youtube.com/playlist?list=PLWf3reNXRVnNCr9nu57LR0PQtm13yGWKq
👉 Playlist Programmation - Apprendre à programmer, quels outils utiliser et bonnes pratiques : https://www.youtube.com/playlist?list=PLWf3reNXRVnPCFLN5dJ-eTQX3EA1-P4GQ
👉 Playlist Anonymat et Données personnelles - Faire les bons choix, révélations et mythes : https://www.youtube.com/playlist?list=PLWf3reNXRVnOeMYIY5zRK_W5Wfx3MxcVj
👨💻 Michel KARTNER est formateur en cybersécurité à l'origine des site Le Blog Du Hacker et Cyberini. Consultant en sécurité informatique junior reconverti en entrepreneur, il cherche à partager ses connaissances dans le but d'aider le plus grand nombre à se protéger contre les cybermenaces et à progresser dans le domaine.
S’il se présente comme un groupe hacktiviste indépendant, sa stratégie, sa sophistication et son mode opératoire font planer l’hypothèse de l’implication des services israéliens.
S’il se présente comme un groupe hacktiviste indépendant, sa stratégie, sa sophistication et son mode opératoire font planer l’hypothèse de l’implication des services israéliens.
Quelle année de folie cette 2024 ! 🙌 Merci de m’avoir soutenu tout au long de cette année. Grâce à vous, on a accompli des choses énormes 💥. Je vous souhaite une magnifique année 2025, pleine de réussite et de bonheur. Et préparez-vous… on va faire encore plus fort en 2025 🚀❤️
Azul et Chainguard veulent mieux sécuriser les images de conteneurs Java. Chainguard produira à partir du code source des images de conteneurs Java intégrant la version OpenJDK supportée par Azul.
Java est au coeur des des applications critiques. Il faut fournir aux entreprises des mises à jour régulières et sécurisées. Azul répond à ce besoin en fournissant des distributions OpenJDK entièrement supportés, pouvant remplacer Oracle Java sans modification — aidant ainsi les organisations à rester conformes et sécurisées tout en réduisant leurs coûts et en libérant leurs équipes pour qu’elles se concentrent sur l’innovation. Les entreprises sont confrontées à une complexité croissante et à des risques accrus pour sécuriser chaque couche de leur pile logicielle — du système d’exploitation au runtime Java en passant par les outils. Les équipes d’ingénierie et de sécurité ont du mal à suivre le rythme des vulnérabilités signalées, des délais de correctifs incohérents, et du besoin de renforcer la sécurité des conteneurs et des machines virtuelles sans nuire à la rapidité de développement ni à la productivité des développeurs. Ces défis sont particulièrement critiques pour les workloads Java, qui nécessitent des mises à jour fréquentes, un support commercial et des environnements de déploiement sécurisés et légers.
Une étude récente de NetRise a montré qu'en moyenne un conteneur contenait 604 vulnérabilités, souvent en incluant des composants obsolètes. De plus, selon le récent rapport State of Java 2025 d’Azul, 33 % des répondants indiquent que leurs équipes DevOps perdent plus de la moitié de leur temps à traiter de faux positifs liés à des vulnérabilités Java, et 49 % des entreprises rencontrent encore des failles Log4j en production — trois ans après leur découverte. Sécuriser le cycle de développement logiciel exige de verrouiller toutes les couches de la pile, du système d’exploitation à l’environnement d’exécution et à la chaîne d’outils.
Les deux éditeurs veulent élever la qualité des conteneurs incluant une OpenJDK et réduire au maximum les vulnérabilités.
Kali Linux est une des distributions les plus utilisées pour le pentesting et le (bon) hacking. La version 2025.2 est disponible depuis quelques jours.
Cette version propose 13 nouveaux outils et d'autres évolutions :
- mise à jour et nouveaux nomx pour les outils dédiés aux hackings de voitures
- mise à jour de NetHunter : support de nouveaux matériels Xiomi, Realme et Samsung
- outil d'analyse de firmware binwalk3
- crfluzz : outil de scan de vulnérabilité CRFL
- dotnut shellcode
- gitxray : scan de dépôts GitHub
- ldeep : utilitaire pour voir en profondeur les annuaires LDAP
- tinja : CLI pour tester les pages web avec un template d'injection
Batterie qui se vide, applis étranges, messages suspects… Et si votre téléphone avait été piraté ? Voici comment détecter une intrusion et les bons gestes à adopter pour protéger vos données et sécuriser votre appareil.
Une vilaine vulnérabilité touche / touchait plus de 46 000 instances de Grafana connectées au Web. La vulnérabilité concerne une redirection côté client permettant l'exécution d'un plugin malveillant et la prise de contrôle du compte. Cette faille est connue sous la référence CVE-2025-4123 : "Une vulnérabilité de script intersite (XSS) existe dans Grafana, causée par la combinaison d'une traversée de chemin client et d'une redirection ouverte. Cela permet aux attaquants de rediriger les utilisateurs vers un site web hébergeant un plugin frontend exécutant du JavaScript arbitraire. Cette vulnérabilité ne nécessite pas d'autorisations et, si l'accès anonyme est activé, le XSS fonctionne. Si le plugin Grafana Image Renderer est installé, il est possible d'exploiter la redirection ouverte pour obtenir un SSRF en lecture complète. La politique de sécurité du contenu (CSP) par défaut de Grafana bloque le XSS via la directive « connect-src »".
Grafana indique que la faille est patchée dans les versions : v10.4.18+security-01, v11.2.9+security-01, v11.3.6+security-01, v11.4.4+security-01, v11.5.4+security-01, v11.6.1+security-01, and v12.0.0+security-01
Profitez de Bitdefender Security for Creators et économisez 70% grâce à ce lien 👉 https://bit.ly/Securityforcreator
🔒 Protégez votre chaîne YouTube et votre contenu contre les hackers avec une sécurité IA avancée :
✅ Surveillance 24/7 de votre compte YouTube
✅ Protection antiphishing pour vos e-mails
✅ Assistance au recouvrement de compte en cas de piratage
✅ Sécurisation de vos appareils (PC, mobile, tablette)
Ne laissez pas un cybercriminel ruiner votre travail, sécurisez votre empire digital dès maintenant ! 🚀
Selon le baromètre annuel de Bpifrance publié vendredi 13 juin, les tensions commerciales viennent au second rang des préoccupations des entreprises de taille intermédiaire tricolores.
🔐 Protégez vos mots de passe avec Bitdefender SecurePass
Un seul mot de passe pour tous les gérer, sur tous vos appareils.
Générez, sauvegardez, synchronisez et sécurisez vos accès facilement et sans stress.
Bitdefender SecurePass chiffre toutes vos données de bout en bout, détecte les fuites de mots de passe et simplifie votre vie numérique.
➡️ Essayez gratuitement pendant 30 jours ici : https://bit.ly/3xQULwa
Passionné de sport, vous avez choisi de pirater certaines compétitions, en particulier le football, en utilisant un réseau social comme Telegram ou par le biais d’une IPTV ? Racontez-nous votre expérience.
Passionné de sport, vous avez choisi de pirater certaines compétitions, en particulier le football, en utilisant un réseau social comme Telegram ou par le biais d’une IPTV ? Racontez-nous votre expérience.
Cette vulnérabilité d’un nouveau genre, corrigée a priori avant d’avoir pu être exploitée, permettrait aux acteurs malintentionnés d’aspirer les données d’entreprise sans nécessiter la moindre action de ses employés.
Les équipes de JFrog ont découvert un nouveau package malveillant sur PyPi qui accumulent les problèmes de sécurité : chimera-sandbox-extensions. Il se confond avec Chimera Sandbox qui sert à créer et à tester des LLM. Ce package malveillant a été conçu pour dérober des identifiants ainsi que d’autres informations sensibles, telles que la configuration de Jamf, les variables d’environnement CI/CD, les jetons AWS, et bien plus encore.
JFrog résumé ainsi la découverte :
Le malware chimera-sandbox se distingue par son caractère hautement ciblé, s’attaquant spécifiquement aux environnements corporate et cloud afin d’exfiltrer des données sensibles telles que des jetons cloud, des informations CI/CD et des fichiers de configuration.
Une fois exécuté, le malware établit une connexion sophistiquée avec le serveur de l’attaquant, depuis lequel il télécharge et exécute un payload Python de type infostealer.
Ce dernier cible avec précision les données associées à l’infrastructure des entreprises, qu’il transmet ensuite au serveur distant via une requête POST.
La logique côté serveur analyse ces informations volées afin de déterminer s’il convient de déployer un second payload, destiné à prolonger ou intensifier l’activité malveillante.
La découverte du package chimera-sandbox-extensions illustre l’essor d’attaques avancées au sein des dépôts open source, et rappelle la nécessité d’une vigilance accrue lors de l’installation de packages tiers.
Elle souligne également l’importance pour les équipes de sécurité de mettre en place une surveillance continue et de réagir rapidement face aux menaces identifiées.
Il est vivement recommandé aux utilisateurs concernés de révoquer immédiatement tout jeton compromis et de supprimer le package malveillant. JFrog Xray a d’ores et déjà été mis à jour pour détecter ce package.
La sécurité est un domaine sur lequel Azul veut se différentier. Connu pour sa JDK, l'éditeur propose d'autres outils tels que Azul Vulnerability Detection. Sa mission est de détecter les vulnérabilités jusqu'à identifier la classe mise en cause tout en réduisant drastiquement les faux positifs. "Azul Vulnerability Detection s’appuie sur des données d’exécution collectées en production au niveau des classes. Cela permet aux organisations de se concentrer uniquement sur les chemins de code réellement utilisés, réduisant ainsi les faux positifs de 100 à 1 000 fois par rapport aux autres outils. Les équipes DevOps peuvent ainsi hiérarchiser plus rapidement les vrais risques, renforcer leur posture de sécurité et améliorer significativement la productivité des développeurs." indique l'éditeur.
Les composants Java comme Log4j sont constitués de fichiers JAR (Java ARchive), qui contiennent généralement de nombreuses classes. Il est donc possible qu’un composant vulnérable soit présent dans l’application sans que la classe vulnérable ne soit jamais invoquée — ce qui signifie que l’application n’est pas réellement exposée.
L'outil s’appuie sur une base de connaissances enrichie, qui fait le lien entre les CVE et les classes réellement utilisées à l’exécution. Cela permet de cibler précisément les composants vulnérables, de les corriger plus efficacement, et d’éliminer jusqu’à 99 % des faux positifs.
L'éditeur met en avant 4 avantages :
Tri efficace des nouvelles vulnérabilités : détection continue et en temps réel des failles Java en production, permettant une réponse rapide, notamment lors d’incidents critiques comme Log4j.
Analyse en temps réel et historique, enrichie par l’IA : conserve l’historique des composants et de leur usage, pour une traçabilité fine. L’équipe sécurité d’Azul utilise l’IA pour identifier rapidement les nouvelles CVE Java dans la base NVD et autres sources, et met à jour sa base de données en continu.
Surveillance en production des JDK Oracle et OpenJDK : fonctionne avec toutes les JVM basées sur OpenJDK (Azul, Amazon, Temurin, Microsoft, Red Hat, etc.), indépendamment du fournisseur.
Aucun impact sur la performance : s’appuie sur les données disponibles au sein même de la JVM à l’exécution, sans surcoût ni dégradation des performances — ce qu’aucun autre outil ne permet à ce niveau de précision.
