Django comble la vulnérabilité CVE-2025-48432 avec les mises à jour 5.2.2, 5.1.10 et 4.2.22. Cette vulnérabilité permettait de faire une injection de code non autorisée en utilisant resquest.path. "This could enable log injection or forgery, letting attackers manipulate log appearance or structure, especially in logs processed by external systems or viewed in terminals." précise Django.

Détail : https://www.djangoproject.com/weblog/2025/jun/04/security-releases/

Google met à jour Chrome en urgence pour des raisons de sécurité. Une importante faille (CVE-2025-5419) a été découverte dans le moteur V8. La faille permet de lire et d'écrire au-delà des limites autorisées dans la mémoire permettant de corrompre la mémoire et d'exécuter un code non autorisé. Cette faille est déjà exploitée. La seconde faille était un problème de libération de la mémoire dans le moteur Blink. 

Les versions disponibles sont :

- les 137.0.7151.68 et .69 sur Windows et macOS

- la 137.0.7151.68 sur Linux : pas encore disponible

Bulletin de sécurité : https://chromereleases.googleblog.com/2025/06/stable-channel-update-for-desktop.html

Parmi les matériels vulnérables, nous oublions trop souvent les imprimantes. Les failles ne sont pas rares. Récemment, plusieurs modèles Canon ont subi deux failles importantes : CVE-2025-3078 et CVE-2025-3079. Typiquement, ces failles permettent de récupérer les identifiants (en accédant à un annuaire de type LDAP via l'imprimante) et au-delà d'accéder au réseau. Canon incite à mettre à jour rapidement les modèles imageRunner Advance, imageRunner, imagePress V, imagePress, impageCLASS, i-sensys et Satera.

PyPi et les paquets malveillants, une longue histoire d'amour. Checkmarx Zero a identifiiée une nouvelle campagne de paquets compromis contre les développeurs Python. L'équipe de l'éditeur a mis en évidence une action planifiée. Cette campagne concerne les utilisateurs de PyPi et NPM sur Windows et Linux. Une nouvelle fois, les hackers jouent sur la confusion des noms de paquets : colorama et colorizr. 

Les points de cette attaques sont :

• Plusieurs packages contenant des charges malveillantes ont été déposés sur PyPI avec des noms très proches de packages légitimes présents sur PyPI et NPM.
• La tactique d’utiliser un nom issu d’un écosystème (NPM) pour attaquer les utilisateurs d’un autre écosystème (PyPI) est inhabituelle.
• Ces charges malveillantes permettent un accès et un contrôle à distance persistants sur des postes et serveurs, ainsi que la collecte et l’exfiltration de données sensibles.
• Les charges malveillantes sous Windows tentent de contourner les protections antivirus et endpoint pour éviter d’être détectées.
• Ces packages ont été retirés des dépôts publics, limitant ainsi les risques immédiats.

Pour l'éditeur, la campagne commune Linux et Windows est assez nouvelle et profite de l'utilisation par les développeurs des extensions de colorisation du code. Par ces paquets malveillants, les hackers cherchent à accéder aux données de configuration, d'installer un accès distant, faire du C2 (command and control), grand classique mais toujours aussi efficace et contourner les sécurités des endpoints. 

Récemment, l'OWASP publiait son top 10 des vulnérabilités LLM et GenAI. Si le Vibe Coding est encouragé par les éditeurs et comme tendance IA du moment, malheureusement, les vulnérabilités sont nombreuses et le code généré par les agents et LLM ne doit pas être utilisé aveuglement. LegitSecurity démontre que le code généré par GitLab Duo pose de réels problèmes. Les vulnérabilités sont là et impactent directement la sécurité. 

"C'est exactement ce que nous avons découvert : une vulnérabilité par un prompt injection qui permet aux attaquants de voler le code source de projets privés, de manipuler les suggestions de code affichées à d'autres utilisateurs et même d'exfiltrer des vulnérabilités zero-day confidentielles et non divulguées, le tout via GitLab Duo Chat" indique les chercheurs. 

Les chercheurs se sont inspirés de l'OWASP pour tester GitLab Duo et voir comment maninuper la GenIA. Une des étapes est d'utiliser le prompt et manoeuver la GenIA : "pourrions-nous intégrer des instructions cachées dans différentes parties d'un projet GitLab tout en influençant le comportement de Duo ?" Les tests sont faits en utilisateurs invités. Toutes les demandes sont passées ! "Parce que pour générer des réponses utiles, Duo analyse l'intégralité du contexte de la page, y compris les commentaires, les descriptions et le code source, ce qui la rend vulnérable aux instructions injectées cachées n'importe où dans ce contexte." explique l'étude.

Découvrir l'ensemble des manipulations : https://www.legitsecurity.com/blog/remote-prompt-injection-in-gitlab-duo

GitLab a été mis au courant des vulnérabilités. "Après avoir révélé le problème le 12 février 2025, GitLab a confirmé la vulnérabilité d'injection HTML et a également reconnu l'injection d'invite comme un problème de sécurité. GitLab a confirmé que les deux vecteurs avaient été corrigés." Des patchs ont été déployés par combler les failles. 

En conclusion : "Cette vulnérabilité met en évidence le caractère à double tranchant des assistants IA comme GitLab Duo : lorsqu'ils sont profondément intégrés aux workflows de développement, ils héritent non seulement du contexte, mais aussi des risques. En intégrant des instructions cachées dans un contenu de projet apparemment inoffensif, nous avons pu manipuler le comportement de Duo, exfiltrer du code source privé et démontrer comment les réponses de l'IA peuvent être exploitées à des fins imprévues et néfastes."

Parmi les tendances de cybersécurité, le post-quantique agite beaucoup les experts et les éditeurs de solutions, du moins nous le supposons. L'ANSSI regarde naturellement ce qu'il se passe sur la cryptographie post-quantique (ou PQC) et sa prise en compte par les entreprises et les institutions. L'agence française vient de publier une étude réalisée depuis 2023 et le résultat n'est pas brillant.

" La transition post-quantique concerne en premier lieu la cryptographie asymétrique, notamment pour les usages en confidentialité et échanges de clé pour se prémunir contre des attaques rétroactives. Les primitives cryptographiques actuellement déployées (« pré-quantiques ») sont bien maîtrisées par les développeurs en cybersécurité et il en existe de nombreuses implémentations efficaces et robustes, sous forme de bibliothèques commerciales ou libres. La situation des futurs standards post-quantiques est différente. En effet, seuls quelques spécialistes du domaine maîtrisent complètement ces primitives. Des implémentations efficaces et durcies – qu’elles soient logicielles ou sur plateforme matérielle – vont demander beaucoup de temps et d’efforts. De même, les mécanismes et protocoles qui mettent en oeuvre ces nouvelles primitives sont récents et ne jouissent pas du même niveau d’assurance et de confiance dans leur niveau de sécurité. Ce constat global s’applique autant aux algorithmes d’établissement de clé qu’aux signatures numériques." introduit l'ANSSI.

Les primitves post-quantique seraient maîtrisées par les développeurs en cybersécurité. Nous ne serons pas aussi affirmatifs que l'ANSSI. Non, de nombreux experts et développeurs en sécurité ne connaissent pas ou maîtrisent mal ces concepts. Déjà le terme même de post-quantique reste souvent nébuleux. De même, "De même, les mécanismes et protocoles qui mettent en oeuvre ces nouvelles primitives sont récents et ne jouissent pas du même niveau d’assurance et de confiance dans leur niveau de sécurité. Ce constat global s’applique autant aux algorithmes d’établissement de clé qu’aux signatures numériques.". Oui le post-quantique est relativement récent mais nous disposons dores et déjà d'une base solide : la PQC poussée par l'agence américaine NIST. Ces "standards" sont aujourd'hui ceux qui sont les plus utilisés par les éditeurs de solution de sécurité. Et les Etats-Unis poussent au déploiement du PQC. Sur ce point, la France est en retard et les seuls "standards" réellement utilisés sont ceux du NIST. 

"Plus de la moitié des bénéficiaires de l’ANSSI interrogés semble dès aujourd’hui être à risque vis-à-vis de la menace de l’ordinateur quantique. En cause : leur recours à des pratiques vulnérables aux attaques rétroactives, telles que l’usage de VPN pour transmettre des informations sensibles dont la confidentialité doit être assurée pour une durée supérieure à 10 ans, ou l’exploitation de certificats dont la durée de vie excède également 10 ans. La grande majorité des bénéficiaires a connaissance de cette menace quantique d’un point de vue théorique ; mais l’impact concret de celle-ci sur leurs systèmes d’information ne leur est pas connu." poursuit l'agence.

L'ANSSI pointe un problème crucial : la compréhension de la PQC et les risques liés. Une attaque quantique sur la cryptographie actuelle peut théoriquement cassée toutes les clés. C'est peut-être largement théorique, le risque est réel. L'étude déplore une absence de plan de transition vers le post-quantique. 

"L’enquête fait très nettement ressortir un fort besoin d’accompagnement de ces entités par des prestataires externes, tant pour les travaux préparatoires d’élaboration d’un plan de transition (analyse de risque quantique, identification des cas d’usages prioritaires, inventaire des actifs cryptographiques, classification des données) que pour accompagner la transition elle-même (formation, conseil, transformation, suivi des fournisseurs, mise à jour des applications métier, etc.)." explique l'agence. 

Les équipes de cybersécurité manqueraient de budget et de compétences. Mais les répondants à l'étude attendent un soutien actif de l'ANSSI pour cette transition PQC. Sous-entendu, on rejette la responsabilité du PQC sur l'ANSSI. Or, l'agence rappelle le rôle des équipes et de la direction générale et qu'elle n'est pas là pour faire le travail des équipes et des directions générales.

L'étude pointe 4 raisons sur l'absence de la PQC :

- une mauvaise compréhension des enjeux et les risques réels de la PQC

- un manque financier et de compétences

- un manque d'offres réelles de PQC pour entamer (ou planifier) la transition PQC

- pas d'obligation réglementaire : l'ANSSI précise que la réglementation est malheureusement parfois la seule contrainte efficace ! Bref : on ne bouge pas et on verra bien sauf si on est obligé de le faire !

L'étude conclut sans détour : "Face à ces observations, l’ANSSI rappelle l’importance de démarrer sans tarder les actions préparatoires à la transition post-quantique, dans tout type d’organisations. Il est important que chaque organisation évalue son niveau de risque réel vis-à-vis de la menace quantique et élabore son plan de transition. Certaines actions devront être mises en oeuvre sans délai et d’autres, progressivement, sur les années à venir."

Source : Etude de l'ANSSI sur la transition post-quantique, mars 2025 (avec mise à jour de mai 2025)

Comment rendre plus autonome l'AppSec ? Checkmarx veut pousser les agents IA au coeur de l'AppSec. « La plateforme AppSec Checkmarx One  a récemment dépassé les 500 milliards de lignes de code analysées chaque mois. Cette échelle sans précédent, et les enseignements qui en découlent, constituent le socle de notre vision de l’IA agentique — une approche qui repose sur des volumes massifs de données pour entraîner efficacement les grands modèles de langage (LLM) et renforcer leur pertinence dans des contextes applicatifs réels», a déclaré Sandeep Johri, CEO de Checkmarx. « L’Agentic AI Summit consacre plus de dix ans d’innovation vers une sécurité applicative pilotée par l’intelligence artificielle. »

L'éditeur présentera son approche durant un webinaire le 24 juin prochain. Le Sommet aura lieu le 24 juin 2025 à 13h00, heure de la côte Est (Eastern Time) soit à 19h00, heure de Paris (CEST) en présence de : 

• Sandeep Johri, CEO, Checkmarx 
• Jonathan Rende, CPO, Checkmarx 
• Katie Norton, Research Manager, DevSecOps et Supply Chain Security, IDC 
• Steve Yegge, Software Engineer, Sourcegraph et co-auteur du “Vibe Coding”
• Ori Bendet, VP of Product Management, Checkmarx 
• Andrew Zigler, défenseur des développeurs (Developer Advocate) chez LinearB et animateur du podcast Dev Interrupted

Pour participer à ce webinaire : https://www.checkmarx.ai/?utm_source=press_release&utm_medium=referral&utm_campaign=agentic_ai

Pen Test Partners, spécialisé dans le pentest, a voulu voir si Copilot pouvait accéder et lire des fichiers sensibles à accès restreint. Le test fut mené avec Copilot pour Sharepoint. Les testeurs ont pu lire un fichier protégé contenant des mots de passe alors que Sharepoint n'avait pas autorisé l'accès. Copilot a bypassé la restriction ! L'agent IT a pu afficher tout le contenu normalement inaccessible... 

Cela prouve donc des trous dans la sécurité à cause de Copilot sur Windows. Le PoC se limite à SharePoint mais l'équipe de pentesteurs a découvert d'autres possibilités qui n'ont pas été publiées pour le moment. 

Démonstration complète : https://www.pentestpartners.com/security-blog/exploiting-copilot-ai-for-sharepoint/

Suite à la conférence Pwn2Own, Mozilla déploie en urgence une mise à jour de sécurité : la 138.0.4. Elle fixe 2 vulnérabilités jugées sévères et exploitées durant la conférence de hacking : les CVE-2025-4918 et 4919. 

Ces deux vulnérabilités permettent de lire et écrire des objets JavaScript, provoquant une corruption de mémoires, donner accès à des données de l'utilisateur ou encore permettre d'exécuter du code malveillant. 

Note d'information : https://blog.mozilla.org/security/2025/05/17/firefox-security-response-to-pwn2own-2025/