Options Mon compte Next INpact
Affichage
Modifications sauvegardées
  • Smileys
  • Images
  • Commentaires par actu
  • Commentaires sous les news
  • Désactiver la version mobile
  • Taille de police
Close

Vous consultez la version mobile de ce contenu.

Cliquez ici pour être redirigé vers la version complète, ou attendez 5 secondes. Fermez ce pop-up pour continuer sur la version mobile.

5
secondes

Un chercheur en sécurité russe, Sergey Zelenyuk, vient de publier les détails et une méthode d’exploitation d’une faille de sécurité dans le client de virtualisation VirtualBox, qui prépare actuellement sa version 6.0.

La vulnérabilité existe jusque dans l’actuelle révision stable et a pu être exploitée avec succès sur les versions 16.04 et 18.04 d’Ubuntu. Elle peut en théorie être exploitée partout puisqu’elle réside dans une partie du code commune à toutes les plateformes, VirtualBox fonctionnant sous Linux, macOS, Windows et autres.

Une fois exploitée, la faille permet au pirate de s’échapper de la machine virtuelle et d’accéder au Ring 3 du système hôte, autrement dit l’espace applicatif, celui ayant le moins de privilèges. Il faut donc que la brèche soit couplée avec une ou plusieurs autres pour provoquer une escalade qui permettra l’obtention de droits supplémentaires.

Sergey Zelenyuk n’a pas choisi de fournir les détails à Oracle de manière discrète. Sa publication s’adresse à tous, de même que sa méthode d’exploitation.

Dans son billet de blog, il explique les raisons de son geste : les déclarations de bugs à Oracle lui ont laissé un goût amer. L’éditeur a par exemple mis 6 mois à corriger une vulnérabilité qu’il lui avait signalée, de manière silencieuse et via un bug bounty fonctionnant a priori bien mal.

Oracle n’a donc pas le choix, la faille doit être corrigée rapidement puisque rendue publique. Toute vulnérabilité permettant de s’échapper d’une sandbox est toujours considéré comme très sérieuse.


Chargement des commentaires
À découvrir dans #LeBrief

Après une conférence riche en annonces mais sans presque rien de concret pour l’instant, Apple a publié une vague de mises à jour pour la plupart de ses plateformes : iOS 12.2, macOS 10.14.4 et tvOS 12.2.

iOS 12.2 ajoute de nombreuses nouveautés, bien qu’aucune véritablement majeure. On trouve ainsi quatre nouveaux animojis (girafe, hibou, phacochère et requin), une amélioration de la télécommande intégrée pour Apple TV, l’affichage des contrôles de lecture quand un titre est lancé depuis Siri, la date de fin de l’assurance de Apple Care ou encore le pointage par Safari des sites ne chiffrant pas les connexions.

Dans macOS 10.14.4, le plus gros morceau est Safari 12.1. On retrouve le pointage des sites « non sécurisés », le mode sombre pour les sites qui le supportent, le remplissage automatique des mots de passe, le blocage des notifications push avant toute interaction avec un site et VP8 pour les communications WebRTC.

Notez aussi que Safari 12.1 supprime la fonction Do Not Track, presque plus prise en charge aujourd’hui. C’est aussi une conséquence du renforcement chez Apple de son Intelligent Tracking Prevention (ITP). John Wilander, ingénieur chez Apple, avait expliqué ce choix le mois dernier.

Enfin tvOS 12.2 apporte surtout la capacité de lancer un film depuis un iPhone ou un iPad via Siri. Notez que depuis hier soir, la page consacrée aux Apple TV a renommée l’ancienne quatrième génération en « Apple TV HD », pour mieux la différencier du modèle 4K.

watchOS 5.2 n'est pas encore disponible mais ne saurait tarder. La fonction ECG serait dans la foulée disponible en Europe.

Ce téléphone pliable avait été présenté durant la conférence de Samsung juste avant l'ouverture du MWC de Barcelone.

Il dispose pour rappel d'un écran principal pliable de 7,3" et d'un secondaire de 4,6" utilisable lorsque le premier est plié en deux. Le constructeur donne aujourd'hui de plus amples informations sur sa commercialisation en France et en Europe.

Les préinscriptions sont ainsi ouvertes afin d'être tenu informé. Les précommandes seront lancées le 26 avril, quelques jours avant la commercialisation prévue pour le 3 mai dans 15 pays européens, dont la France.

Samsung précise que le tarif de son Galaxy Fold débutera à 2 000 euros. Il sera livré avec des écouteurs Galaxy Buds, un étui de protection en kevlar et une garantie d'un an à Samsung Care+.

Alors que Samsung a donné rendez-vous le 10 avril pour présenter ses smartphones dans la famille Galaxy A, le fabricant n'a visiblement pas souhaité attendre pour dévoiler son A70.

Il intègre un écran Super AMOLED de 6,7" (2 400 x 1 080 pixels) avec une encoche en forme de goutte d'eau et un lecteur d'empreinte sous la dalle. Il est animé par un SoC à huit coeurs (référence non précisée) avec 6/8 Go de mémoire vive et jusqu'à 128 Go de stockage, extensibles via un lecteur de cartes microSD.

En plus d'un capteur optique de 32 Mpixels en façade, trois caméras sont présentes à l'arrière : 32 Mpixels pour le capteur principal, 8 Mpixels pour le grand-angle et 5 Mpixels pour mesurer la profondeur.

Une batterie de 4 500 mAh et un chargeur rapide de 25 watts complètent l'ensemble. Bien évidemment, Android 9.0 Pie est aux commandes. Pas un mot par contre sur le prix ou la disponibilité, le fabricant donne rendez-vous le 10 avril pour la suite.

En juin dernier, France Télévisions s'associait à M6 et TF1 pour lancer une plateforme commune de vidéos par abonnement. Une initiative qui avait été saluée par le CSA.

Aujourd'hui, l'Autorité de la concurrence annonce qu'elle va procéder à l'examen de Salto, en rappelant que la plateforme « a vocation à proposer les chaînes de la TNT en clair (flux en direct et télévision de rattrapage) ainsi qu'une offre de services de vidéos à la demande ».

L'ADLC explique que « la Commission européenne a considéré que l'Autorité française était la mieux placée pour étudier cette opération de concentration, au regard notamment de l'impact de cette opération sur le marché national et de l'expérience de l'Autorité dans ce secteur ».

Cette opération de renvoi entre la CE et l'ADLC arrive plusieurs fois par an et n'est pas surprenante. Depuis 2009, 28 opérations ont ainsi été transmises à l'Autorité de la concurrence.

Une équipe de quatre chercheurs de l'Institut supérieur coréen de la science et de la technologie (KAIST) a publié le résultat de ses travaux sur la sécurité des connexions LTE. Bilan ? 51 failles, dont une trentaine de nouvelles, beaucoup pouvant faciliter les attaques DDoS.

Ces vulnérabilités ont été découvertes avec la technique du fuzzing, qui consiste à envoyer dans une application ou un service une grande quantité de données aléatoires afin d’examiner le comportement en sortie.

L’équipe du KAIST a d’ailleurs bâti pour l’occasion son propre « fuzzer », baptisée LTEFuzz. Objectif, bombarder un réseau mobile de connexions malveillantes. Les brèches détectées résident autant dans la conception même du protocole LTE que dans son implémentation par les constructeurs.

Les chercheurs indiquent avoir averti toutes les entreprises concernées au sein du 3GPP et de la GSMA, ainsi que les constructeurs. Au vu de l’éventail des failles trouvées, ils estiment qu’au moins plusieurs d’entre elles sont toujours exploitables à l’heure actuelle.

Les conséquences concrètes peuvent aller de l’envoi de SMS frauduleux au blocage des appels entrants sur un appareil, en passant par l’écoute du trafic, la déconnexion des utilisateurs d’un réseau mobile et la perturbation de stations de base.

Les chercheurs considèrent en outre que leur outil reste parfaitement opérationnel sur la 5G NSA (Non-Standalone) tant que certaines implémentations du LTE sont actives. La question reste entière pour la « vraie » 5G.

Notez que les découvertes régulières de failles dans les réseaux 3G et 4G ont été un moteur prépondérant dans l’élaboration de la 5G. Cette dernière n’est pas pour autant sans défaut, comme l’a montré l’actualité récente.