Options Mon compte Next INpact
Affichage
Modifications sauvegardées
  • Smileys
  • Images
  • Commentaires par actu
  • Commentaires sous les news
  • Désactiver la version mobile
  • Taille de police
Close

Vous consultez la version mobile de ce contenu.

Cliquez ici pour être redirigé vers la version complète, ou attendez 5 secondes. Fermez ce pop-up pour continuer sur la version mobile.

5
secondes

Les abonnés Office 365, particuliers comme entreprises, disposent de plusieurs fonctions supplémentaires de sécurité, réunies sous la bannière ATP (Advanced Threat Protection). Parmi elles, les Safe Links.

Plutôt que d’afficher les vrais liens dans les emails, les serveurs de Microsoft les remplacent par des adresses maison. Cliquer sur l’un d’eux ouvrira le lien dans une zone protégée, l’entreprise s’assurant que rien de douteux n’est chargé. Si tout va bien, l’utilisateur voit le contenu s’afficher. Sinon, il reçoit un message d’avertissement.

Problème, il est possible – et même simple – de contourner ce mécanisme. Des pirates ont exploité une brèche dans le processus leur permettant d’ajouter des espaces sans chasse (zero-width spaces, ZWSP). Le moteur d’analyse d’Office 365 ne reconnaissait alors plus les adresses comme telles et manquait donc sa cible.

Découverte par la société de sécurité Avanan, la faille a été remontée à Microsoft le 10 novembre et a fait l’objet d’un travail commun. Le souci est réglé depuis le 9 janvier, mais a eu le temps d’être exploité pendant une durée inconnue.


Chargement des commentaires
À découvrir dans #LeBrief

Des chercheurs ont révélé que Steam contenait une faille qui, exploitée, pouvait permettre une exécution de code arbitraire sur la machine.

La faille résidait dans toutes les versions du client, mais les chercheurs ne sont arrivés à l’exploiter que sous Windows. Les chances de succès étaient d’environ 0,2 % à chaque fois. Le chiffre peut paraître faible, mais les chercheurs évoquent une victime toutes les 512 tentatives, un ratio bien assez dangereux.

La vulnérabilité se situait dans le navigateur de serveurs. Ce dernier permet aux joueurs de chercher un serveur disponible pour certains jeux, dont CS:GO, Half-Life 2 et Team Fortress 2. Les chercheurs ont montré qu’il était possible d’y placer un serveur malveillant.

Valve a été averti du problème en décembre et a corrigé depuis la faille sur l’ensemble des plateformes. Les chercheurs ont été récompensés de 15 000 dollars, auxquels est venue s’ajouter une prime de 3 000 dollars.

On ne sait cependant pas si la faille a eu le temps d’être exploitée, ni Valve ni les chercheurs n’abordant ce point.

Le régulateur explique que son « tableau de bord trimestriel vise à mettre en lumière l’état des déploiements des opérateurs mobiles au regard de ces nouvelles obligations de déploiement ». Il a été mis à jour pour intégrer les données du quatrième trimestre 2018.

Les informations sont également disponibles en open data sur cette page.

Dans le même temps, un arrêté ministériel publié ce matin au JO définit « les premières listes des zones à couvrir pour l’année 2019 ». Une centaine de zones sont ainsi mises en avant. Une consultation publique avait été lancée en février, justement pour définir les zones à couvrir en priorité pour 2019.

« Dans chaque zone, les opérateurs désignés sont tenus de fournir des services de radiotéléphonie mobile et d'accès mobile à très haut débit [...] au moyen de l'installation de nouveaux sites dont le nombre est défini en annexe, en vue notamment d'assurer la couverture des points d'intérêt de la zone ».

Après un énième retard annoncé début février par la NASA, le premier lancement de la capsule CST-100 (Crew Space Transportation) Starliner de Boeing était programmé pour avril. Selon des sources de Reuters, il faudra finalement attendre le mois d'août.

Pour rappel, cette capsule est prévue pour envoyer des humains dans l'espace et sur la Station spatiale internationale. Ce premier vol test sera par contre inhabité. La capsule Crew Dragon de SpaceX a pour sa part réussi cette première étape avec succès.

Ce décalage de trois mois entraine aussi un même glissement de la date du premier lancement habité. Il est désormais prévu pour novembre, au lieu d'août. Interrogé par nos confrères, un porte-parole de Boeing a refusé de commenter.

Depuis plusieurs années, l'outil permet déjà de contrôler à distance son terminal mobile sous Android. Une mise à jour déployée cette semaine ajoute la prise en charge d'Android TV.

Les notes de version indiquent également que divers correctifs et améliorations ont été apportés, notamment un problème avec les terminaux sous Android 8 (Oreo) ou une version plus récente du système d'exploitation.