{"id":1131309,"date":"2024-02-03T09:39:29","date_gmt":"2024-02-03T11:39:29","guid":{"rendered":"https:\/\/teknomers.com\/fr\/la-vulnerabilite-mastodon-permet-aux-pirates-de-detourner-nimporte-quel-compte-decentralise\/"},"modified":"2024-02-03T09:39:33","modified_gmt":"2024-02-03T11:39:33","slug":"la-vulnerabilite-mastodon-permet-aux-pirates-de-detourner-nimporte-quel-compte-decentralise","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/la-vulnerabilite-mastodon-permet-aux-pirates-de-detourner-nimporte-quel-compte-decentralise\/","title":{"rendered":"La vuln\u00e9rabilit\u00e9 Mastodon permet aux pirates de d\u00e9tourner n’importe quel compte d\u00e9centralis\u00e9"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>03 f\u00e9vrier 2024<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>Vuln\u00e9rabilit\u00e9 \/ M\u00e9dias Sociaux<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Le r\u00e9seau social d\u00e9centralis\u00e9 Mastodon a r\u00e9v\u00e9l\u00e9 une faille de s\u00e9curit\u00e9 critique qui permet \u00e0 des acteurs malveillants de usurper l’identit\u00e9 et de prendre le contr\u00f4le de n’importe quel compte.<\/p>\n

“En raison d’une validation d’origine insuffisante dans tous les Mastodon, les attaquants peuvent usurper l’identit\u00e9 et prendre le contr\u00f4le de n’importe quel compte distant”, ont d\u00e9clar\u00e9 les responsables dans un avis laconique.<\/p>\n

La vuln\u00e9rabilit\u00e9, suivie comme CVE-2024-23832<\/strong><\/a>a un indice de gravit\u00e9 de 9,4 sur un maximum de 10. Chercheur en s\u00e9curit\u00e9 arcanicanis<\/a> a \u00e9t\u00e9 cr\u00e9dit\u00e9 de sa d\u00e9couverte et de son rapport.<\/p>\n

Cela a \u00e9t\u00e9 d\u00e9crit comme une “erreur de validation d’origine” (CWE-346<\/a>), qui peut g\u00e9n\u00e9ralement permettre \u00e0 un attaquant \u00ab d’acc\u00e9der \u00e0 toute fonctionnalit\u00e9 accessible par inadvertance \u00e0 la source \u00bb.<\/p>\n

Chaque version de Mastodon ant\u00e9rieure \u00e0 3.5.17 est vuln\u00e9rable, tout comme les versions 4.0.x ant\u00e9rieures \u00e0 4.0.13, les versions 4.1.x ant\u00e9rieures \u00e0 4.1.13 et les versions 4.2.x ant\u00e9rieures \u00e0 4.2.5.<\/p>\n

Mastodon a d\u00e9clar\u00e9 qu’il retiendrait les d\u00e9tails techniques suppl\u00e9mentaires sur la faille jusqu’au 15 f\u00e9vrier 2024, afin de donner administrateurs<\/a> suffisamment de temps pour mettre \u00e0 jour les instances du serveur et \u00e9viter tout risque d\u2019exploitation.<\/p>\n

\"La<\/a><\/center><\/div>\n

“N’importe quelle quantit\u00e9 de d\u00e9tails rendrait tr\u00e8s facile la d\u00e9couverte d’un exploit”, a-t-il d\u00e9clar\u00e9.<\/p>\n

La nature f\u00e9d\u00e9r\u00e9e de la plate-forme signifie qu’elle fonctionne sur des serveurs distincts (alias instances), h\u00e9berg\u00e9s et exploit\u00e9s de mani\u00e8re ind\u00e9pendante par des administrateurs respectifs qui cr\u00e9ent leurs propres r\u00e8gles et r\u00e9glementations appliqu\u00e9es localement.<\/p>\n

Cela signifie \u00e9galement que non seulement chaque instance dispose d’un code de conduite, de conditions d’utilisation, d’une politique de confidentialit\u00e9 et de directives de mod\u00e9ration de contenu uniques, mais que cela oblige \u00e9galement chaque administrateur \u00e0 appliquer des mises \u00e0 jour de s\u00e9curit\u00e9 en temps opportun pour prot\u00e9ger les instances contre les risques potentiels.<\/p>\n

La divulgation intervient pr\u00e8s de sept mois apr\u00e8s que Mastodon a corrig\u00e9 deux autres failles critiques (CVE-2023-36460 et 2023-36459) qui auraient pu \u00eatre utilis\u00e9es par des adversaires pour provoquer un d\u00e9ni de service (DoS) ou r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n