{"id":1288157,"date":"2024-08-20T07:17:21","date_gmt":"2024-08-20T09:17:21","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-milliers-de-sites-oracle-netsuite-risquent-de-divulguer-des-informations-sur-leurs-clients\/"},"modified":"2024-08-20T07:17:28","modified_gmt":"2024-08-20T09:17:28","slug":"des-milliers-de-sites-oracle-netsuite-risquent-de-divulguer-des-informations-sur-leurs-clients","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-milliers-de-sites-oracle-netsuite-risquent-de-divulguer-des-informations-sur-leurs-clients\/","title":{"rendered":"Des milliers de sites Oracle NetSuite risquent de divulguer des informations sur leurs clients"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>20 ao\u00fbt 2024<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 de l’entreprise \/ Violation de donn\u00e9es<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Les chercheurs en cybers\u00e9curit\u00e9 mettent en garde contre la d\u00e9couverte de milliers de sites de commerce \u00e9lectronique Oracle NetSuite externes susceptibles de divulguer des informations sensibles sur les clients.<\/p>\n

\u00ab Un probl\u00e8me potentiel dans la plateforme SuiteCommerce de NetSuite pourrait permettre aux attaquants d’acc\u00e9der \u00e0 des donn\u00e9es sensibles en raison de contr\u00f4les d’acc\u00e8s mal configur\u00e9s sur les types d’enregistrement personnalis\u00e9s (CRT) \u00bb, Aaron Costello d’AppOmni dit<\/a>.<\/p>\n

Il convient de souligner ici que le probl\u00e8me ne r\u00e9side pas dans une faille de s\u00e9curit\u00e9 du produit NetSuite, mais plut\u00f4t dans une mauvaise configuration du client qui peut entra\u00eener une fuite de donn\u00e9es confidentielles. Les informations divulgu\u00e9es comprennent les adresses compl\u00e8tes et les num\u00e9ros de t\u00e9l\u00e9phone portable des clients enregistr\u00e9s des sites de commerce \u00e9lectronique.<\/p>\n

\"Cybers\u00e9curit\u00e9\"<\/a><\/center><\/div>\n

Le sc\u00e9nario d’attaque d\u00e9taill\u00e9 par AppOmni exploite les CRT qui utilisent des contr\u00f4les d’acc\u00e8s au niveau de la table avec le type d’acc\u00e8s \u00ab Aucune autorisation requise \u00bb, qui accorde aux utilisateurs non authentifi\u00e9s l’acc\u00e8s aux donn\u00e9es en utilisant les API d’enregistrement et de recherche de NetSuite.<\/p>\n

Cela dit, pour que cette attaque r\u00e9ussisse, il existe un certain nombre de conditions pr\u00e9alables, la principale \u00e9tant que l’attaquant doit conna\u00eetre le nom des CRT utilis\u00e9s.<\/p>\n

Pour att\u00e9nuer le risque, il est recommand\u00e9 aux administrateurs de sites de renforcer les contr\u00f4les d’acc\u00e8s sur les CRT, de d\u00e9finir les champs sensibles sur \u00ab Aucun \u00bb pour l’acc\u00e8s public et d’envisager de mettre temporairement les sites concern\u00e9s hors ligne pour \u00e9viter l’exposition des donn\u00e9es.<\/p>\n

\u00ab La solution la plus simple du point de vue de la s\u00e9curit\u00e9 peut impliquer de modifier le type d’acc\u00e8s de la d\u00e9finition du type d’enregistrement en \u00ab Exiger l’autorisation d’entr\u00e9es d’enregistrement personnalis\u00e9es \u00bb ou \u00ab Utiliser la liste d’autorisations \u00bb \u00bb, a d\u00e9clar\u00e9 Costello.<\/p>\n

Cette divulgation intervient alors que Cymulate a d\u00e9taill\u00e9 un moyen de manipuler le processus de validation des informations d’identification dans Microsoft Entra ID (anciennement Azure Active Directory) et de contourner l’authentification dans les infrastructures d’identit\u00e9 hybrides, permettant aux attaquants de se connecter avec des privil\u00e8ges \u00e9lev\u00e9s \u00e0 l’int\u00e9rieur du locataire et d’\u00e9tablir la persistance.<\/p>\n