Microsoft met en garde contre une pratique non s\u00e9curis\u00e9e dans laquelle les d\u00e9veloppeurs de logiciels incorporent des cl\u00e9s de machine ASP.NET divulgu\u00e9es publiquement \u00e0 partir de ressources accessibles au public, mettant ainsi leurs applications dans le chemin des attaquants.<\/p>\n
L’\u00e9quipe de renseignement sur les menaces du g\u00e9ant de la technologie a d\u00e9clar\u00e9 avoir observ\u00e9 une activit\u00e9 limit\u00e9e en d\u00e9cembre 2024 qui impliquait un acteur de menace inconnu utilisant une cl\u00e9 de machine ASP.NET statique ASP.NET pour injecter un code malveillant et livrer le cadre de Godzilla apr\u00e8s l’exploitation.<\/p>\n
Il a \u00e9galement not\u00e9 qu’il avait identifi\u00e9 plus de 3 000 cl\u00e9s divulgu\u00e9es publiquement qui pourraient \u00eatre utilis\u00e9es pour ces types d’attaques, qu’il appelle Attaques d’injection de code ViewState<\/a>.<\/p>\n “Alors que de nombreuses attaques d’injection de code Viewstate auparavant connues utilisaient des cl\u00e9s compromises ou vol\u00e9es qui sont souvent vendues sur les forums Web Dark, ces cl\u00e9s divulgu\u00e9es publiquement pourraient pr\u00e9senter un risque plus \u00e9lev\u00e9 car elles sont disponibles dans plusieurs r\u00e9f\u00e9rentiels de code et auraient pu \u00eatre pouss\u00e9s dans le code de d\u00e9veloppement sans modification “Microsoft dit<\/a>.<\/p>\n ViewState est une m\u00e9thode utilis\u00e9e dans le framework ASP.NET pour pr\u00e9server les valeurs de page et de contr\u00f4le entre les post-doss. Cela peut \u00e9galement inclure des donn\u00e9es d’application sp\u00e9cifiques \u00e0 une page.<\/p>\n “Par d\u00e9faut, les donn\u00e9es d’\u00e9tat de vue sont stock\u00e9es dans la page dans un champ cach\u00e9 et sont cod\u00e9es \u00e0 l’aide de Base64 Encoding”, Microsoft notes<\/a> dans sa documentation. “En outre, un hachage des donn\u00e9es d’\u00e9tat de vue est cr\u00e9\u00e9 \u00e0 partir des donn\u00e9es en utilisant une touche de code d’authentification (Mac).<\/p>\n En utilisant une valeur de hachage, l’id\u00e9e est de s’assurer que les donn\u00e9es de l’\u00e9tat de vue n’ont pas \u00e9t\u00e9 corrompues ou falsifi\u00e9es par des acteurs malveillants. Cela dit, si ces cl\u00e9s sont vol\u00e9es ou rendues accessibles \u00e0 des tiers non autoris\u00e9s, il ouvre la porte \u00e0 un sc\u00e9nario o\u00f9 l’acteur de menace peut exploiter les cl\u00e9s pour envoyer une demande de vue malveillante et ex\u00e9cuter un code arbitraire.<\/p>\n “Lorsque la demande est trait\u00e9e par ASP.NET Runtime sur le serveur cibl\u00e9, la vue est d\u00e9crypt\u00e9e et valid\u00e9e avec succ\u00e8s car les bonnes touches sont utilis\u00e9es”, a not\u00e9 Redmond. “Le code malveillant est ensuite charg\u00e9 dans la m\u00e9moire du processus de travail et ex\u00e9cut\u00e9, fournissant les capacit\u00e9s d’ex\u00e9cution de code \u00e0 distance de la menace sur le serveur Web cible IIS.”<\/p>\n Microsoft a fourni un Liste des valeurs de hachage<\/a> pour les cl\u00e9s de machine divulgu\u00e9es publiquement, exhortant les clients \u00e0 v\u00e9rifier<\/a> les contre les cl\u00e9s de la machine utilis\u00e9e dans leurs environnements. Il a \u00e9galement averti qu’en cas d’exploitation r\u00e9ussie de cl\u00e9s divulgu\u00e9es publiquement, la simple rotation des cl\u00e9s ne sera pas suffisante car les acteurs de la menace ont peut-\u00eatre d\u00e9j\u00e0 \u00e9tabli de la persistance sur l’h\u00f4te.<\/p>\n Pour att\u00e9nuer le risque pos\u00e9 par de telles attaques, il est conseill\u00e9 de ne pas copier les cl\u00e9s \u00e0 partir de sources accessibles au public et de faire tourner r\u00e9guli\u00e8rement des cl\u00e9s. \u00c0 titre suppl\u00e9mentaire pour dissuader les acteurs de la menace, Microsoft a d\u00e9clar\u00e9 avoir supprim\u00e9 les artefacts cl\u00e9s des “instances limit\u00e9es” o\u00f9 ils \u00e9taient inclus dans sa documentation.<\/p>\n Le d\u00e9veloppement intervient alors que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Cloud Aqua a r\u00e9v\u00e9l\u00e9 des d\u00e9tails Gardien OPA<\/a> contournement qui pourrait \u00eatre exploit\u00e9 pour mener des actions non autoris\u00e9es dans les environnements de Kubernetes, notamment le d\u00e9ploiement d’images de conteneurs non autoris\u00e9s.<\/p>\n “Dans la politique de K8SallowEredrepos, un risque de s\u00e9curit\u00e9 d\u00e9coule de la fa\u00e7on dont la logique Rego est r\u00e9dig\u00e9e dans le fichier CONSTRAINTTEMPLAT”, les chercheurs Yakir Kadkoda et Assaf Morag dit<\/a> Dans une analyse partag\u00e9e avec les hacker News.<\/p>\n “Ce risque est encore amplifi\u00e9 lorsque les utilisateurs d\u00e9finissent des valeurs dans le fichier YAML de contrainte qui ne s’alignent pas sur la fa\u00e7on dont la logique Rego les traite. Ce d\u00e9calage peut entra\u00eener des contournements de politique, ce qui rend les restrictions inefficaces.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Microsoft-identifie-3-000-cles-ASPNET-divulguees-permettant-des-attaques.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n