RubyGems, le gestionnaire de packages officiel pour le langage de programmation Ruby, est devenu la derni\u00e8re plate-forme \u00e0 rendre obligatoire l’authentification multifacteur (MFA) pour les mainteneurs de packages populaires, suivant les traces de MNP<\/a> et PyPI.<\/p>\n \u00c0 cette fin, les propri\u00e9taires de gemmes avec plus de 180 millions de t\u00e9l\u00e9chargements au total sont tenus d’activer la MFA \u00e0 compter du 15 ao\u00fbt 2022.<\/p>\n “Les utilisateurs de cette cat\u00e9gorie qui n’ont pas activ\u00e9 MFA au niveau de l’interface utilisateur et de l’API ou de l’interface utilisateur et de la connexion au gem ne pourront pas modifier leur profil sur le Web, effectuer des actions privil\u00e9gi\u00e9es (c’est-\u00e0-dire pousser et tirer des gemmes, ou ajouter et supprimer propri\u00e9taires de gem), ou connectez-vous sur la ligne de commande jusqu’\u00e0 ce qu’ils configurent MFA,” RubyGems c’est not\u00e9<\/a>.<\/p>\n De plus, les mainteneurs de gemmes qui franchissent 165 millions de t\u00e9l\u00e9chargements cumul\u00e9s devraient recevoir des rappels pour activer MFA jusqu’\u00e0 ce que le nombre de t\u00e9l\u00e9chargements atteigne le seuil de 180 millions, auquel cas il deviendra obligatoire.<\/p>\n Le d\u00e9veloppement est consid\u00e9r\u00e9 comme une tentative des \u00e9cosyst\u00e8mes de packages pour renforcer la cha\u00eene d’approvisionnement des logiciels et emp\u00eacher les attaques de prise de contr\u00f4le de compte, ce qui pourrait permettre \u00e0 des acteurs malveillants de tirer parti de l’acc\u00e8s pour envoyer des packages malveillants aux clients en aval.<\/p>\n La nouvelle exigence intervient \u00e9galement dans le contexte d’adversaires qui se tournent de plus en plus vers les r\u00e9f\u00e9rentiels de code open source, avec des attaques contre NPM et PyPI faisant boule de neige de 289% combin\u00e9s depuis 2018, selon une nouvelle analyse de ReversingLabs<\/a>.<\/p>\n Dans ce qui est devenu un th\u00e8me r\u00e9current, des chercheurs de Checkmarx<\/a>, Kaspersky<\/a>et Snyk<\/a> a d\u00e9couvert une multitude de packages malveillants dans PyPI qui pourraient \u00eatre exploit\u00e9s pour mener des attaques DDoS et r\u00e9colter les mots de passe du navigateur ainsi que les informations d’identification et de paiement Discord et Roblox.<\/p>\n Il ne s’agit l\u00e0 que d’un flux apparemment infini de logiciels malveillants sp\u00e9cialement con\u00e7us pour infecter les syst\u00e8mes des d\u00e9veloppeurs avec des voleurs d’informations, permettant potentiellement aux acteurs de la menace d’identifier les points de pivot appropri\u00e9s dans les environnements compromis et d’approfondir leurs intrusions.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660741232_673_La-nouvelle-vulnerabilite-Zero-Day-de-Google-Chrome-est-exploitee-a.png\")
<\/a><\/div>\n