L’agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) a ajout\u00e9 vendredi 10 nouvelles vuln\u00e9rabilit\u00e9s activement exploit\u00e9es \u00e0 son Catalogue des vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV)<\/a>y compris une faille de s\u00e9curit\u00e9 tr\u00e8s grave affectant le logiciel d’automatisation industrielle de Delta Electronics.<\/p>\n Le probl\u00e8me, suivi comme CVE-2021-38406<\/a> (score CVSS : 7,8), impacte DOPSoft 2 versions 2.00.07 et ant\u00e9rieures. Une exploitation r\u00e9ussie de la faille peut conduire \u00e0 l’ex\u00e9cution de code arbitraire.<\/p>\n “Delta Electronics DOPSoft 2 manque de validation appropri\u00e9e des donn\u00e9es fournies par l’utilisateur lors de l’analyse de fichiers de projet sp\u00e9cifiques (validation d’entr\u00e9e incorrecte), ce qui entra\u00eene une \u00e9criture hors limites qui permet l’ex\u00e9cution de code”, a d\u00e9clar\u00e9 CISA dans une alerte.<\/p>\n Il convient de noter que CVE-2021-38406 a \u00e9t\u00e9 divulgu\u00e9 \u00e0 l’origine dans le cadre d’un avis sur les syst\u00e8mes de contr\u00f4le industriels (ICS) publi\u00e9<\/a> en septembre 2021.<\/p>\n Cependant, aucun correctif ne corrige la vuln\u00e9rabilit\u00e9, la CISA notant que “le produit concern\u00e9 est en fin de vie et doit \u00eatre d\u00e9connect\u00e9 s’il est toujours utilis\u00e9”. Les agences du pouvoir ex\u00e9cutif civil f\u00e9d\u00e9ral (FCEB) sont tenues de suivre la directive d’ici le 15 septembre 2022.<\/p>\n Peu d’informations sont disponibles sur la nature des attaques qui exploitent le bogue de s\u00e9curit\u00e9, mais un rapport r\u00e9cent de Palo Alto Networks Unit 42 soulign\u00e9<\/a> cas d’attaques dans la nature tirant parti de la faille entre f\u00e9vrier et avril 2022.<\/p>\n Le d\u00e9veloppement ajoute du poids \u00e0 l’id\u00e9e que les adversaires exploitent plus rapidement les vuln\u00e9rabilit\u00e9s nouvellement publi\u00e9es lorsqu’elles sont divulgu\u00e9es pour la premi\u00e8re fois, ce qui conduit \u00e0 des tentatives d’analyse aveugles et opportunistes qui visent \u00e0 tirer parti des correctifs retard\u00e9s.<\/p>\n Ces attaques suivent souvent une s\u00e9quence d’exploitation sp\u00e9cifique qui implique des shells Web, des crypto-mineurs, des botnets et des chevaux de Troie d’acc\u00e8s \u00e0 distance (RAT), suivis par des courtiers d’acc\u00e8s initiaux (IAB) qui ouvrent ensuite la voie aux ransomwares.<\/p>\n Parmi les autres failles activement exploit\u00e9es ajout\u00e9es \u00e0 la liste figurent les suivantes –<\/p>\n Une autre faille de haute gravit\u00e9 ajout\u00e9e au catalogue KEV est CVE-2021-31010<\/strong><\/a> (score CVSS : 7,5), un probl\u00e8me de d\u00e9s\u00e9rialisation dans le composant Core Telephony d’Apple qui pourrait \u00eatre exploit\u00e9 pour contourner les restrictions du bac \u00e0 sable.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n\n
Faille iOS et macOS ajout\u00e9e \u00e0 la liste<\/h3>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n