{"id":424057,"date":"2022-10-21T10:23:25","date_gmt":"2022-10-21T12:23:25","guid":{"rendered":"https:\/\/teknomers.com\/fr\/les-pirates-ont-commence-a-exploiter-critical-text4shell-vulnerabilite-de-texte-apache-commons\/"},"modified":"2022-10-21T10:23:26","modified_gmt":"2022-10-21T12:23:26","slug":"les-pirates-ont-commence-a-exploiter-critical-text4shell-vulnerabilite-de-texte-apache-commons","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/les-pirates-ont-commence-a-exploiter-critical-text4shell-vulnerabilite-de-texte-apache-commons\/","title":{"rendered":"Les pirates ont commenc\u00e9 \u00e0 exploiter Critical "Text4Shell" Vuln\u00e9rabilit\u00e9 de texte Apache Commons"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 WordPress Wordfence a d\u00e9clar\u00e9 jeudi qu’elle avait commenc\u00e9 \u00e0 d\u00e9tecter les tentatives d’exploitation ciblant la faille r\u00e9cemment r\u00e9v\u00e9l\u00e9e dans Texte Apache Commons<\/b> le 18 octobre 2022.<\/p>\n

La vuln\u00e9rabilit\u00e9, suivie comme CVE-2022-42889<\/a> alias Text4Shell<\/b>s’est vu attribuer un classement de gravit\u00e9 de 9,8 sur 10,0 possibles sur l’\u00e9chelle CVSS et affecte les versions 1.5 \u00e0 1.9 de la biblioth\u00e8que.<\/p>\n

Il est \u00e9galement similaire \u00e0 la d\u00e9sormais tristement c\u00e9l\u00e8bre vuln\u00e9rabilit\u00e9 Log4Shell en ce que le publier<\/a> s’enracine dans la mani\u00e8re substitutions de cha\u00eenes<\/a> effectu\u00e9 pendant Recherches DNS, de script et d’URL<\/a> pourrait conduire \u00e0 l’ex\u00e9cution de code arbitraire sur des syst\u00e8mes sensibles lors de la transmission d’entr\u00e9es non fiables.<\/p>\n

\"La<\/a><\/div>\n

UN exploitation r\u00e9ussie de la faille<\/a> peut permettre \u00e0 un pirate d’ouvrir une connexion shell invers\u00e9e avec l’application vuln\u00e9rable simplement via une charge utile sp\u00e9cialement con\u00e7ue, ouvrant ainsi la porte \u00e0 des attaques ult\u00e9rieures.<\/p>\n

Tandis que le publier<\/a> \u00e9tait \u00e0 l’origine signal\u00e9<\/a> d\u00e9but mars 2022, l’Apache Software Foundation (ASF) a publi\u00e9 une Version mise \u00e0 jour<\/a> du logiciel (1.10.0) le 24 septembre, suivi de \u00e9mettre un avis<\/a> seulement la semaine derni\u00e8re le 13 octobre.<\/p>\n

“Heureusement, tous les utilisateurs de cette biblioth\u00e8que ne seraient pas affect\u00e9s par cette vuln\u00e9rabilit\u00e9 – contrairement \u00e0 Log4J dans la vuln\u00e9rabilit\u00e9 Log4Shell, qui \u00e9tait vuln\u00e9rable m\u00eame dans ses cas d’utilisation les plus \u00e9l\u00e9mentaires”, a d\u00e9clar\u00e9 Yaniv Nizry, chercheur chez Checkmarx. a dit<\/a>.<\/p>\n

“Apache Commons Text doit \u00eatre utilis\u00e9 d’une certaine mani\u00e8re pour exposer la surface d’attaque et rendre la vuln\u00e9rabilit\u00e9 exploitable.”<\/p>\n

Wordfence a \u00e9galement r\u00e9it\u00e9r\u00e9 que la probabilit\u00e9 d’une exploitation r\u00e9ussie est consid\u00e9rablement limit\u00e9e par rapport \u00e0 Log4j, la plupart des charges utiles observ\u00e9es jusqu’\u00e0 pr\u00e9sent \u00e9tant con\u00e7ues pour rechercher des installations vuln\u00e9rables.<\/p>\n

“Une tentative r\u00e9ussie aurait pour cons\u00e9quence que le site victime adresserait une requ\u00eate DNS au domaine d’\u00e9coute contr\u00f4l\u00e9 par l’attaquant”, a d\u00e9clar\u00e9 le chercheur de Wordfence, Ram Gall. a dit<\/a>l’ajout de requ\u00eates avec des pr\u00e9fixes de script et d’URL a \u00e9t\u00e9 relativement plus faible en volume.<\/p>\n

\"La<\/a><\/div>\n

Au contraire, le d\u00e9veloppement est une autre indication des risques de s\u00e9curit\u00e9 potentiels pos\u00e9s par les d\u00e9pendances open source tierces, n\u00e9cessitant que les organisations \u00e9valuent r\u00e9guli\u00e8rement leur surface d’attaque et mettent en place des strat\u00e9gies de gestion des correctifs appropri\u00e9es.<\/p>\n

Les utilisateurs qui d\u00e9pendent directement d’Apache Commons Text sont conseill\u00e9<\/a> mettre \u00e0 niveau vers la version corrig\u00e9e pour att\u00e9nuer les menaces potentielles. Selon R\u00e9f\u00e9rentiel Maven<\/a>pas moins de 2 593 projets utilisent la biblioth\u00e8que Apache Commons Text.<\/p>\n

La faille Apache Commons Text fait \u00e9galement suite \u00e0 une autre faille de s\u00e9curit\u00e9 critique qui a \u00e9t\u00e9 divulgu\u00e9e dans Apache Commons Configuration en juillet 2022 (CVE-2022-33980<\/a>score CVSS : 9,8), ce qui pourrait r\u00e9sultat<\/a> dans l’ex\u00e9cution de code arbitraire gr\u00e2ce \u00e0 la fonctionnalit\u00e9 d’interpolation de variable.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 WordPress Wordfence a d\u00e9clar\u00e9 jeudi qu’elle avait commenc\u00e9 \u00e0 d\u00e9tecter les tentatives d’exploitation ciblant la faille r\u00e9cemment r\u00e9v\u00e9l\u00e9e dans Texte Apache Commons le 18 octobre 2022. La vuln\u00e9rabilit\u00e9, suivie comme CVE-2022-42889 alias Text4Shells’est vu attribuer un classement de gravit\u00e9 de 9,8 sur 10,0 possibles sur l’\u00e9chelle CVSS et affecte les versions […]<\/p>\n","protected":false},"author":1,"featured_media":424058,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[43333,993,4168,66174,118325,4158,4165,4161,17566,4157,4159,4171,4170,65,4167,4160,4163,4162,249,4394,118326,4172,4169,13128,4166,3667,4164],"class_list":["post-424057","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-apache","tag-commence","tag-comment-pirater","tag-commons","tag-critical","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-exploiter","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-les","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-ont","tag-pirates","tag-quottext4shellquot","tag-securite-informatique","tag-securite-internet","tag-texte","tag-violation-de-donnees","tag-vulnerabilite","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/424057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=424057"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/424057\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/424058"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=424057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=424057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=424057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}