{"id":464847,"date":"2022-11-15T17:31:27","date_gmt":"2022-11-15T19:31:27","guid":{"rendered":"https:\/\/teknomers.com\/fr\/faille-rce-critique-signalee-dans-le-catalogue-de-logiciels-backstage-et-la-plate-forme-de-developpement-de-spotify\/"},"modified":"2022-11-15T17:31:28","modified_gmt":"2022-11-15T19:31:28","slug":"faille-rce-critique-signalee-dans-le-catalogue-de-logiciels-backstage-et-la-plate-forme-de-developpement-de-spotify","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/faille-rce-critique-signalee-dans-le-catalogue-de-logiciels-backstage-et-la-plate-forme-de-developpement-de-spotify\/","title":{"rendered":"Faille RCE critique signal\u00e9e dans le catalogue de logiciels Backstage et la plate-forme de d\u00e9veloppement de Spotify"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Le Backstage de Spotify a \u00e9t\u00e9 d\u00e9couvert comme vuln\u00e9rable \u00e0 une grave faille de s\u00e9curit\u00e9 qui pourrait \u00eatre exploit\u00e9e pour obtenir l’ex\u00e9cution de code \u00e0 distance en exploitant un bogue r\u00e9cemment r\u00e9v\u00e9l\u00e9 dans un module tiers.<\/p>\n

La vuln\u00e9rabilit\u00e9 (score CVSS\u00a0: 9,8), \u00e0 la base, tire parti d’un \u00e9chappement critique du bac \u00e0 sable dans vm2, une biblioth\u00e8que de bac \u00e0 sable JavaScript populaire (CVE-2022-36067 alias Sandbreak), qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e le mois dernier.<\/p>\n

“Un acteur malveillant non authentifi\u00e9 peut ex\u00e9cuter des commandes syst\u00e8me arbitraires sur une application Backstage en exploitant un \u00e9chappement de bac \u00e0 sable vm2 dans le plug-in principal Scaffolder”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 des applications Oxeye dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n

Dans les coulisses<\/a> est une source ouverte portail d\u00e9veloppeur<\/a> de Spotify qui permet aux utilisateurs de cr\u00e9er, g\u00e9rer et explorer des composants logiciels \u00e0 partir d’un “porte d’entr\u00e9e<\/a>.” Il est utilis\u00e9 par de nombreuses entreprises<\/a> comme Netflix, DoorDash, Roku et Expedia, entre autres.<\/p>\n

Selon Oxeye, la faille est enracin\u00e9e dans un outil appel\u00e9 mod\u00e8les de logiciels<\/a> qui peuvent \u00eatre utilis\u00e9s pour cr\u00e9er des composants dans Backstage.<\/p>\n\n\n\n\n
\"Catalogue<\/td>\n<\/tr>\n
La capture d’\u00e9cran montre que Backstage appelle deux fois la fonction renderTemplate (qui appelle renderString2) en cas d’erreur.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Alors que le moteur de mod\u00e8le utilise vm2 pour att\u00e9nuer le risque associ\u00e9 \u00e0 l’ex\u00e9cution de code non approuv\u00e9, la faille d’\u00e9chappement du bac \u00e0 sable dans ce dernier a permis d’ex\u00e9cuter des commandes syst\u00e8me arbitraires en dehors du p\u00e9rim\u00e8tre de s\u00e9curit\u00e9.<\/p>\n

Oxeye a d\u00e9clar\u00e9 qu’il \u00e9tait en mesure d’identifier plus de 500 instances Backstage expos\u00e9es publiquement sur Internet, qui pourraient ensuite \u00eatre militaris\u00e9es \u00e0 distance par un adversaire sans n\u00e9cessiter aucune autorisation.<\/p>\n

\"La<\/a><\/center><\/div>\n

Suite \u00e0 la divulgation responsable le 18 ao\u00fbt, le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu par les responsables du projet dans version 1.5.1<\/a> sortie le 29 ao\u00fbt 2022.<\/p>\n

“La racine de tout \u00e9chappement de machine virtuelle bas\u00e9 sur un mod\u00e8le est d’obtenir les droits d’ex\u00e9cution JavaScript dans le mod\u00e8le”, a not\u00e9 la soci\u00e9t\u00e9 isra\u00e9lienne. “En utilisant des moteurs de mod\u00e8les “sans logique” tels que Moustache<\/a>vous pouvez \u00e9viter d’introduire des vuln\u00e9rabilit\u00e9s d’injection de mod\u00e8les c\u00f4t\u00e9 serveur.”<\/p>\n

“S\u00e9parer autant que possible la logique de la pr\u00e9sentation peut r\u00e9duire consid\u00e9rablement votre exposition aux attaques bas\u00e9es sur des mod\u00e8les les plus dangereuses”, a-t-il ajout\u00e9.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Le Backstage de Spotify a \u00e9t\u00e9 d\u00e9couvert comme vuln\u00e9rable \u00e0 une grave faille de s\u00e9curit\u00e9 qui pourrait \u00eatre exploit\u00e9e pour obtenir l’ex\u00e9cution de code \u00e0 distance en exploitant un bogue r\u00e9cemment r\u00e9v\u00e9l\u00e9 dans un module tiers. La vuln\u00e9rabilit\u00e9 (score CVSS\u00a0: 9,8), \u00e0 la base, tire parti d’un \u00e9chappement critique du bac \u00e0 sable dans vm2, […]<\/p>\n","protected":false},"author":1,"featured_media":464848,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[5130,12364,4168,22,4158,4165,4161,429,1195,9048,4157,4159,4171,4170,4167,4589,4160,4163,4162,4809,22778,4172,4169,9499,3851,4166,4164],"class_list":["post-464847","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-backstage","tag-catalogue","tag-comment-pirater","tag-critique","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dans","tag-developpement","tag-faille","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-logiciels","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-plateforme","tag-rce","tag-securite-informatique","tag-securite-internet","tag-signalee","tag-spotify","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/464847","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=464847"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/464847\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/464848"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=464847"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=464847"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=464847"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}