{"id":465210,"date":"2022-11-15T22:38:45","date_gmt":"2022-11-16T00:38:45","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-ont-signale-des-failles-critiques-de-sqli-et-dacces-dans-le-service-zendesk-analytics\/"},"modified":"2022-11-15T22:38:46","modified_gmt":"2022-11-16T00:38:46","slug":"des-chercheurs-ont-signale-des-failles-critiques-de-sqli-et-dacces-dans-le-service-zendesk-analytics","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-ont-signale-des-failles-critiques-de-sqli-et-dacces-dans-le-service-zendesk-analytics\/","title":{"rendered":"Des chercheurs ont signal\u00e9 des failles critiques de SQLi et d’acc\u00e8s dans le service Zendesk Analytics"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Les chercheurs en cybers\u00e9curit\u00e9 ont r\u00e9v\u00e9l\u00e9 des d\u00e9tails sur des failles d\u00e9sormais corrig\u00e9es dans Zendesk Explore qui auraient pu \u00eatre exploit\u00e9es par un attaquant pour obtenir un acc\u00e8s non autoris\u00e9 aux informations des comptes clients dont la fonctionnalit\u00e9 est activ\u00e9e.<\/p>\n

“Avant qu’elle ne soit corrig\u00e9e, la faille aurait permis aux acteurs de la menace d’acc\u00e9der aux conversations, aux adresses e-mail, aux tickets, aux commentaires et \u00e0 d’autres informations des comptes Zendesk avec Explore activ\u00e9”, Varonis a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n

La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 qu’il n’y avait aucune preuve sugg\u00e9rant que les probl\u00e8mes \u00e9taient activement exploit\u00e9s dans des attaques r\u00e9elles. Aucune action n’est requise de la part des clients.<\/p>\n

Zendesk Explore est un solution de reporting et d’analyse<\/a> qui permet aux organisations de “visualiser et analyser des informations cl\u00e9s sur vos clients et vos ressources d’assistance”.<\/p>\n

\"Service<\/div>\n

Selon la soci\u00e9t\u00e9 de logiciels de s\u00e9curit\u00e9, l’exploitation de la faille n\u00e9cessite d’abord qu’un attaquant s’enregistre sur le billetterie<\/a> du compte Zendesk de sa victime en tant que nouvel utilisateur externe, une fonctionnalit\u00e9 qui est probablement activ\u00e9e par d\u00e9faut pour permettre aux utilisateurs finaux de soumettre des tickets d’assistance.<\/p>\n

La vuln\u00e9rabilit\u00e9 concerne une injection SQL dans son API GraphQL qui pourrait \u00eatre exploit\u00e9e pour exfiltrer toutes les informations stock\u00e9es dans la base de donn\u00e9es en tant qu’utilisateur administrateur, y compris les adresses e-mail, les tickets et les conversations avec des agents en direct.<\/p>\n

\"La<\/a><\/center><\/div>\n

Une deuxi\u00e8me faille concerne un probl\u00e8me d’acc\u00e8s logique associ\u00e9 \u00e0 une API d’ex\u00e9cution de requ\u00eates, qui \u00e9tait configur\u00e9e pour ex\u00e9cuter les requ\u00eates sans v\u00e9rifier si “l’utilisateur” effectuant l’appel disposait des autorisations ad\u00e9quates pour le faire.<\/p>\n

“Cela signifiait qu’un utilisateur final nouvellement cr\u00e9\u00e9 pouvait invoquer cette API, modifier la requ\u00eate et voler des donn\u00e9es de n’importe quelle table dans le RDS du compte Zendesk cible, aucun SQLi requis”, <\/p>\n

Varonis a d\u00e9clar\u00e9 que les probl\u00e8mes avaient \u00e9t\u00e9 divulgu\u00e9s \u00e0 Zendesk le 30 ao\u00fbt, apr\u00e8s quoi les faiblesses avaient \u00e9t\u00e9 corrig\u00e9es par la soci\u00e9t\u00e9 le 8 septembre 2022.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Les chercheurs en cybers\u00e9curit\u00e9 ont r\u00e9v\u00e9l\u00e9 des d\u00e9tails sur des failles d\u00e9sormais corrig\u00e9es dans Zendesk Explore qui auraient pu \u00eatre exploit\u00e9es par un attaquant pour obtenir un acc\u00e8s non autoris\u00e9 aux informations des comptes clients dont la fonctionnalit\u00e9 est activ\u00e9e. “Avant qu’elle ne soit corrig\u00e9e, la faille aurait permis aux acteurs de la menace d’acc\u00e9der […]<\/p>\n","protected":false},"author":1,"featured_media":465211,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[69605,12848,4168,5729,4158,4165,4161,7192,429,133,4806,4157,4159,4171,4170,4167,4160,4163,4162,249,4172,4169,2314,5520,124793,4166,4164,124794],"class_list":["post-465210","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-analytics","tag-chercheurs","tag-comment-pirater","tag-critiques","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dacces","tag-dans","tag-des","tag-failles","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-ont","tag-securite-informatique","tag-securite-internet","tag-service","tag-signale","tag-sqli","tag-violation-de-donnees","tag-vulnerabilite-logicielle","tag-zendesk"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/465210","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=465210"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/465210\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/465211"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=465210"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=465210"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=465210"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}