Une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 critique a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans le framework Quarkus Java qui pourrait \u00eatre potentiellement exploit\u00e9e pour r\u00e9aliser l’ex\u00e9cution de code \u00e0 distance sur les syst\u00e8mes concern\u00e9s.<\/p>\n
Suivi comme CVE-2022-4116<\/a> (score CVSS : 9,8), la lacune pourrait \u00eatre trivialement abus\u00e9e par un acteur malveillant sans aucun privil\u00e8ge.<\/p>\n “La vuln\u00e9rabilit\u00e9 se trouve dans l’\u00e9diteur de configuration de l’interface utilisateur de d\u00e9veloppement, qui est vuln\u00e9rable aux attaques d’h\u00f4te local qui pourraient conduire \u00e0 l’ex\u00e9cution de code \u00e0 distance (RCE)”, a d\u00e9clar\u00e9 Joseph Beeton, chercheur chez Contrast Security, qui a signal\u00e9 le bogue. a dit<\/a> dans un \u00e9crit.<\/p>\n Quarkus, d\u00e9velopp\u00e9 par Red Hat, est un projet open source<\/a> qui est utilis\u00e9 pour cr\u00e9er des applications Java dans conteneuris\u00e9<\/a> et environnements sans serveur.<\/p>\n Il convient de souligner que le publier<\/a> n’affecte que les d\u00e9veloppeurs qui ex\u00e9cutent Quarkus et sont amen\u00e9s \u00e0 visiter un site Web sp\u00e9cialement con\u00e7u, qui est int\u00e9gr\u00e9 avec du code JavaScript malveillant con\u00e7u pour installer ou ex\u00e9cuter des charges utiles arbitraires.<\/p>\n Cela pourrait prendre la forme d’un harponnage ou d’une attaque de point d’eau sans n\u00e9cessiter aucune autre interaction de la part de la victime. Alternativement, l’attaque peut \u00eatre d\u00e9clench\u00e9e en diffusant des publicit\u00e9s malveillantes sur des sites Web populaires fr\u00e9quent\u00e9s par les d\u00e9veloppeurs.<\/p>\n La Interface utilisateur de d\u00e9veloppement<\/a>qui est propos\u00e9 par le biais d’un Mode d\u00e9veloppeur<\/a>est li\u00e9 \u00e0 h\u00f4te local<\/a> (c’est-\u00e0-dire l’h\u00f4te actuel) et permet \u00e0 un d\u00e9veloppeur de surveiller l’\u00e9tat d’une application, de modifier la configuration, de migrer des bases de donn\u00e9es et d’effacer les caches.<\/p>\n Parce qu’elle est limit\u00e9e \u00e0 la machine locale du d\u00e9veloppeur, l’interface utilisateur de d\u00e9veloppement manque \u00e9galement de contr\u00f4les de s\u00e9curit\u00e9 cruciaux comme l’authentification et le partage de ressources cross-origin (SCRO<\/a>) pour emp\u00eacher un site Web frauduleux de lire les donn\u00e9es d’un autre site.<\/p>\n Le probl\u00e8me identifi\u00e9 par Contrast Security r\u00e9side dans le fait que le code JavaScript h\u00e9berg\u00e9 sur un site Web contenant des logiciels malveillants peut \u00eatre utilis\u00e9 pour modifier la configuration de l’application Quarkus via un Requ\u00eate HTTP POST<\/a> pour d\u00e9clencher l’ex\u00e9cution du code.<\/p>\n “Bien que cela n’affecte que le mode de d\u00e9veloppement, l’impact est toujours \u00e9lev\u00e9, car cela pourrait conduire un attaquant \u00e0 obtenir un acc\u00e8s local \u00e0 votre bo\u00eete de d\u00e9veloppement”, Quarkus c’est not\u00e9<\/a> dans un conseil ind\u00e9pendant.<\/p>\n Il est recommand\u00e9 aux utilisateurs de mettre \u00e0 niveau vers la version 2.14.2.Final et 2.13.5.Final pour se prot\u00e9ger contre la faille. Une solution de contournement potentielle consiste \u00e0 d\u00e9placer tous les points de terminaison non applicatifs vers un chemin racine al\u00e9atoire.<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjRFZ8qsBvgTY-k97x35shkWsLwy9nml2qvGAhoSUrgnOv4cjMNq_Fxt3PX1-fGsYvukFgecZk_tEq7yo25JhDC5-Vs1Y7zQbdJRNWI2oxxbGupTJLIJ0PYz_4_8B6uWYsPON_7MgJlvofZuiWyadFpo71DOfXvGZzq6ie6zFQwJuzi2macqFLGR30PbA\/s1600\/Uptycs-728.jpg\")
<\/a><\/center><\/div>\n![\"Cadre](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1669899165_66_Des-chercheurs-revelent-une-vulnerabilite-RCE-critique-affectant-le-framework.png\" "\\"Cadre")
<\/div>\n