La br\u00e8che massive chez LastPass est le r\u00e9sultat du fait que l’un de ses ing\u00e9nieurs n’a pas r\u00e9ussi \u00e0 mettre \u00e0 jour Plex sur son ordinateur personnel, ce qui rappelle sans r\u00e9fl\u00e9chir les dangers de ne pas maintenir les logiciels \u00e0 jour.<\/p>\n
Le service de gestion des mots de passe en difficult\u00e9 la semaine derni\u00e8re a r\u00e9v\u00e9l\u00e9 comment des acteurs non identifi\u00e9s ont exploit\u00e9 des informations vol\u00e9es lors d’un incident ant\u00e9rieur survenu avant le 12 ao\u00fbt 2022, ainsi que des d\u00e9tails “disponibles \u00e0 partir d’une violation de donn\u00e9es tierce et d’une vuln\u00e9rabilit\u00e9 dans un logiciel multim\u00e9dia tiers. paquet pour lancer une deuxi\u00e8me attaque coordonn\u00e9e \u00bb entre ao\u00fbt et octobre 2022.<\/p>\n
L’intrusion a finalement permis \u00e0 l’adversaire de voler des donn\u00e9es de coffre-fort de mots de passe partiellement crypt\u00e9es et des informations sur les clients.<\/p>\n
La deuxi\u00e8me attaque a sp\u00e9cifiquement cibl\u00e9 l’un des quatre ing\u00e9nieurs DevOps, ciblant son ordinateur personnel avec un logiciel malveillant d’enregistreur de frappe pour obtenir les informations d’identification et violer l’environnement de stockage en nuage.<\/p>\n
Ceci, \u00e0 son tour, aurait \u00e9t\u00e9 rendu possible en exploitant une faille de pr\u00e8s de trois ans maintenant corrig\u00e9e dans Plex pour r\u00e9aliser l’ex\u00e9cution de code sur l’ordinateur de l’ing\u00e9nieur, a d\u00e9clar\u00e9 le service de streaming multim\u00e9dia \u00e0 The Hacker News dans un communiqu\u00e9.<\/p>\n
La vuln\u00e9rabilit\u00e9 en question est CVE-2020-5741<\/a> (score CVSS\u00a0: 7,2), une faille de d\u00e9s\u00e9rialisation affectant Plex Media Server sous Windows qui permet \u00e0 un attaquant distant et authentifi\u00e9 d’ex\u00e9cuter du code Python arbitraire dans le contexte de l’utilisateur actuel du syst\u00e8me d’exploitation.<\/p>\n “Ce probl\u00e8me permettait \u00e0 un attaquant ayant acc\u00e8s au compte Plex de l’administrateur du serveur de t\u00e9l\u00e9charger un fichier malveillant via la fonction de t\u00e9l\u00e9chargement de cam\u00e9ra et de le faire ex\u00e9cuter par le serveur multim\u00e9dia”, a d\u00e9clar\u00e9 Plex. a dit<\/a> dans un avis publi\u00e9 \u00e0 l’\u00e9poque.<\/p>\n D\u00e9couvrez les derni\u00e8res tactiques d’\u00e9vasion et strat\u00e9gies de pr\u00e9vention des logiciels malveillants<\/p>\n Pr\u00eat \u00e0 briser les 9 mythes les plus dangereux sur les attaques bas\u00e9es sur des fichiers\u00a0? Rejoignez notre prochain webinaire et devenez un h\u00e9ros dans la lutte contre les infections du patient z\u00e9ro et les \u00e9v\u00e9nements de s\u00e9curit\u00e9 du jour z\u00e9ro\u00a0!<\/p>\n R\u00c9SERVEZ VOTRE PLACE<\/a><\/div>\n La lacune, qui \u00e9tait d\u00e9couvert et signal\u00e9<\/a> \u00e0 Plex par Tenable en mars 2020, a \u00e9t\u00e9 adress\u00e9e par Plex en version 1.19.3.2764<\/a> publi\u00e9 le 7 mai 2020. La version actuelle de Plex Media Server est 1.31.1.6733.<\/p>\n “Malheureusement, l’employ\u00e9 de LastPass n’a jamais mis \u00e0 jour son logiciel pour activer le correctif”, a d\u00e9clar\u00e9 Plex dans un communiqu\u00e9. “Pour r\u00e9f\u00e9rence, la version qui corrigeait cet exploit remontait \u00e0 environ 75\u00a0versions.”<\/p>\n <\/p>\n![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1678217257_181_LastPass-Hack-lechec-de-lingenieur-a-mettre-a-jour-le.png\" "\\"Logiciel")
<\/div>\n