Les chercheurs en s\u00e9curit\u00e9 ont mis en garde contre une faille “facilement exploitable” dans le programme d’installation de Microsoft Visual Studio qui pourrait \u00eatre exploit\u00e9e par un acteur malveillant pour se faire passer pour un \u00e9diteur l\u00e9gitime et distribuer des extensions malveillantes.<\/p>\n
“Un acteur malveillant pourrait se faire passer pour un \u00e9diteur populaire et \u00e9mettre une extension malveillante pour compromettre un syst\u00e8me cibl\u00e9”, a d\u00e9clar\u00e9 Dolev Taler, chercheur chez Varonis. a dit<\/a>. “Des extensions malveillantes ont \u00e9t\u00e9 utilis\u00e9es pour voler des informations sensibles, acc\u00e9der et modifier silencieusement du code, ou prendre le contr\u00f4le total d’un syst\u00e8me.”<\/p>\n La vuln\u00e9rabilit\u00e9, qui est suivie comme CVE-2023-28299<\/a> (score CVSS : 5,5), a \u00e9t\u00e9 abord\u00e9 par Microsoft dans le cadre de ses mises \u00e0 jour du Patch Tuesday d’avril 2023, le d\u00e9crivant comme une faille d’usurpation d’identit\u00e9.<\/p>\n Le bogue d\u00e9couvert par Varonis concerne l’interface utilisateur de Visual Studio, qui autorise les signatures num\u00e9riques d’\u00e9diteurs usurp\u00e9es.<\/p>\n Plus pr\u00e9cis\u00e9ment, il contourne trivialement une restriction qui emp\u00eache les utilisateurs de saisir des informations dans la propri\u00e9t\u00e9 d’extension “nom du produit” en ouvrant une extension Visual Studio (VSIX<\/a>) sous forme de fichier .ZIP, puis en ajoutant manuellement caract\u00e8res de retour \u00e0 la ligne<\/a> \u00e0 la balise “DisplayName” dans le fichier “extension.vsixmanifest”.<\/p>\n En introduisant suffisamment de caract\u00e8res de nouvelle ligne dans le fichier vsixmanifest et en ajoutant un faux texte “Signature num\u00e9rique”, il a \u00e9t\u00e9 constat\u00e9 que les avertissements concernant l’extension non sign\u00e9e num\u00e9riquement pouvaient \u00eatre facilement supprim\u00e9s, incitant ainsi un d\u00e9veloppeur \u00e0 l’installer.<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/Les-cybercriminels-bresiliens-utilisent-les-scripts-LOLBaS-et-CMD-pour.png\")
<\/a><\/center><\/div>\n![\"Microsoft](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1686582634_422_Des-chercheurs-decouvrent-un-bogue-dusurpation-dediteur-dans-le-programme.jpg\" "\\"Microsoft")
<\/div>\n