Plus t\u00f4t cette semaine, ServiceNow annonc\u00e9 sur son site de support<\/a> que des erreurs de configuration au sein de la plateforme pourraient entra\u00eener un \u00ab acc\u00e8s involontaire \u00bb \u00e0 des donn\u00e9es sensibles. Pour les organisations qui utilisent ServiceNow, cette exposition \u00e0 la s\u00e9curit\u00e9 constitue une pr\u00e9occupation majeure qui aurait pu entra\u00eener d\u2019importantes fuites de donn\u00e9es sensibles de l\u2019entreprise. ServiceNow a depuis pris des mesures pour r\u00e9soudre ce probl\u00e8me<\/a>. <\/p>\n Cet article analyse enti\u00e8rement le probl\u00e8me, explique pourquoi cette mauvaise configuration critique de l’application aurait pu avoir de graves cons\u00e9quences pour les entreprises, ainsi que les mesures correctives que les entreprises auraient prises sans le correctif ServiceNow. (Bien qu’il soit recommand\u00e9 de v\u00e9rifier que le correctif a ferm\u00e9 l’exposition de l’organisation.)<\/p>\n ServiceNow est une plate-forme bas\u00e9e sur le cloud utilis\u00e9e pour automatiser la gestion des services informatiques, la gestion des op\u00e9rations informatiques et la gestion des activit\u00e9s informatiques pour le service client, ainsi que les ressources humaines, les op\u00e9rations de s\u00e9curit\u00e9 et une grande vari\u00e9t\u00e9 de domaines suppl\u00e9mentaires. Cette application SaaS est consid\u00e9r\u00e9e comme l’une des applications les plus critiques pour l’entreprise en raison de sa nature infrastructurelle, de son extensibilit\u00e9 en tant que plate-forme de d\u00e9veloppement et de son acc\u00e8s aux donn\u00e9es confidentielles et propri\u00e9taires dans toute l’organisation.<\/p>\n Simple List est un widget d’interface qui extrait les donn\u00e9es stock\u00e9es dans des tableaux et les utilise dans des tableaux de bord. La configuration par d\u00e9faut de Simple List permet aux utilisateurs non authentifi\u00e9s d’acc\u00e9der \u00e0 distance aux donn\u00e9es des tables.<\/strong> Ces tableaux incluent des donn\u00e9es sensibles, notamment le contenu des tickets informatiques, les bases de connaissances internes classifi\u00e9es, les d\u00e9tails des employ\u00e9s, etc.<\/p>\n Ces erreurs de configuration sont en fait en place depuis l\u2019introduction des listes de contr\u00f4le d\u2019acc\u00e8s en 2015. \u00c0 ce jour, aucun incident n\u2019a \u00e9t\u00e9 signal\u00e9. Cependant, compte tenu de la r\u00e9cente publication de l\u2019\u00e9tude sur les fuites de donn\u00e9es, laisser cette question sans r\u00e9ponse aurait pu exposer les entreprises plus que jamais.<\/p>\n Cette exposition est le r\u00e9sultat d\u2019une seule configuration par d\u00e9faut \u2013 et il existe des centaines de configurations couvrant le contr\u00f4le d\u2019acc\u00e8s, les fuites de donn\u00e9es, la protection contre les logiciels malveillants, etc., qui doivent \u00eatre s\u00e9curis\u00e9es et maintenues. Pour les organisations utilisant une solution SSPM (SaaS Security Posture Management), comme Adaptive Shield, les organisations peuvent plus facilement identifier les erreurs de configuration \u00e0 risque et voir si elles sont conformes ou non (voir l’image 1 ci-dessous). <\/p>\n D\u00e9couvrez comment SSPM s\u00e9curise les applications critiques de votre pile SaaS<\/a><\/p>\n Il est important de rappeler que ce probl\u00e8me n’est pas d\u00fb \u00e0 une vuln\u00e9rabilit\u00e9 dans le code de ServiceNow mais \u00e0 une configuration existant au sein de la plateforme.<\/p>\n Ce probl\u00e8me provient des contr\u00f4les de s\u00e9curit\u00e9 dans un widget de liste de contr\u00f4le d’acc\u00e8s (ACL) de ServiceNow appel\u00e9 Simple List, qui place les enregistrements dans des tableaux facilement lisibles. Ces tableaux organisent les informations provenant de plusieurs sources et ont des configurations avec un param\u00e8tre par d\u00e9faut d’acc\u00e8s public. <\/p>\n \u00c9tant donn\u00e9 que ces tables constituent le c\u0153ur de ServiceNow, le probl\u00e8me n\u2019\u00e9tait pas contenu dans un seul param\u00e8tre pouvant \u00eatre r\u00e9solu. Il fallait y rem\u00e9dier \u00e0 plusieurs endroits de l’application en combinaison avec l’utilisation du widget d’interface utilisateur, et dans tous les locataires. Pour compliquer encore davantage le probl\u00e8me, la modification d’un seul param\u00e8tre pouvait interrompre les flux de travail existants connect\u00e9s aux tables de liste simple, provoquant ainsi de graves perturbations des processus existants.<\/p>\n Publi\u00e9 par ServiceNow dans leur article de la base de connaissances \u2013 Informations g\u00e9n\u00e9rales | Mauvaise configuration potentielle du widget de liste publique<\/a>l’\u00e9valuation de l’exposition et les mesures correctives comprennent\u00a0:<\/p>\n Ces \u00e9tapes correctives recommand\u00e9es peuvent toujours \u00eatre utilis\u00e9es pour les organisations expos\u00e9es (m\u00eame apr\u00e8s le correctif), car cela vaut la peine de les v\u00e9rifier pour garantir une s\u00e9curit\u00e9 optimale dans toute l’organisation.<\/p>\nEn un mot<\/h2>\n
\u00c0 l\u2019int\u00e9rieur des mauvaises configurations de ServiceNow<\/h2>\n
\u00c9tapes de rem\u00e9diation<\/h2>\n
\n
![\"Exposition](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Exposition-des-donnees-ServiceNow-un-signal-dalarme-pour-les-entreprises.jpg\" "\\"Exposition")
<\/a><\/td>\n<\/tr>\n