9 nouvelles de la KW27.2025 - En résumé sur level92.fun

Ici pour vous neuf des contributions intéressantes de la semaine 30.6 – 6.7 (KW27-2025) ont été rassemblées et résumées; deux dont une vue détaillée et plus détaillée – presque une fois à travers mon monde «Wews».

Article premier

Lacune critique de sudo dans de nombreuses distributions Linux

Le thème qui a éclipsé toute la semaine a sans doute été le CVE-2025-32463 | EUVD-2025-19673 En principe, tout le monde non privilégiésn Autorise les droits root de l'utilisateur via sudo.
Exploit chwoot déjà en circulation

Les points clés sont les suivants:

Le danger: Une vulnérabilité critique dans sudo (CVSS 9,3) permet aux utilisateurs locaux d'obtenir des droits root en raison d'une erreur dans la fonction chroot. Un code d’exploitation fonctionnel appelé «chwoot» est disponible publiquement et a été testé avec succès sur Ubuntu 24.04 et Fedora 41. Plus de détails peuvent être trouvés, par exemple, chez les gars de Golem.de:
La vulnérabilité critique CVE-2025-32463 dans sudo met en danger les systèmes Linux

Systèmes concernés: Les versions Sudo 1.9.14 jusqu'à 1.9.17 sont définitivement affectés, ce qui met en danger des millions de systèmes Linux. Sources : borncity | heise. Debian 11 et 12 pas Cela est dû au fait qu'ils utilisent d'anciennes versions de sudo.

solution: La vulnérabilité a été corrigée dans sudo 1.9.17p1 du 28 juin 2025. La plupart des distributions ont déjà déployé des mises à jour de sécurité.

Urgence: Étant donné qu’un exploit public est disponible et qu’il est facile à exploiter, les administrateurs doivent immédiatement installer les mises à jour disponibles, en particulier pour les systèmes multi-utilisateurs et les environnements en nuage.

Voyons un peu plus en détail:
Vue d'ensemble

Une faille de sécurité critique dans l'outil Linux largement utilisé sudo Il met en danger des millions de systèmes Linux dans le monde. La vulnérabilité appelée CVE-2025-32463 permet aux utilisateurs non privilégiés d'obtenir des droits root avec un minimum d'effort et de prendre ainsi le contrôle total du système.

Détails techniques

Le point faible

ID CVE: CVE-2025-32463
Score CVSS: 9,2 (critique)
Composante concernée: Fonction chroot dans sudo
Exploitation: Escalade des privilèges locaux

Fonctionnement de l'attaque

L'erreur réside dans l'implémentation de la fonction chroot de sudo. Entre deux appels de fonction, celle-ci appelle le «Name Service Switch» (NSS), qui /etc/nsswitch.conf charge. Un attaquant peut faire en sorte que cette fonctionnalité charge un fichier manipulé avec du code C (une bibliothèque dynamique .so) et l'exécute avec des droits root.

Les chercheurs ont appelé le code d’exploitation «chwoot», un jeu de mots composé de «chroot» et de «root», qui reflète la nature de la vulnérabilité.

Systèmes concernés

Versions de Sudo

Certainement concerné: Versions Sudo 1.9.14 à 1.9.17
Non concerné: Versions antérieures à 1.8.32 (le code incorrect n'a été introduit qu'en 1.8.32)
Pas clair: Versions entre 1.8.32 et 1.9.14 (non entièrement testées)

Les distributions Linux

Systèmes concernés confirmés:

Ubuntu 24.04.2 (Noble Numbat)
Ubuntu 24.10 (Oracular Oriole)
Ubuntu 25.04 (Plucky Puffin)
Versions d'Ubuntu LTS: 22.04 (Jammy), 20.04 (Focal), 18.04 (Bionic), 16.04 (Xenial), 14.04 (Trusty)
Fedora 41
openSUSE Tumbleweed (avant snapshot du 02.07.2025)

Systèmes non concernés:

Debian 11 (Bullseye) - utilise sudo 1.9.5
Debian 12 (Bookworm) - utilise sudo 1.9.13

Découverte et publication

Le point faible a été Rich Mirch de laStratascale Cyber Research Unit“découvert et documenté publiquement le 30 juin 2025.

Preuve de concept

Un code d'exploitation fonctionnel est disponible publiquement et a été testé avec succès sur différents systèmes. L'attaque ne nécessite qu'un compilateur C et est exploitable dans la configuration par défaut de sudo.

Correction et mises à jour

Solution officielle

Version corrigée: sudo 1.9.17p1 (disponible depuis le 28 juin 2025)
solution: Les modifications problématiques de la version 1.9.14 ont été annulées
futur: La fonction chroot sera complètement supprimée dans les futures versions de sudo

Mises à jour spécifiques à la distribution

Ubuntu:

Toutes les versions concernées ont reçu des mises à jour de sécurité
Conseils: USN-7604-1
Les mises à jour portent le bugfix dans la version sudo utilisée

Debian:

Bookworm: sudo 1.9.13p3-1+deb12u2 (corrigé par précaution)
Bullseye : sudo 1.9.5p2-3+deb11u2 (corrigé par précaution)

openSUSE:

Tumbleweed: sudo 1.9.17p1 à partir du snapshot du 02.07.2025

Et c'est intéressant aussi:

Deuxième faille de sécurité: CVE-2025-32462

En parallèle, une autre vulnérabilité sudo a été découverte:

détails

ID CVE: CVE-2025-32462
Score CVSS: 2,8 (faible priorité)
problème: Contournement des restrictions d'hôte dans la configuration sudoers
Condition préalable: Configuration spéciale dans /etc/sudoers Nécessaire
Caché depuis: 12 ans dans le sud

Exploitation

Cette lacune n'est exploitable que si:

L'attaquant a accès à un compte local
Le fichier sudoers contient des règles pour d'autres systèmes (hôtes distants)

Évaluation des risques

Risque élevé

Facilité d'utilisation: Faible complexité d'attaque
Large diffusion: Affecte des millions de systèmes Linux
Compromis total: Droits root = contrôle complet du système
Exploitation publique: Code fonctionnel disponible

restrictions

Accès local requis: L'attaquant doit déjà avoir un compte sur le système
Configuration par défaut: Fonctionne avec la configuration standard de sudo

Mesures recommandées

Étapes immédiates

Installer les mises à jour: Priorité est donnée à toutes les mises à jour sudo disponibles
Vérification des systèmes: Identifier la version sudo concernée (sudo --version)
Mettre à jour les templates cloud: Mettre à jour les modèles de VM
Renforcer le suivi: Surveiller les activités insolites de sudo

Mesures à long terme

Mises à jour régulières: Mettre en œuvre des processus de mise à jour automatisés
Contrôle d'accès: Minimiser et surveiller les comptes d'utilisateurs locaux
monitoring: Vérifier les logs pour les escalades de privilèges suspectes

Solutions de contournement

Pour CVE-2025-32462, Red Hat recommande comme solution intermédiaire:

Suppression des règles d'hôte distant des fichiers sudoers
Limité aux définitions de compte local

Conclusion

Cette vulnérabilité critique souligne l'importance des mises à jour de sécurité rapides dans les environnements Linux. La combinaison de la prolifération, de la facilité d'utilisation et du code d'exploitation disponible fait de cette vulnérabilité l'une des vulnérabilités Linux les plus importantes de 2025. Les administrateurs système doivent agir rapidement et déployer les mises à jour disponibles.

Article 2

Microsoft sort un homme «plus de 9000» sur XBox

Bien que la référence soit rugueuse, l'occasion est malheureusement plutôt de pleurer. À haute voix Bloomberg et SeattleTimes Tabula Rasa est actuellement en cours d'élaboration dans le secteur des jeux vidéo de Microsoft.

Microsoft poursuit une vague massive de licenciements en 2023 et 2024

Microsoft a de nouveau licencié des milliers d'employés au début de son nouvel exercice, poursuivant ainsi l'une des plus grandes séries de licenciements de l'histoire de l'entreprise. Jusqu'à 4% La main-d'œuvre, un peu plus de 9 000 personnes, pourrait être affectée par les réductions actuelles. Rien que dans l'État de Washington, 830 travailleurs ont perdu leur emploi.

Licenciements dans un contexte plus large

Ces licenciements font suite à deux vagues précédentes en mai et juin, au cours desquelles Microsoft a déjà licencié plus de 6 000 employés. Depuis mai, la société a supprimé plus de 15 000 emplois dans le monde, dont plus de 3 100 à Washington. Microsoft souligne que les réductions ne sont pas liées à la performance et visent à réduire les niveaux de gestion et à accroître l'agilité.

Domaines concernés

Différents secteurs d'activité sont particulièrement touchés, notamment les ventes, le marketing et les jeux. Le patron des jeux, Phil Spencer, a confirmé des réductions dans son domaine, bien que la division des jeux fonctionne avec succès. Selon l'article de Bloomberg, la vague actuelle de licenciements affecte principalement les employés des jeux, en particulier après la Reprise record Activision-Blizzard-King est également susceptible d'affecter ou d'affecter certains d'entre eux en Europe.
Sidenote : Pour les collègues de l'époque qui avaient survécu à la calvitie de Cork et qui pourraient maintenant être touchés, l'ancien groupe Blizzard 600 de 2012 est toujours prêt pour vous en tant que réseau!

Investir dans l’IA en tant que moteur des coûts

Alors que Microsoft réduit ses effectifs, l'entreprise investit massivement dans l'intelligence artificielle. Pour l'exercice en cours, Microsoft prévoit de dépenser plus de 80 milliards de dollars en infrastructures, soit une augmentation de 25 milliards de dollars par rapport à l'exercice précédent. Les coûts élevés de l'IA obligent l'entreprise à économiser ailleurs.

Situation paradoxale

Il est à noter que ces licenciements ont lieu après l'un des meilleurs trimestres de l'histoire de l'entreprise, avec près de 26 milliards de dollars de bénéfices et 70 milliards de dollars de chiffre d'affaires. Les experts considèrent qu’il s’agit d’une continuation du mouvement de «rightsizing» du secteur des technologies après la croissance due à la pandémie.

Article 3

FAQ/Articles sur les nombreuses normes USB-C

heise.de Aide à regarder:
Tous les câbles USB-C ne permettent pas toutes les fonctions!

Principaux enseignements tirés de cette Articles de Heise est libellé comme suit: Ce n'est pas parce que l'USB-C est sur le dessus et que le connecteur s'adapte que toutes les fonctions sont possibles. Comme souvent, ce n'est possible que si l'on prend son temps et que l'on regarde de plus près.

Principal problème: La diversité malgré la standardisation

L'USB-C était censé être unifié, mais la réalité est différente. Il y a encore beaucoup Différents câbles USB-C avec différentes fonctions et qualités.

Raison des différences: Optimisation des coûts

Restrictions fonctionnelles: Il en résulte des câbles avec des fonctionnalités limitées

Pression des prix: Les consommateurs achètent souvent le câble le moins cher disponible

Réaction du fabricant: Les entreprises réduisent leurs coûts de fabrication en éliminant les veines

Les collègues de ct3003 ont également jolie vidéo et article avec beaucoup plus d'arrière-plan au départ, amusez-vous avec Keno et Christoph:

Mais là aussi, la quintessence sera que si aucune indication n'est sur le câble, il suffit d'essayer ce qu'il peut réellement faire.

Encore une formule empirique: Les câbles plus courts jusqu'à 1 m maximum ont tendance à être plus rapides ou peuvent transmettre plus de watts simplement parce que les câbles plus longs sont freinés par la physique. Bonne chance.

Conclusion: Lors de l’achat d’un câble USB-C, il convient non seulement de se pencher sur le prix, mais aussi de mieux prendre en compte la fonctionnalité souhaitée, en fonction de l’utilisation prévue (chargement uniquement par rapport à la transmission rapide des données).

Article 4

80k Bitcoin à l’occasion de la Journée de l’indépendance «on the move»

Le réseau discute depuis vendredi d'une transaction assez spectaculaire de pas moins de 80 000 bitcoins, qui n'ont pas été déplacés depuis 2011.

À propos Twitter – euh X Bien sûr, il y a quelques informations sur la transaction, y compris le fait que les 80000 pièces ont été divisées en 8 adresses différentes de 10000 chacune. La transaction représente un montant spectaculaire de 8,6 milliards de dollars pour un prix unitaire de 107 774 bitcoins le 4 juillet – YAY!

Il n'y avait probablement pas de transfert de test d'un petit sous-ensemble à l'avance (courageux ou victorieux?) et qu'en raison de l'âge des pièces de monnaie, quelqu'un n'a probablement dû payer que relativement peu d'argent de poche pour cela.

On discute également avec diligence de combien de patience il faut faire preuve pour ne pas vendre, même à des prix de 1000 ou 20000, puis pour regarder des années de brouhaha.

Celui qui veut rester à l'écoute suit le mieux le compte, Au moins, des mises à jour régulières ont été promises!

Article 5

L'agenda high-tech soutient les technologies clés génériques

Programme high-tech pour l’Allemagne: Points clés Exposé de la ministre de la Recherche Doro Bär!

Objectif: L'initiative vise à renforcer la compétitivité, la sécurité et la souveraineté de l'Allemagne grâce à la recherche et à la technologie. L'accent est mis sur le fait que les nouvelles technologies doivent améliorer la vie des citoyens, créer de la richesse et réduire les dépendances.

Direction et timing: Le ministère fédéral de la Recherche, de la Technologie et de l'Espace mène l'offensive qui débutera cet été. La devise est la suivante: Compétitivité, création de valeur et souveraineté «made in Germany».

Budget : La Confédération veut investir 5,5 milliards d'euros, principalement dans la haute technologie.

Les six technologies clés génériques:

Intelligence artificielle
Technologies quantiques
microélectronique
biotechnologie
Fusion et production d’énergie neutre pour le climat
Technologies de mobilité neutre pour le climat

Situation de départ: L'Allemagne dispose déjà d'une base solide dans tous les domaines mentionnés, avec un système scientifique et de recherche attrayant sur le plan international, des performances technologiques élevées et des entreprises innovantes.

L'agenda vise à développer ces atouts existants de manière ciblée et à positionner l'Allemagne en tant que site technologique de premier plan.

Stratégie de mise en œuvre et calendrier:

Mesures concrètes:

Initiatives phares pour chacune des six technologies clés avec des calendriers clairs que l'agenda papier est déjà disponible auprès des autres ministères.
Les premières mesures seront prises en 2025
À partir de l'automne 2025, les pays et les acteurs de la science, de l'économie et de la société seront invités à s'organiser ensemble

Principal problème: Faiblesse des transferts allemands L’un des principaux objectifs est de surmonter la faiblesse chronique des transferts en Allemagne, c’est-à-dire de combler le fossé entre la recherche et l’application pratique. Pour ce faire, de nouvelles approches en matière de promotion et de financement de l'innovation doivent être mises en place.

Approche communautaire: Le programme s’entend comme un «mandat commun» et s’adresse aux partenaires chargés de la mise en œuvre dans tous les domaines pertinents: Science, économie, société et administration.

Argumentation économique: La ministre fédérale Dorothee Bär souligne l'énorme effet de levier: Selon la Commission européenne, chaque euro investi dans la recherche rapporte jusqu'à 11 euros à l'économie de l'UE. Elle met en garde: «Ceux qui n’investissent pas aujourd’hui dans l’innovation seront dépendants demain.»

Philosophie: L'innovation n'est pas définie comme un luxe, mais comme le modèle économique de l'Allemagne et la base de sa prospérité future. L'agenda vise à remettre l'Allemagne à l'avant-garde de la concurrence technologique internationale.

Source: Handelsblatt | Handelsblatt

Article 6

Citrix, ce n’était probablement pas le cas – Citrix Bleed 2 est sur le point d’être lancé

Mise à jour 30.6 – Au moins 1 200 instances Citrix NetScaler ADC et NetScaler Gateway sont actuellement accessibles sans correctif sur le réseau.
Une fête, Wayne?

Plus de 1 200 appareils Citrix NetScaler ADC et NetScaler Gateway accessibles au public n'ont pas encore été corrigés pour une vulnérabilité critique considérée comme activement exploitée. La vulnérabilité permet aux attaquants de contourner l'authentification en détournant les sessions des utilisateurs.

La faiblesse (CVE-2025-5777 | EUVD-2025-18497):

Dénommé «Citrix Bleed 2» en référence à un écart similaire exploité en 2023
Permet aux attaquants non authentifiés d'accéder aux zones de stockage verrouillées
Les attaquants peuvent voler des jetons de session, des identifiants de connexion et d'autres données sensibles
Même l'authentification multifactorielle (MFA) peut être contournée

Situation actuelle des menaces:

Les Shadowserver Foundation Découverte de plus de 2 100 appareils vulnérables
Citrix ne confirme pas encore l'utilisation active
Cependant, la société de cybersécurité ReliaQuest rapporte avec une sécurité moyenne des attaques ciblées
Les activités suspectes incluent les sessions Web piratées et les requêtes LDAP pour la reconnaissance Active Directory

Mesures recommandées: Citrix recommande aux administrateurs de patcher immédiatement tous les périphériques NetScaler et de mettre fin à toutes les sessions ICA et PCoIP actives après la mise à jour. En outre, les entreprises devraient vérifier leurs contrôles d'accès et surveiller les appareils pour détecter les activités suspectes des utilisateurs.

FunFact:
En parallèle, plus de 2 100 appareils NetScaler sont également contre une autre vulnérabilité critique (CVE-2025-6543) non corrigé avec un score de 9,2 déjà utilisé dans les attaques par déni de service.

Wow... Party on, Wayne! C'est parti, Garth!

Article 7

Mindfactory Resurrection: Heise prend le relais

Heise rachète Mindfactory, distributeur de matériel informatique – Principaux faits

L'accord: Le heise group reprend comme prévu le distributeur de matériel Mindfactory. Le transfert aura lieu le 31 juillet 2025, après quoi l'entreprise sera rebaptisée heise mindfactory gmbh.
Le Bundeskartellamt a donné son feu vert.

Contexte de l'acquisition: Le 30 juin 2025, la maison de presse Heise a franchi une étape remarquable et a repris l'ensemble des activités de Mindfactory GmbH. L'acquisition s'effectue dans le cadre d'un asset deal. Mindfactory était précédemment dans le cadre d'une procédure d'insolvabilité Il cherchait un investisseur.

Nouveau leadership: Marcel Kirchner est nommé nouveau directeur général. Auparavant, il a travaillé pendant près de 16 ans chez Mindfactory en tant que responsable des achats et détient une participation de 3,57 pour cent dans l'entreprise.

Signification : Si cela se produit, l'un des plus grands détaillants en ligne allemands de composants PC changera de propriétaire. Le principal détaillant allemand de jeux vidéo «Mindfactory» a Rénovation en autogestion terminé avec succès.

Stratégie commerciale: La nouvelle entreprise, qui devrait constituer le nouveau secteur d'activité Commerce aux côtés de Content, Connect et Compare, sera officiellement lancée le 31 juillet 2025.

L'acquisition sauve l'un des principaux distributeurs allemands de matériel de la faillite et élargit le champ d'activité de Heisse au secteur du commerce électronique.

Article 8

NVDA 3.7 est à court terme l'entreprise la plus précieuse au monde

Nvidia atteint brièvement l'étape historique en tant qu'entreprise la plus précieuse au monde.

Cela n'a pas duré longtemps, mais la tendance est clairement perceptible.
Le 3.7, Nvidia ferme avec une valeur boursière de 3 000 milliards et 920 milliards, juste au-dessus de l’ancien détenteur du record, Apple, qui était considérée comme l’entreprise la plus précieuse au monde le 26.12.2024 avec 3 915 milliards à la clôture.

4 billions de dollars de valeur boursière. C’est près de quatre, suivis de douze zéros – d’accord, presque, mis au concours: 3920000000000 dollars. C'est de la folie.
D'ailleurs, il y a à peine 4 ans, Apple était célébré pour la moitié de sa valeur boursière (2020) avec l'indication qu'ils ont déjà pu doubler leur valeur en seulement 2 ans. Apparemment, la croissance ralentit maintenant, ou en d'autres termes, le prochain doublement a également pris deux fois plus de temps.

S'il vous plaît ne pas prendre cela très au sérieux: Si nous extrapolons cette croissance du passé récent d'Apple à l'avenir à moyen terme de Nvidia, la cible de 8 billions de dollars devrait être déchirée vers 2033.

Mise à jour une semaine plus tard: Le géant des puces Nvidia a franchi une étape historique: C'est la première entreprise au monde à avoir craqué sur des cartes graphiques. ~~Matériel d'IA~~ ⁇ groupe spécialisé la marque de quatre billions de dollars de valeur boursière.

4 000 milliards de dollars: L'entreprise la plus précieuse de Nvidia

Nvidia est ainsi devenue la société par actions la plus précieuse au monde.

L'essor de Nvidia est étroitement lié au boom de l'intelligence artificielle. La société profite grandement de la forte demande de matériel d'IA et de GPU nécessaires à l'apprentissage automatique et aux applications d'IA.

Nvidia vaut désormais plus de deux fois plus que les 40 entreprises du DAX réunies. Nvidia a été temporairement l'entreprise la plus précieuse au monde en juin et a continué à développer cette position.

Classement des entreprises les plus précieuses au monde 2025

La capitalisation boursière impressionnante reflète les attentes des investisseurs selon lesquelles Nvidia continuera de bénéficier du boom continu de l'IA. La société s'est imposée comme le principal fournisseur de puces essentielles à la formation et à l'inférence en matière d'IA.

Source: Article de Reuters

Article 9

Vulnérabilité Cisco SSH dans le CUCM

BaseScore 10/10 – Attention les gars! CVE-2025-20309 | EUVD-2025-21714

Résumé de la vulnérabilité Cisco CVE-2025-20309 et état des lieux directement chez le fabricant Cisco

Produit concerné: Cisco Unified Communications Manager (CUCM) Cisco, la vulnérabilité CVE-2025-20309 présente un risque élevé d’exploitation à distance – ZAM pour tous Cisco Unified CM et Unified CM SME Engineering Special (ES) Versions 15.0.1.13010-1 à 15.0.1.13017-1

Type de vulnérabilité: La vulnérabilité provient d'une mauvaise gestion des contrôles d'accès SSH, ce qui permet à un attaquant non autorisé de contourner les mécanismes de sécurité établis.

Particulièrement piquant: L'accès se fait via un compte racine de développeur avec des données d'accès SSH statiques qui ne peuvent pas non plus être modifiées. Soi-disant un vestige de l'évolution. Par exemple, dans le Heise Forum, dans un tel cas, on suppose volontiers que cela n'avait peut-être pas grand-chose à voir avec des oublis.

Degré de gravité: MISE À JOUR: Résultats CVSS v3.1: 8.6 (haute gravité) avec un risque élevé d'utilisation à distance

Exploitation: Cette erreur peut être exploitée à distance via une session SSH mal configurée sans authentification préalable requise. La faiblesse se fait entendre CERT-FR déjà activement exploitées.

Conséquences: Une attaque réussie permet:

Accès non autorisé au système
Contournement des stratégies de sécurité réseau
Récupération de données confidentielles
Perturbation des services de téléphonie

Contre-mesures:

Correction par mise à jour logicielle disponible dans le CUCM
Aucune solution de contournement viable n'est connue
Cisco recommande de désactiver l'accès SSH si ce n'est pas obligatoire et de restreindre l'accès au réseau

Publication : Le bulletin de sécurité a été publié par Cisco le 2 juillet 2025 et signalé par le CERT-FR français le 3 juillet 2025.

Cette vulnérabilité constitue une menace sérieuse, en particulier pour les infrastructures VoIP, car elle peut servir de point d'entrée pour les attaques réseau majeures. De plus, les attaquants distants peuvent accéder à ces systèmes sans aucune authentification. Ensuite, ils peuvent exécuter du code malveillant avec des droits root, le Supergau absolu.

Sources : nicolascoolman.eu | dfn-cert.de | cisco.com

C’était déjà le cas pour la KW27, cette fois en mettant clairement l’accent sur la défense – j’espère que nous nous relirons bientôt.

D'ici là, libre à Sun-Tsu:
Apprenez de chaque bataille, gagnée ou perdue

Analysez chaque incident, qu'il soit repoussé avec succès ou préjudiciable, afin de tirer des enseignements et d'améliorer continuellement votre défense informatique.
Ce n'est qu'ainsi que vous pourrez mieux gérer les menaces futures.

Nouvelles de la KW27.2025