Revue de la semaine : un bogue Linux donne un accès root aux attaquants, les vulnérabilités des appareils UPS, la sécurité IoT pour les OEM

Voici un aperçu de certaines des actualités, articles et interviews les plus intéressants de la semaine dernière :

Mozilla corrige les zero-days de Firefox exploités à l’état sauvage (CVE-2022-26485, CVE-2022-26486)
Mozilla a publié une mise à jour de sécurité hors bande pour Firefox, Firefox Focus et Thunderbird, corrigeant deux vulnérabilités critiques (CVE-2022-26485, CVE-2022-26486) exploitées par des attaquants en liberté.

Un bogue Linux facilement exploitable donne un accès root aux attaquants (CVE-2022-0847)
Une vulnérabilité facilement exploitable (CVE-2022-0847) dans le noyau Linux peut être utilisée par des utilisateurs locaux non privilégiés pour obtenir des privilèges root sur des systèmes vulnérables en profitant d’exploits déjà publics.

Les onduleurs largement utilisés peuvent être piratés et détruits à distance
Trois vulnérabilités dans les dispositifs APC Smart-UPS (alimentation sans coupure) omniprésents pourraient permettre à des attaquants distants de les utiliser comme vecteur d’attaque, de les désactiver ou de les détruire complètement, ont découvert des chercheurs d’Armis.

Patch Tuesday de mars 2022 : Microsoft corrige les RCE dans le client RDP, Exchange Server
Microsoft marque le mardi des correctifs de mars 2022 avec des correctifs pour 71 vulnérabilités numérotées CVE, dont trois « critiques » jusque-là inconnues et trois « importantes » qui étaient déjà publiques (mais pas activement exploitées par les attaquants).

Guerre en Ukraine : à quel type de cyberattaques peut-on s’attendre ?
Les cyberactivités liées à la guerre en cours en Ukraine couvrent toute la gamme des organisations de logiciels malveillants d’essuie-glace et du contrôle des frontières en Ukraine, des attaques DDoS visant les sites Web du gouvernement et des médias, et la cyber-perturbation du service Internet par satellite, aux préparatifs d’attaques de points d’eau. , des campagnes de désinformation de niveau supérieur et des campagnes de phishing.

Kali Linux sur bare-metal obtient la fonctionnalité d’instantané
L’équipe Offensive Security a publié Kali Unkaputtbar, une nouvelle fonctionnalité qui permet à Kali Linux installé sur un système nu de créer automatiquement des instantanés du système, permettant ainsi aux utilisateurs de revenir à un état système précédent après une mise à niveau bâclée.

Chaque entreprise est une entreprise de cybersécurité
Le travail hybride, avec certains membres du personnel se connectant à distance et d’autres basés au bureau, constitue la base du travail de nombreuses organisations, mais de nombreuses entreprises ne sont toujours pas entièrement équipées pour les risques de sécurité inévitables créés par la décentralisation.

Forte augmentation des cyberattaques des PME par la Russie et la Chine
SaaS Alerts a dévoilé les conclusions de son dernier rapport qui a analysé environ 136 millions d’événements de sécurité SaaS dans 2 100 petites et moyennes entreprises (PME) dans le monde et identifié les cybertendances ayant un impact négatif sur les entreprises.

5 étapes qui simplifient la sécurité IoT pour les OEM
À mesure que la transformation numérique se matérialise, les entreprises deviennent de plus en plus dépendantes des appareils qui prennent en charge de précieux services IoT. À mesure que la dépendance à l’égard de ces appareils augmente, le nombre de cyberattaques sur les solutions connectées augmente également.

La BBC ciblée par 383 278 attaques de spam, de phishing et de logiciels malveillants chaque jour
La BBC (British Broadcasting Corporation) a été la cible de près de 50 millions d’attaques malveillantes par email entre le 1er octobre 2021 et fin janvier 2022.

Accroître la sécurité des applications monopage (SPA)
Les applications à page unique (SPA) sont devenues le moyen le plus populaire de créer des sites Web plus rapides pour l’utilisateur final sans toucher le serveur chaque fois qu’un utilisateur interagit avec une application.

Les responsables informatiques confiants dans leur capacité à gérer une attaque de rançongiciel : ils devraient être mieux informés
ExtraHop a publié les résultats d’une enquête sur les ransomwares qui met en lumière les écarts entre la façon dont les décideurs informatiques (ITDM) voient leurs pratiques de sécurité actuelles et la réalité du paysage des attaques de ransomwares.

Comprendre les protocoles de cybersécurité assouplis du département américain de la Défense sous CMMC 2.0
Les sous-traitants du Département de la Défense (DoD) qui luttent pour se conformer aux réglementations à venir en matière de cybersécurité dans le cadre de la certification du modèle de maturité de la cybersécurité (CMMC) peuvent pousser un soupir de soulagement : le DoD a annoncé son intention de publier CMMC 2.0, avec la promesse de rationaliser le processus de certification et de faciliter règles de sécurité pour les sous-traitants et les sous-traitants traitant des informations de faible priorité.

70% des mots de passe piratés sont toujours utilisés
SpyCloud a annoncé un rapport qui examine les tendances liées aux données exposées. identifié 1,7 milliard d’informations d’identification exposées, soit une augmentation de 15 % par rapport à 2020, et 13,8 milliards d’enregistrements d’informations personnelles identifiables (PII) récupérés obtenus à partir de violations par des chercheurs en 2021.

Les lois sur la confidentialité des données sont une opportunité de devenir plus honnête pour atteindre votre public cible
Les réglementations sur la confidentialité des données sont conçues pour donner aux consommateurs plus de transparence et de contrôle sur la manière dont leurs données sont collectées, partagées et utilisées, d’autant plus que de plus en plus de consommateurs s’inquiètent de la manière dont leurs données sont consultées et utilisées par les grandes entreprises de données.

À quel point les analystes en sécurité sont-ils frustrés et épuisés ?
Les analystes de sécurité jouent un rôle essentiel en veillant à ce que leurs organisations restent sûres et sécurisées. Mais les obstacles à leur travail, comme le manque de personnel, le surmenage et les tâches fastidieuses, provoquent de la frustration et de l’épuisement professionnel, révèle un rapport de Tines.

Pourquoi les CAPTCHA sont-ils encore utilisés ?
Le succès de votre activité en ligne dépend de la capacité de vos clients à reconnaître correctement les passages pour piétons ou les feux de circulation. Je fais bien sûr référence aux CAPTCHA, l’outil de sécurité en ligne qui demande aux utilisateurs finaux de prouver qu’ils sont humains en reconnaissant des éléments spécifiques dans diverses images.

Les organisations doivent modifier leur utilisation et leurs politiques actuelles de mot de passe, et le faire rapidement
Les attaques liées aux mots de passe sont en augmentation. Le vol des informations d’identification des utilisateurs, y compris le nom, l’adresse e-mail et le mot de passe, était la cause première la plus courante des violations en 2021 avec plusieurs attaques très médiatisées et perturbatrices au cours des deux dernières années sur SolarWinds, Colonial Pipeline et d’autres rendues possibles par des pirates informatiques volant un seul mot de passe.

L’avenir de l’identité numérique nous offre-t-il une plus grande sécurité et des expériences pratiques ?
Une grande partie de la promesse associée aux futures infrastructures d’identité numérique est associée à une plus grande automatisation du cycle de vie de l’identité et à la fourniture d’un meilleur contrôle des données personnelles aux utilisateurs finaux.

Les divulgations de vulnérabilités ICS ont bondi de 110 % au cours des quatre dernières années
Les divulgations de vulnérabilités du système de contrôle industriel (ICS) ont augmenté de 110 % au cours des quatre dernières années, avec une augmentation de 25 % au second semestre (2H) de 2021 par rapport aux six mois précédents, selon une étude publiée par Claroty.

La détection et la prévention de la fraude des commerçants coûtent plus cher que la fraude elle-même
Les commerçants européens ont dépensé près de 7 milliards d’euros pour la détection et la prévention de la fraude rien qu’en 2021, soit plus de trois fois la valeur perdue à cause de la fraude la même année, estime le CMSPI.

Les propriétaires de petites entreprises s’inquiètent de la cybersécurité de leurs véhicules utilitaires
Les propriétaires de petites entreprises ajoutent des véhicules électriques à leurs flottes de services, selon une enquête publiée par les rapports HSB, mais ils s’inquiètent de la cybersécurité lorsqu’ils les connectent à des bornes de recharge publiques.

Le marché intermédiaire s’attaque à un taux élevé d’attaques coûteuses, aggravé par des défenses complexes et cloisonnées et l’épuisement professionnel du personnel
Les entreprises de taille moyenne au Royaume-Uni ont subi des dommages financiers et opérationnels importants à la suite de cyberattaques en 2021 et souhaitent voir un changement fondamental dans la conception et le fonctionnement de la cybersécurité, révèle une étude de Censornet.

Commencez une carrière en cybersécurité avec l’aide de (ISC)², l’examen ne coûte que 125 $
Il n’y a jamais eu d’époque où les professionnels de la cybersécurité débutants étaient plus demandés. Commencer votre carrière avec une certification de (ISC)² signifie que vous montrez aux employeurs potentiels que vous avez la motivation, les connaissances et les compétences nécessaires pour réussir.

Améliorez la cyber-hygiène de votre organisation avec CIS CSAT Pro
La cyber-hygiène essentielle est la base de tout bon programme de cybersécurité. Le Center for Internet Security (CIS) définit la cyberhygiène essentielle comme le groupe de mise en œuvre 1 (IG1) des contrôles de sécurité critiques CIS (contrôles CIS).

Nouveaux produits infosec de la semaine : 11 mars 2022
Voici un aperçu des produits les plus intéressants de la semaine dernière, avec des versions d’AvePoint, Dasera, Elastic, Imperva, Palo Alto Networks, Reciprocity, SpyCloud et Veeam.

Leave a Comment