Les vulnérabilités à suivre – 6 oct 2025

Voici la revue hebdomadaire des vulnérabilités critiques signalées et des mesures proposées par les éditeurs pour y remédier.

La cybersécurité continue d’évoluer face aux menaces croissantes et aux avancées technologiques. Cette semaine, plusieurs incidents et mises à jour critiques ont été signalés, mettant en lumière l’importance de rester informé des dernières vulnérabilités et des mesures de sécurité. Oracle a découvert que certaines de ses vulnérabilités corrigées pourraient être exploitées dans des attaques d’extorsion, tandis que HackerOne a versé des millions en primes de bogues pour encourager la découverte de failles. Par ailleurs, des vulnérabilités critiques dans les systèmes Linux et VMware ont été activement exploitées, soulignant la nécessité de mises à jour rapides. Enfin, Signal a introduit une nouvelle technologie pour protéger les communications contre les menaces futures des ordinateurs quantiques.

Selon SecurityWeek, Oracle a identifié que des vulnérabilités corrigées dans sa mise à jour critique de juillet 2025 pourraient être exploitées dans des attaques d’extorsion. Ces vulnérabilités, dont trois sont exploitables à distance sans authentification, sont classées de gravité moyenne. Les chercheurs de Google Threat Intelligence Group et Mandiant ont révélé que des dirigeants utilisant la suite E-Business d’Oracle ont reçu des emails d’extorsion prétendant provenir du groupe Cl0p. Ces messages ont été envoyés depuis des comptes compromis associés au groupe FIN11. Oracle a corrigé environ 200 vulnérabilités en juillet 2025, dont neuf concernaient la suite E-Business. Les vulnérabilités CVE-2025-30746, CVE-2025-30745 et CVE-2025-50107 nécessitent une interaction de l’utilisateur pour être exploitées.

D’après BleepingComputer, HackerOne a versé 81 millions de dollars en primes de bogues au cours des 12 derniers mois, marquant une augmentation de 13 % par rapport à l’année précédente. Les 100 meilleurs programmes de primes ont distribué 51 millions de dollars entre juillet 2024 et juin 2025. Le nombre de vulnérabilités liées à l’IA a augmenté de plus de 200 %, avec une hausse de 540 % pour les vulnérabilités d’injection de prompts. Les chercheurs utilisent de plus en plus des outils d’IA pour améliorer leurs capacités de recherche. En 2025, 1 121 programmes de primes ont inclus l’IA, soit une augmentation de 270 % par rapport à l’année précédente. Les problèmes de sécurité tels que XSS et SQLi sont en déclin, mais les failles d’autorisation connaissent une augmentation significative.

La CISA a averti d’une vulnérabilité critique (CVE-2025-32463) dans le paquet sudo de Linux, permettant l’exécution de commandes avec des privilèges root. Cette faille, ajoutée au catalogue des vulnérabilités exploitées connues, doit être corrigée d’ici le 20 octobre. Elle affecte les versions 1.9.14 à 1.9.17 de sudo et a un score de gravité critique de 9.3 sur 10. Un attaquant local peut exploiter cette faille pour escalader les privilèges en utilisant l’option -R (–chroot), même s’il n’est pas dans la liste sudoers. La faille a été officiellement divulguée le 30 juin et des exploits ont circulé depuis le 1er juillet.

Signal a annoncé, selon GBHackers, l’introduction du Sparse Post Quantum Ratchet (SPQR) pour protéger les communications contre les menaces des ordinateurs quantiques. Ce protocole combine le Double Ratchet existant avec le SPQR pour créer le Triple Ratchet, assurant la sécurité contre les attaques actuelles et futures. Le système maintient les principes de sécurité de Signal, tels que le secret de transmission et la sécurité post-compromis. Le protocole est déployé de manière transparente, sans nécessiter d’action de l’utilisateur, et optimise la bande passante pour minimiser l’impact sur l’utilisation des données.

La CISA a ordonné aux agences fédérales de corriger une vulnérabilité critique (CVE-2025-10035) dans l’outil de transfert de fichiers GoAnywhere MFT de Fortra. Découverte le 11 septembre, cette faille a un score de gravité de 10 sur 10. Elle expose les consoles d’administration accessibles sur Internet à des tiers non autorisés. Bien que Fortra n’ait pas confirmé l’exploitation de la faille, des chercheurs ont indiqué qu’elle était activement exploitée depuis le 10 septembre. Les agences fédérales ont jusqu’au 20 octobre pour appliquer les correctifs.

Des chercheurs en sécurité ont mis en évidence, selon The Verge, une vulnérabilité dans les trackers Tile, permettant à des individus malveillants de suivre des victimes. Le mode anti-vol de Tile rend ses trackers invisibles, contrecarrant les mesures de prévention du harcèlement. Les informations non chiffrées, telles que les ID uniques et les adresses MAC, peuvent être interceptées. Tile a apporté des « améliorations » mais n’a pas détaillé les mesures de chiffrement. Les chercheurs recommandent de faire pivoter fréquemment les adresses MAC pour réduire les risques de suivi.

Le projet OpenSSL a publié des mises à jour de sécurité pour corriger trois vulnérabilités, selon SecurityAffairs. Les failles, identifiées comme CVE-2025-9230, CVE-2025-9231 et CVE-2025-9232, permettent la récupération de clés, l’exécution de code et des attaques par déni de service. La vulnérabilité CVE-2025-9230, bien que modérément sévère, peut entraîner des lectures/écritures hors limites, causant des crashs ou des corruptions de mémoire.

Broadcom a corrigé deux vulnérabilités critiques dans VMware NSX, signalées par la NSA, selon BleepingComputer. La première, CVE-2025-41251, concerne un mécanisme de récupération de mot de passe, permettant à des attaquants non authentifiés d’énumérer des noms d’utilisateur valides. La seconde, CVE-2025-41252, est une vulnérabilité d’énumération de noms d’utilisateur. Broadcom a également corrigé une vulnérabilité d’injection d’en-tête SMTP dans VMware vCenter. Les produits VMware sont souvent ciblés par des groupes de cybercriminalité, notamment pour le transfert et le stockage de données sensibles.

D’après BleepingComputer, une vulnérabilité de VMware Aria Operations et VMware Tools, exploitée en zero-day depuis octobre 2024, a été corrigée. Identifiée comme CVE-2025-41244, elle permet l’escalade de privilèges sur les systèmes vulnérables. Les attaques ont été attribuées au groupe chinois UNC5174. Un exploit de preuve de concept a été publié, démontrant comment obtenir une exécution de code au niveau root. Le groupe a également été lié à d’autres attaques exploitant des failles critiques dans des infrastructures sensibles.

Environ 50 000 pare-feu Cisco sont vulnérables à deux failles activement exploitées, selon BleepingComputer. Les vulnérabilités, CVE-2025-20333 et CVE-2025-20362, permettent l’exécution de code arbitraire et l’accès à des points de terminaison URL restreints. La plupart des IP vulnérables sont situées aux États-Unis, avec plus de 19 200 points d’extrémité. La CISA a émis une directive d’urgence pour identifier et mettre à jour les instances compromises. Les appareils ASA atteignant leur fin de support doivent être déconnectés des réseaux fédéraux.