Un nouvel ensemble de vulnérabilités baptisé “CONTINUATION Flood” a été découvert dans le protocole HTTP/2 ! Dans certains cas, l’exploitation de ces vulnérabilités permet un déni de service sur le serveur web pris pour cible, à partir d’une seule connexion TCP. Voici ce qu’il faut savoir.

Le chercheur en sécurité Barket Nowotarski a fait la découverte des vulnérabilités “CONTINUATION Flood” présente dans HTTP/2, une version du protocole HTTP standardisée en 2015. S’il a choisi ce nom, ce n’est pas un hasard, car ces faiblesses sont liées à une mauvaise gestion des trames HTTP/2 CONTINUATION dans de nombreuses implémentations du protocole HTTP/2. Ces trames sont utilisées pour assembler le flux de données correspondant à différents blocs de messages du protocole HTTP/2, notamment pour l’en-tête.

Lorsque les données ne sont pas correctement limitées ou vérifiées, un attaquant peut exploiter ces vulnérabilités en envoyant des trames extrêmement longues, sans définir l’indicateur “END_HEADERS”, ce qui va permettre d’épuiser les ressources du serveur cible et engendrer un déni de service. Dans certains cas, une seule connexion TCP en HTTP/2 peut suffire pour saturer le serveur en mémoire vive et le faire planter.

“Les implémentations sans timeout pour les en-têtes ne nécessitaient qu’une seule connexion HTTP/2 pour faire planter le serveur.”, peut-on lire dans le rapport de Barket Nowotarski.

Par ailleurs, il est important de préciser que le protocole HTTP/2 est encore largement utilisé. “Selon Cloudflare Radar, le trafic HTTP/2 représente environ 60 % de l’ensemble du trafic HTTP humain (données excluant les robots)”, précise Barket Nowotarski, avec un graphe à l’appui.

Le CERT/CC a également publié un rapport au sujet de l’ensemble de vulnérabilités CONTINUATION Flood. Il référence 9 failles de sécurité correspondantes à cette faiblesse dans différentes implémentations : la bibliothèque nghttp2, AMPHP, Apache HTTP, Arista Networks, Red Hat, SUSE Linux, Node.js, Envoy (version 1.29.2 ou antérieure), ainsi que le langage de programmation Go.

À la fin de l’article du CERT/CC, il y a un tableau récapitulatif, et nous pouvons voir que le statut est actuellement inconnu pour plusieurs dizaines d’implémentations. Voici un extrait :

Les CVE suivantes sont associées à CONTINUATION Flood : CVE-2024-27983, CVE-2024-27919, CVE-2024-2758, CVE-2024-2653, CVE-2023-45288, CVE-2024-28182, CVE-2024-27316, CVE-2024-31309, CVE-2024-30255.

Si vous utilisez Apache2, sachez que la vulnérabilité CVE-2024-27316, correspondante à CONTINUATION Flood, a été corrigée dans Apache 2.4.59 publiée ce jeudi 4 avril 2024 (voir cette page).
Ceci n’est pas sans rappeler la faille de sécurité “Rapid Reset” présente dans le protocole HTTP/2 et révélée en octobre 2023. À l’époque, elle avait permis de déclencher des attaques DDoS records !

– Source:

https://www.it-connect.fr/vulnerabilite-continuation-flood-dans-http2-expose-serveurs-web-attaques-dos/

On a éviter le carnage

C’est vachement pratique de pouvoir récupérer sa chambre d’hôtel après une grosse journée, simplement en passant par le terminal qui se trouve dans l’entrée de l’hôtel. On tape son nom, on paye et paf, on récupère son numéro de chambre et le code pour y accéder. Sauf que ce que vous ignorez peut-être, c’est que ce même terminal vient potentiellement d’exposer votre code d’accès à des personnes mal intentionnées…

C’est exactement ce qui s’est passé dans un hôtel IBIS Budget à Hambourg, en Allemagne. Lors d’un congrès de hackers, la société Pentagrid a remarqué une faille de sécurité pour le moins inquiétante dans le terminal de check-in. Ainsi, en entrant une série de tirets à la place du numéro, le terminal liste toutes les réservations avec leur numéro, la date d’arrivée prévue et le prix total du séjour. Puis en sélectionnant une réservation, on accède directement au numéro de chambre et au code d’accès de la porte.

Dans l’hôtel en question, pas moins de 87 réservations étaient ainsi exposées, soit près de la moitié des 180 chambres de l’établissement !

Vous imaginez le désastre si ces codes tombaient entre de mauvaises mains ? Adieu vos effets personnels, surtout dans un hôtel bas de gamme comme celui-ci qui n’est pas équipé de coffres-forts dans les chambres. Et je vous parle pas des agressions en pleine nuit ! C’est la porte ouverte à toutes les fenêtres comme dirait l’autre.

Fort heureusement, Pentagrid a immédiatement signalé cette faille à la chaîne hôtelière Accor, propriétaire des hôtels IBIS. Le problème a depuis été corrigé, mais il aura fallu quand même plusieurs échanges et relances de la part des hackers pour que des actions soient entreprises de la part d’Accor.

Mais comment une telle faille a-t-elle pu se produire ? Et bien d’après les informations fournies par Pentagrid sur leur blog, il semblerait que le terminal de check-in ait une fonction de recherche des réservations qui nécessite uniquement le numéro de réservation pour afficher le numéro de chambre et le code d’accès. Donc c’est pas un bug, c’est une feature qui a mal tournée…

Le pire dans tout ça, c’est que de base, les numéros de réservation ne sont pas une donnée très sécurisée puisqu’on les retrouve sur toute la paperasse comme les factures…etc qui peuvent ensuite être récupérées dans une poubelle par exemple. Donc n’importe qui pourrait mettre la main dessus et accéder à votre chambre.

C’est pourquoi les auteurs de cette découverte recommandent aux hôtels de mettre en place une vérification supplémentaire pour accéder aux informations de réservation, comme un code PIN qui serait communiqué séparément au client. Les terminaux devraient aussi supprimer automatiquement les réservations dès que les informations ont été imprimées ou consultées.

En attendant, si vous séjournez dans un hôtel IBIS Budget prochainement, n’allez pas vous amuser à vérifier que la faille a été corrigée sur le terminal de check-in parce que vous ne voulez pas finir en prison pour piratage (lol).

En tout cas, sachez-le, la prochaine fois que je dors à l’IBIS, je vous attendrais de pied ferme en embuscade dans mon peignoir façon biopic DSK par Liam Neeson.

– Sources :

https://www.pentagrid.ch/en/blog/ibis-hotel-check-in-terminal-keypad-code-leakage/

https://korben.info/faille-securite-terminaux-check-in-ibis-codes-acces-chambres-exposes.html

@Ashura a dit dans 42.parquet : la bombe Zip qui ruine le Big Data :

Comment c’est possible de passer de 42ko à une telle taille finale, c’est dingue

Encore un coup des poissons peut-être. :hum:

La solution pour contrer ça, c’est le bac à sable, au lieu de bloquer les pubs, il faut les exécuter hors affichage.

J’en rêve depuis le début de l’invasion des pubs.

Marchez mains dans les poches, on sait jamais!

Je sais pas si vous avez vu passer ça, mais dernièrement, il y a eu un peu de grabuge entre George Hotz (Geohot) et AMD, puisque ce dernier a essayé de faire tourner son framework IA Tiny Grad sur des GPU AMD.

Sauf que voilà, AMD lui a donné du fil à retordre avec ses firmwares propriétaires. Le driver open-source d’AMD se révélant être une jolie mascarade puisque tout les morceaux de code critiques sont bien protégés et sous licence.

Pourtant, Geohot n’a pas lésiné. Des mois à éplucher le code, à bypasser la stack logicielle, à discuter avec les pontes d’AMD. Mais rien à faire, les mecs veulent pas cracher leurs précieux blobs binaires. « Trop risqué, pas assez de ROI, faut voir avec les avocats. » Bref, c’est mort.

Pendant ce temps, Nvidia se frotte les mains avec son écosystème IA bien huilé. Des pilotes certifiés, des perfs au rendez-vous, une bonne communauté de devs… Tout roule pour eux, alors qu’AMD continue de s’enfoncer dans sa logique propriétaire, au détriment de ses utilisateurs.

La goutte d’eau pour Geohot ? Un « conseil » de trop de la part d’AMD qui l’a incité à « lâcher l’affaire« . Résultat, geohot est passé en mode « je vais vous montrer qui c’est le patron« . Si AMD ne veut pas jouer le jeu de l’open-source, alors il va leur exposer leurs bugs de sécu à la face du monde !

Et c’est ce qu’il a fait puisque durant un live de plus de 8h, il s’est attaché à trouver plusieurs exploit dans le firmware des GPU AMD. Il est fort !

Dans l’IA, l’aspect hardware compte évidemment mais le software c’est le nerf de la guerre. Les boîtes noires, les firmwares buggés, le code legacy, c’est plus possible et les sociétés qui tournent le dos à la communauté des développeurs et des hackers font, selon moi, le mauvais choix.

Et ce qui arrive à AMD n’est qu’un exemple de plus.

Bref, comme d’habitude, gros respect à Geohot pour son combat de vouloir encore et toujours que la technologie profite au plus grand nombre. En attendant, suite à sa mésaventure avec AMD, il a annoncé qu’il switchait tout son labo sur du matos Nvidia et qu’il bazardait ses 72 Radeon 7900 XTX sur eBay. Si vous voulez des GPU d’occase pour pas cher (et apprendre à les faire planter ^^), c’est le moment !

Et si le code source de ses exploits vous intéresse, tout est sur Github.

Merci George !

– Source :

https://korben.info/geohot-atomise-les-firmwares-amd-et-ca-fait-mal.html

Tiens à propos de support numérique qui n’avait pas fait long feu, le HD DVD créé par Toshiba qui voulait concurrencer le Blu-ray de chez Sony (j’ai encore mon lecteur HD DVD de chez Microsoft que j’avais acheté juste pour le fun sur le boncoin pour une bouchée de pain 😁)

https://www.cnetfrance.fr/produits/hd-blu-ray-hd-dvd-le-meilleur-format-39378766.htm

J’ai pu renouveler mon offre, juste avant l’arrivée de cette v9.
Merci la révolution à 15€ :soupir_couettes:

Entre le tchat bot qui te sort des énormités et ce machin qui imite la voix de n’importe qui…

Est-ce que quelqu’un aurait une grotte sympa pour s’y planquer ?

Si vous suivez l’actualité de l’IA générative, vous connaissez probablement la tendance des chatbots LLM à « confondre » des informations incorrectes tout en présentant ces informations comme faisant autorité. Cette tendance semble sur le point de causer de sérieux problèmes maintenant qu’un chatbot géré par le gouvernement de la ville de New York invente des réponses incorrectes à certaines questions importantes de droit local et de politique municipale.

Le ChatBot « MyCity » de New York a été lancé en tant que programme « pilote » en octobre dernier . L’annonce présente le ChatBot comme un moyen pour les propriétaires d’entreprise de « gagner du temps et de l’argent en leur fournissant instantanément des informations exploitables et fiables provenant de plus de 2 000 pages Web et articles de NYC Business sur des sujets tels que le respect des codes et des réglementations, les activités commerciales disponibles. des incitations et des meilleures pratiques pour éviter les violations et les amendes.

Mais un nouveau rapport de The Markup et du site d’information local à but non lucratif The City a révélé que le chatbot MyCity donnait des informations dangereusement erronées sur certaines politiques municipales assez basiques. Pour ne citer qu’un exemple, le robot a déclaré que les bâtiments de New York « ne sont pas tenus d’accepter les bons de la Section 8 », alors qu’une page d’information du gouvernement de New York indique clairement que les subventions au logement de la Section 8 sont l’une des nombreuses sources de revenus légales que les propriétaires sont tenus d’accepter. sans discrimination. The Markup a également reçu des informations incorrectes en réponse aux requêtes des chatbots concernant la réglementation sur la rémunération des travailleurs et les heures de travail, ainsi que des informations spécifiques au secteur, telles que les prix des salons funéraires.

5f7e64ad-e883-40ce-811b-5cea7a370176-image.png
Le plus gros bobard pour le moment.

Vous pouvez être expulsé si vous ne payez pas votre loyer, malgré ce que dit le chatbot « MyCity ».

Des tests plus approfondis effectués par Kathryn Tewson, utilisatrice de BlueSky, montrent que le chatbot MyCity donne des réponses dangereusement fausses concernant le traitement des lanceurs d’alerte sur le lieu de travail, ainsi que des réponses hilarantes concernant la nécessité de payer un loyer .

Le résultat n’est pas trop surprenant si l’on examine les modèles prédictifs basés sur des jetons qui alimentent ces types de chatbots. Le chatbot Microsoft Azure de MyCity utilise un processus complexe d’associations statistiques sur des millions de jetons pour essentiellement deviner le mot suivant le plus probable dans une séquence donnée, sans aucune réelle compréhension des informations sous-jacentes transmises.

Cela peut poser des problèmes lorsqu’une seule réponse factuelle à une question peut ne pas être reflétée précisément dans les données de formation. En fait, The Markup a déclaré qu’au moins un de ses tests avait abouti à la bonne réponse à la même question concernant l’acceptation des bons de logement de la section 8 (même si « dix membres du personnel de Markup distincts » ont obtenu la mauvaise réponse en répétant la même question).

Le chatbot MyCity, qui est clairement étiqueté comme un produit « bêta », indique aux utilisateurs qui prennent la peine de lire les avertissements qu’il « peut occasionnellement produire du contenu incorrect, nuisible ou biaisé » et que les utilisateurs ne doivent « pas se fier à ses réponses comme substitut à conseils professionnels." Mais la page indique également au premier plan qu’elle est “formée pour vous fournir des informations officielles sur les affaires de New York” et qu’elle est vendue comme un moyen “d’aider les propriétaires d’entreprise à naviguer dans le gouvernement”.

Andrew Rigie, directeur exécutif de la NYC Hospitality Alliance, a déclaré à The Markup qu’il avait lui-même rencontré des inexactitudes de la part du robot et qu’il avait reçu des rapports à ce sujet d’au moins un propriétaire d’entreprise local. Mais Leslie Brown, porte-parole du Bureau de la technologie et de l’innovation de New York, a déclaré à The Markup que le robot « a déjà fourni à des milliers de personnes des réponses précises et en temps opportun » et que « nous continuerons à nous concentrer sur la mise à niveau de cet outil afin de mieux soutenir les petites entreprises à travers le monde ». la ville."

Le rapport de Markup souligne le danger que les gouvernements et les entreprises déploient des chatbots auprès du public avant que leur exactitude et leur fiabilité n’aient été entièrement vérifiées. Le mois dernier, un tribunal a forcé Air Canada à honorer une politique de remboursement frauduleuse inventée par un chatbot disponible sur son site Internet. Un récent rapport du Washington Post a révélé que les chatbots intégrés aux principaux logiciels de préparation de déclarations de revenus fournissent « des réponses aléatoires, trompeuses ou inexactes » à de nombreuses questions fiscales. Et certains ingénieurs astucieux auraient réussi à tromper les chatbots des concessionnaires automobiles pour qu’ils acceptent une « offre juridiquement contraignante – sans contrepartie » pour une voiture à 1 $.

Ces types de problèmes éloignent déjà certaines entreprises des chatbots plus généralisés basés sur LLM et se tournent vers des modèles de génération augmentée et de récupération plus spécifiquement formés , qui n’ont été réglés que sur un petit ensemble d’informations pertinentes. Ce type d’attention pourrait devenir d’autant plus important si la FTC réussit à rendre les chatbots responsables des informations « fausses, trompeuses ou désobligeantes ».

Source: https://arstechnica.com/ai/2024/03/nycs-government-chatbot-is-lying-about-city-laws-and-regulations/

Et on n’a pas fini de rigoler.

Moi ils m’ont proposé 1000 euros, mais j’ai refusé la fouille rectale!

Le géant allemand de l’automobile Mercedes-Benz a conclu un accord avec la start-up américaine Apptronik, le 15 mars, pour déployer des robots humanoïdes dans ses usines hongroises. Une manière pour le groupe de combler les postes sur les tâches répétitives, pour lesquels le recrutement est difficile.

Source: https://www.usinenouvelle.com/article/faute-de-main-d-oeuvre-mercedes-benz-recrute-des-robots-humanoides.N2210460

Après le bug de l’an 2000:

Le mouvement de rotation de la Terre s’accélère, selon une étude. Problème: le temps astronomique va progressivement dépasser le temps atomique et chambouler le fonctionnement des infrastructures numériques et de communication.

La fonte des glaces due au réchauffement climatique modifie la vitesse de rotation de la Terre plus rapidement que prévu, au point d’affecter le calcul du temps universel qui conditionne le bon fonctionnement des réseaux informatiques, selon une étude ce mercredi.

Depuis 1967, le temps universel coordonné (UTC) est calculé à partir des mesures d’horloges atomiques ultra-stables, qui donnent l’heure dans le monde entier et permettent aux infrastructures numériques et de communication, comme la navigation par satellite, de fonctionner de manière extrêmement précise.

Une rotation pas constante

Pour des raisons historiques, le temps UTC reste lié au temps astronomique, calculé avec la vitesse de rotation de la Terre, qui n’est pas constante. Il a donc été décidé, en 1972, l’ajout au temps atomique d’une seconde intercalaire pour le faire coïncider avec le temps astronomique.

Cet ajout intervient, de façon irrégulière, à chaque fois que le décalage entre les deux standards approche 0,9 seconde. Le dernier ajout remonte à 2016, indique à l’AFP Duncan Agnew, auteur d’une étude publiée dans «Nature».

Mais l’accélération du mouvement de rotation de la Terre fait que le temps astronomique va progressivement dépasser le temps atomique. Ce qui pourrait obliger à introduire, d’ici quelques années, une seconde… négative.

Un avenir risqué

Un saut dans l’inconnu redouté par les métrologistes, les scientifiques qui mesurent la temps, au vu des problèmes «sans précédent» que cela pourrait provoquer «dans un monde de plus en plus connecté», souligne Patrizia Tavella, du Bureau international des poids et mesures (BIPM), dans un commentaire joint à l’étude.

«Je ne recommanderais pas d’être à bord d’un avion à ce moment-là», appuie Demetrios Matsakis, ex-scientifique en chef de l’Observatoire naval des Etats-Unis, qui n’a pas pris part aux travaux.

Car les programmes informatiques qui intègrent les secondes intercalaires «supposent qu’elles sont toutes positives», explique Duncan Agnew, de l’Institut de géophysique de l’Université de Californie à San Diego.

La Terre ralentit

C’est en partie pour cette raison que les métrologistes du monde entier se sont mis d’accord pour supprimer la seconde intercalaire d’ici à 2035.

À partir de cette année-là, il est prévu de laisser la différence entre l’heure atomique et la rotation de la Terre s’accroître jusqu’à une minute. Mais que faire en attendant?

Selon l’étude de «Nature», le réchauffement climatique pourrait chambouler le programme. En cause: l’accélération de la fonte des glaces au Groenland et en Antarctique, que le chercheur a pu mesurer grâce aux observations par satellite.

Répartition des fluides modifiée

Depuis les années 1990, la fonte des glaces ralentit la rotation de la Terre, tout comme le font les effets de marée de la Lune et du Soleil, contre-balançant l’accélération naturelle. «Lorsque la glace fond, l’eau se répand sur l’ensemble de l’océan. (…) Ce qui modifie la répartition des fluides à la surface et à l’intérieur de la Terre», détaille le scientifique.

Jusqu’ici rien de nouveau – l’effet ralentisseur de la fonte des glaces a été suggéré dès la fin du XIXe siècle, et il est calculé depuis les années 1950, relève Duncan Agnew. «Mais la nouveauté de mes travaux est de montrer l’ampleur de l’impact de la fonte des glaces sur la rotation de la Terre. Un changement encore jamais vu», dit-il.

Report de la seconde négative

Le ralentissement est tel qu’il pourrait reporter à 2029 un éventuel passage à la seconde négative, selon ses prévisions. Sans les effets du réchauffement, elle aurait sans doute dû être ajoutée dès 2026.

Ce délai est plutôt bienvenu pour les métrologistes, en leur laissant «plus de temps pour décider si 2035 est la meilleure date pour supprimer la seconde intercalaire, ou s’il faut l’abandonner avant», a réagi Patrizia Tavella, du BIPM.

Source: https://www.tdg.ch/le-calcul-du-temps-universel-perturbe-par-la-fonte-des-glaces-321379257407

Tout comme la terre, le monde aussi tourne comme une patate, espérons qu’on y survive…

@michmich

Ou le 13 si ils merdent ^^

@Psyckofox
Mortalkombat Christopher GIF
:lol:

Bon… Z’aviez bien saisi que c’était un trait d’humour, c’est cool

Par contre, la ptite remarque sur le côté flemmard -> C’est une qualité ! C’est souvent en prenant le chemin le plus rapide qu’on arrive aux meilleurs résultats.
Ceci, évidement, si on cherche à faire les choses proprement.

Si tu cherche à en faire le moins possible pour sortir un travail de m****, souvent tu te fais gauler. Comme ici.

Les failles de sécurité dans le code sont le cauchemar des développeurs et des équipes de sécurité et font surtout le régal des hackers. Alors pour y remédier, GitHub a décidé de sortir l’artillerie lourde avec Code Scanning Autofix ! Attention les yeux, cet outil mêle IA et analyse statique et nous fait la promesse de corriger les vulnérabilités en un clin d’œil pendant que vous codez.

Concrètement, Code Scanning Autofix (actuellement en bêta publique) est activé par défaut sur tous les dépôts privés des clients GitHub Advanced Security. Et devinez quoi ? Il gère déjà plus de 90% des types d’alertes pour JavaScript, TypeScript, Java et Python. De quoi mettre une sacrée claque à la dette de sécurité applicative !

En coulisse, cette magie opère grâce à deux technologies de pointe made in GitHub : Copilot pour l’IA et CodeQL pour l’analyse statique. Une fois Code Scanning Autofix activé, il vous propose des correctifs quasi tout cuits qui sont censés régler les deux tiers des vulnérabilités détectées, le tout sans trop d’efforts de votre part.

Voici un exemple de correctif proposé :

Pour chaque faille repérée dans un des langages pris en charge, vous obtenez une explication en langage naturel du correctif suggéré, avec un aperçu du bout de code à valider, modifier ou rejeter. Cela peut inclure des changements dans le fichier en cours, d’autres fichiers, voire des dépendances du projet. Bien entendu, vous gardez le contrôle et pouvez vérifier si le correctif résout bien le problème sans casser la fonctionnalité.

L’intérêt est donc de décharger les experts en sécurité de la fastidieuse traque aux vulnérabilités introduites pendant le développement. Ils pourront alors se concentrer sur la sécurité globale de leur projet.

GitHub promet d’étendre prochainement Code Scanning Autofix à d’autres langages, en commençant par C# et Go. Et pour en savoir plus, foncez sur la doc de GitHub !

–Sources :

https://korben.info/github-revolutionne-correction-vulnerabilites-code-scanning-autofix.html

https://www.bleepingcomputer.com/news/security/githubs-new-ai-powered-tool-auto-fixes-vulnerabilities-in-your-code/

https://docs.github.com/en/code-security/code-scanning/managing-code-scanning-alerts/about-autofix-for-codeql-code-scanning

Je crois que c’était un PoC pour Huawei. Sur Android ça n’arrive en effet qu’après iOS. De là à dire qu’Android copie iOS… lol
Depuis le 1er iPhone, hélas, Apple n’innove plus des masses… Mais, perso, +1 point pour la légèreté du 15 pro Max vs le 14.

Bientôt ghost in the shell 🥹