Quand vous branchez un périphérique USB compatible "Plug'n'Play", Windows va télécharger et installer les pilotes correspondants, avec les droits maximum (NT AUTHORITY\SYSTEM).
Or certains de ces pilotes ont des failles de sécurité.
En émulant certains périphériques USB, il devient alors possible de forcer l'installation de ces pilotes et d'exploiter les failles correspondantes pour prendre le contrôle de la machine.
Cette faille est même exploitable à distance via RDP (donc sans même avoir d'accès au port USB, car RDP peut faire de l'USB via le réseau.)
(Permalink)

Bwaa pfouuu... plus personne n'en a rien à foutre. C'est yolo avec toutes nos données.

EDIT: Voir aussi https://www.huffingtonpost.fr/economie/article/ce-que-l-on-sait-de-la-double-cyberattaque-massive-visant-les-finances-publiques_304791.html
(Permalink)

Les contribuables ont peur

La Direction générale des Finances publiques (DGFiP) a confirmé les bruits de couloir qui circulaient depuis plusieurs heures sur les réseaux sociaux. Des données concernant des particuliers et des professionnels sont compromises, suite à l’ « accès illégitime » d’un acteur malveillant fin juin.

Les fuites de données se suivent, ne se ressemblent pas… mais elles gardent leur caractère inquiétant. 24 heures après la confirmation que feu Bloctel a laissé filé des centaines de milliers de numéros de téléphone, c’est au tour de la DGFiP d’annoncer qu’un acteur malveillant a eu accès au système d’information des impôts après une usurpation d’identité.

Le communiqué a été publié ce jeudi 13 août en fin de journée, mais l’intrusion remonte à fin juin. Le pirate a revendiqué cet accès hier, mercredi 12 août, ce qui a certainement poussé Bercy à réagir officiellement. Les premières investigations indiquent que l’accès avait été coupé fin juin « dans le cadre du contrôle opéré ». Néanmoins, l’acteur a consulté et extrait des données concernant des particuliers et des professionnels.

La nature et la quantité de ces données ne sont pas précisées. Cependant, les usagers concernés recevront une information individuelle qui spécifiera les données susceptibles d’avoir été consultées ou extraites. Le cas échéant, ils seront également conseillés sur les mesures de vigilance à adopter.

Comme le veut la réglementation, la CNIL va être notifiée de l’incident, et une plainte sera déposée. De nouveaux éléments seront communiqués au fur et à mesure de l’enquête, menée par les équipes de la Direction avec le service du Haut fonctionnaire de défense et de sécurité (SHFDS), ainsi qu’avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI).

Mise à jour 14/08 – Le ministère de l’Économie a précisé à Next que le piratage des données de la plateforme des impôts concerne « des centaines de milliers d’usagers », sans plus de précision à l’heure actuelle.

Y'a vraiment des baffes qui se perdent, hein.
(Permalink)

Mise à jour de rsync en 3.5 avec...  33 failles de sécurité corrigées ! 😱

EDIT: Est-ce que ça serait dû à la slopification du logiciel ? (cf. https://sebsauvage.net/links/?lumWUQ)
https://github.com/RsyncProject/rsync/issues/929
(Permalink)

La ville de Baltimore a fait baisser la criminalité par armes à feux de manière spectaculaire. 68% d'homicides en moins depuis 2019. Comment ? Avec 400 flics en *MOINS* et plusieurs bonnes idées.

Taper *FORT* contre le crime, ça fait bander les droitards, mais ça ne marche pas vraiment (Je rappelle que les USA ont un des plus forts taux de criminalité alors que certains états ont *encore* la peine de mort.)
(Permalink)

Sous le coude: Let's Encrypt étant américain, je garde sous le coude Actalis.it, une société italienne qui possède un service gratuit de délivrance de certificats.
Pour le jour où ça part encore plus en couille aux USA.
(Permalink)