VeilleTech — 2026-09-06

01 SÉCURITÉ Faille

Magento : une faille exploitée, aucun correctif

The Hacker News5 septembre3 min de lecture

Sansec a publié le 5 septembre un avis sur une faille non authentifiée de Magento Open Source et Adobe Commerce, baptisée StyleSmuggler, exploitée depuis le 4 septembre. Au 6 septembre, Adobe n'a publié ni CVE, ni correctif, ni contournement. Toutes les versions actuelles sont concernées, y compris 2.4.9, et les deux boutiques analysées par Disrex étaient au niveau de correctif courant.

Aucun correctif : Sansec a reproduit la chaîne non authentifiée sur des installations propres de Magento Open Source 2.4.7, 2.4.8 et 2.4.9. La première victime tournait en 2.4.6-p15 avec les correctifs de juillet et août 2026 appliqués. Prochaine publication de sécurité Adobe prévue le 8 septembre, sans garantie qu'elle couvre cette faille
Indicateurs : processus [kworker/u:8:0] appartenant à un utilisateur non-root, binaire ~/.local/share/.gvfsd/gvfsd-user, verrous /tmp/.gvfsd_<8hex>.lock et /tmp/.kw_<aléatoire>, cron "*/5 * * * *" écrit directement dans /var/spool/cron/crontabs/. SHA-256 e315687a1dfe61ef4a5a5642214db6d3b2b05d81391285eebc2af664641a26a7 (échantillon Sansec), 8334b434fa3fe9f59cebe9609b11e0b1fd19d10212c45c705adec1902a1d06ef (sur disque chez Disrex), 251fabd50d7b18a8b5e1b3ef5d64e7198c17244778f6461fb1ab07f6169bf220 (en mémoire). Hôte de téléchargement 247.cdnflare[.]xyz, C2 99.84.67[.]186:443, sources 88.216.72[.]181 et 5.181.86[.]133
Chercher le marqueur dans var/report/ ET var/log/system.log — les deux infections Disrex sont passées par le journal système, que la vérification publiée par Sansec ne couvre pas. L'en-tête déclencheur a déjà changé de forme en une journée : chercher le motif, pas la chaîne exacte. Mitigations serveur indépendantes de la chaîne : proc_open dans disable_functions, et /tmp, /var/tmp, /dev/shm montés noexec

À jour, protégé, et compromis quand même. Le correctif n'existe pas encore.

Lire la fiche Source

02 SÉCURITÉ Faille

JetBrains : vos secrets Cadence sont à changer

The Hacker News5 septembre3 min de lecture

JetBrains a été compromis via sa propre instance TeamCity non corrigée (CVE-2026-63077, CVSS 9.8), utilisée pour héberger Cadence, son service de calcul GPU intégré à PyCharm. L'intrusion, du 8 au 24 août 2026, a exposé une sauvegarde de 2024 contenant des identifiants AWS IAM, des fichiers S3 et du code source synchronisé depuis PyCharm. Tous les secrets passés par Cadence doivent être révoqués.

CVE-2026-63077 (CVSS 9.8) : désérialisation de données non fiables dans TeamCity, exécution de commandes sans authentification avec les privilèges du processus serveur. Ajoutée au catalogue KEV de la CISA le 5 août 2026, exploitation détectée par JetBrains le 23 août. Le serveur api.cadence.jetbrains.com est désormais hors ligne
Adresses IP liées à l'exploitation : 150.109.230.104, 43.153.227.206, 62.210.127.48, 210.247.242.190, 15.235.225.205, 152.233.30.18. Chercher toute activité à partir du 8 août 2026, en particulier une authentification avec des identifiants stockés dans Cadence
Confirmé compromis : données personnelles (identifiants, noms, adresses e-mail, horodatage et IP de dernière connexion), une sauvegarde complète du serveur Cadence datée de 2024, plusieurs utilisateurs AWS IAM et leurs secrets — dont des employés JetBrains —, et des fichiers dans les buckets S3 des comptes AWS de JetBrains

Le fournisseur de vos outils n'avait pas appliqué son propre correctif.

Lire la fiche Source

03 SÉCURITÉ Faille

VMware : sortir de la VM par la carte réseau

The Hacker News5 septembre1 min de lecture

Broadcom corrige deux failles de VMware Workstation et Fusion. La plus grave, CVE-2026-59346 (CVSS 9.3), est un dépassement d'entier dans l'adaptateur réseau VMXNET3 qui permet à un attaquant disposant de droits administrateur dans une VM d'exécuter du code sur l'hôte. La seconde, CVE-2026-59347 (CVSS 8.1), vise HGFS. Aucun contournement : seule la mise à jour corrige.

CVE-2026-59346 (CVSS 9.3) : dépassement d'entier dans l'adaptateur réseau virtuel VMXNET3. Exploitation depuis une VM disposant de privilèges administrateur locaux, exécution de code sur l'hôte. Signalée par @h4urek, @cameudis et Stan S
CVE-2026-59347 (CVSS 8.1) : dépassement de tampon sur la pile dans HGFS, le partage de fichiers hôte-invité. Exécution de code dans le processus VMX de la VM, côté hôte. Signalée par Yeonghyeon Choi et Tianchu Chen du Tencent Xuanwu Lab
Versions touchées : VMware Workstation et Fusion 25H2 et 26H1. Corrigé dans Workstation 26H1u1 et Fusion 26H1u1. Aucun contournement publié. Aucune exploitation observée à ce jour — contrairement à CVE-2026-59309 et CVE-2026-59310 sur vCenter le mois dernier, qui ont touché 361 adresses IP dans 47 pays cinq jours après leur divulgation

Le bac à sable tient. Tant que personne n'y est déjà administrateur.

Lire la fiche Source

04 VIE PRIVÉE Faille

Chrome garde les cookies de google.com

lapcatsoftware.com6 septembre2 min de lecture

Jeff Johnson montre que Chrome 152.0.7977.83 conserve les données de site de google.com alors que le réglage par défaut demande leur suppression à la fermeture de toutes les fenêtres. Cookies, stockage local et stockage de session survivent même à un redémarrage du navigateur. Le même comportement avait été signalé par le même auteur il y a six ans, puis corrigé par Google.

Reproduit sur deux Mac avec Chrome 152.0.7977.83, moteur de recherche par défaut basculé sur DuckDuckGo, sans connexion au compte Google et avec la connexion à Chrome désactivée — trois précautions qui écartent les explications faciles
Vérifier soi-même : chrome://settings/content/siteData pour le réglage, chrome://settings/content/all pour la liste des données conservées. Les fichiers concernés sont sous ~/Library/Application Support/Google/Chrome/Default (Cookies, Local Storage, Session Storage)
www.google.com semble être le seul domaine exempté d'après l'auteur. Effacer les données et refaire la manipulation reproduit le problème à chaque fois

Un réglage qui épargne un seul domaine. Toujours le même.

Lire la fiche Source

05 DEVOPS Article

Le démon qui tourne et ne signe rien

DEV Community6 septembre3 min de lecture

Post-mortem d'un relais de courrier dont Gmail rejetait tout : pas d'enregistrement SPF valide (seulement un vieux SenderID), un PTR dont la résolution directe ne revenait pas sur l'IP d'envoi, et un OpenDKIM qui ne signait rien sans écrire la moindre ligne de journal. La cause finale tenait en un mot de configuration : refile: au lieu de file:.

refile: traite la clé de recherche comme une expression régulière comparée à l'adresse complète du champ From:, donc la ligne « example.org mail._domainkey.example.org » ne correspond jamais. Avec file:, la recherche retombe sur le domaine seul et trouve la clé. Correctif : KeyTable et SigningTable en file: dans /etc/opendkim.conf
Les vérifications qui tranchent vraiment : dig +short TXT <domaine> — la chaîne doit commencer par v=spf1 (RFC 7208 §4.5) ; dig -x <ip> puis résolution du nom obtenu vers l'IP (RFC 1912 §2.1, code de rejet 550-5.7.25) ; lecture de l'en-tête DKIM-Signature d'un message réellement livré, et non grep dans /var/log/mail.log
Deux pièges annexes : la clé privée doit être lisible par l'utilisateur du service — se tester avec su -s /bin/sh opendkim -c "…" — et InternalHosts doit couvrir tout mynetworks, sinon les serveurs applicatifs relaient sans être signés pendant que le test depuis 127.0.0.1 réussit

Le silence n'est pas l'absence de panne. C'est une panne qui se tait.

Lire la fiche Source

06 LINUX Discussion

Asahi Linux accepte enfin les Mac M3

asahilinux.org6 septembre2 min de lecture

La prise en charge des machines Apple M3 est fusionnée dans l'installeur d'Asahi Linux : webcam, micros internes, USB 3 à 10 Gb/s, décodage vidéo accéléré (AV1 compris), Wi-Fi et Bluetooth fonctionnent. Le GPU et le contrôleur d'affichage complet manquent encore, ce qui prive aussi de la mise en veille et du port HDMI. L'installation passe par le mode expert.

Installation : curl -L https://alx.sh/ | EXPERT=1 sh depuis un terminal macOS, puis dnf upgrade --refresh une fois l'installation terminée. Le mode expert devrait être levé pour la bêta de Fedora Linux 45, attendue dans quelques semaines
Machines couvertes : MacBook et iMac en M3, M3 Pro et M3 Max. Le Mac Studio en M3 Ultra n'est pas pris en charge
Limites connues : pas de mise en veille (tampon d'affichage fourni par le micrologiciel), port HDMI désactivé sur les MacBook concernés, et pas d'accélération 3D performante ni économe en attendant le support complet du DCP et du GPU

Un Mac M3 sous Linux. Sans le GPU, et sans la veille.

Lire la fiche Source

07 SQLITE Discussion

Remplacer l'ORM par une classe par table

noteflakes.com6 septembre3 min de lecture

L'auteur de la gem Ruby Extralite défend l'abandon de l'ORM au profit d'une classe par table exposant les quelques requêtes réellement utilisées, écrites en SQL et renvoyant des structures simples. L'argument central : une application ne fait qu'une douzaine de requêtes différentes par table, ce qui ne justifie ni le poids ni le coût d'un constructeur de requêtes générique.

Ce qu'un ORM comme ActiveRecord n'exprime pas : les fonctions de fenêtrage, les CTE et la clause RETURNING. « delete from beads where material = ? returning * » supprime et renvoie les lignes en une requête, là où l'ORM impose un SELECT puis un DELETE — deux allers-retours, et aucune garantie de toucher les mêmes lignes hors transaction
Le coût invoqué : environ 43 000 lignes de code pour ActiveRecord, plus la mémoire et le temps processeur du mapping ligne-vers-objet. RETURNING est disponible sur PostgreSQL et SQLite
Le remplacement proposé n'est pas « du SQL partout » mais une interface fermée : un PostsStore avec create, by_id, update_by_id, delete_by_id, all, all_by_category. La contrainte est le bénéfice — une requête non prévue doit être ajoutée à la classe, donc relue

Douze requêtes par table. Et des centaines de méthodes pour les écrire.

Lire la fiche Source

08 OUTILS Discussion

Coreutils montre où l'erreur se trouve

uutils.org5 septembre2 min de lecture

Depuis la version 0.11.0, uutils coreutils affiche ses erreurs d'analyse comme un diagnostic de compilateur : la commande est réaffichée, un curseur pointe l'argument ou le caractère fautif, et une ligne d'aide rappelle la syntaxe. Le rendu passe par la bibliothèque ariadne, et n'apparaît que lorsque la sortie d'erreur est un terminal.

Concerne les commandes dont les arguments forment un petit langage : tr (intervalles), cut (listes de champs), chmod (modes symboliques), sort (clés). Exemple : « tr 'qw[y-b]' x » souligne y-b et suggère b-y, au lieu du seul message sur l'ordre de la séquence de collation
Le message d'origine reste imprimé au-dessus du rapport : la compatibilité avec les scripts existants est préservée, et le rapport n'est rendu que si stderr est un terminal
Version 0.11.0, rendu assuré par la bibliothèque ariadne, idée reprise de uutils awk. Billet signé Sylvestre Ledru, publié le 31 août 2026 ; les exemples sont testables dans le bac à sable du site

Cinquante ans de messages sur une ligne. Et enfin un curseur dessous.

Lire la fiche Source

09 DEVOPS Discussion

Un cloud personnel en conteneurs isolés

Cloud in a Bottle5 septembre2 min de lecture

Cloud in a Bottle est une plateforme d'auto-hébergement open source (AGPL-3.0) publiée le 5 septembre après six mois de développement privé : une machine Ubuntu qui route les requêtes vers des applications en conteneurs rootless durcis, avec authentification unique et partage de données contrôlé entre applications. Une version gérée payante finance le projet, sur le même code.

Le positionnement se lit dans la comparaison faite par l'auteur : Sandstorm (même esprit, à l'abandon, exigeait d'adapter les logiciels), Nextcloud (jugé lent et orienté entreprise), Yunohost (applications sur l'hôte, sans bac à sable) et Coolify (conteneurs, mais chaque application isolée avec son propre compte)
Ce que la couche plateforme ajoute aux conteneurs : session unique vers toutes les applications de l'instance, et une interface d'accès permissionné aux données et capacités entre applications — l'équivalent des API partagées d'un système mobile
AGPL-3.0, code sur GitHub, zéro télémétrie. Trois entrées possibles : instance gérée avec 10 dollars de crédit, VPS, ou matériel personnel en VM ou sur métal nu. Catalogue d'applications restreint et curaté, l'auteur prévient qu'une aisance technique reste nécessaire

Ni un sysadmin de plus, ni un compte de plus par application.

Lire la fiche Source

VeilleTech — feed du dimanche 6 septembre