Des chercheurs ont identifié que des milliers de développeurs JavaScript utilisent une adresse e-mail avec un domaine expiré pour leurs comptes npm, laissant leurs projets exposés à des risques de détournements faciles, s'étonne The Record.

L'étude, réalisée l'année dernière par des chercheurs de Microsoft et de la North Caroline State University, a analysé les métadonnées de 1 630 101 bibliothèques téléchargées sur Node Package Manager (npm), le référentiel de facto pour les bibliothèques JavaScript et le plus grand référentiel de packages sur Internet.

Or, 2 818 responsables de projets, gérant 8 494 packages, utilisaient encore une adresse e-mail pour leurs comptes dont le domaine avait expiré. Certains étaient même en vente sur des sites comme GoDaddy. 

Des attaquants pourraient dès lors acheter ces domaines, réenregistrer l'adresse du responsable sur leurs propres serveurs de messagerie, puis réinitialiser le mot de passe du compte du responsable et reprendre ses packages npm.

Les chercheurs ont également souligné que de nombreuses bibliothèques et comptes npm sont soit non maintenus (58,7%) soit abandonnés (44,3%), et qu'il y aurait de grandes chances que les attaquants puissent mener leurs attaques sans même que les mainteneurs s'en aperçoivent.

Une attaque comme celle-ci fonctionnerait car le portail npm n'applique pas l'authentification à deux facteurs (2FA) pour les propriétaires de compte, ce qui signifie qu'une fois que l'attaquant a réinitialisé le mot de passe du propriétaire, il serait libre de modifier les packages avec tout autre obstacle.

npm a depuis annoncé son intention de commencer lentement à appliquer 2FA pour les comptes de développeur. Ce processus devait se dérouler en plusieurs étapes, les comptes des 100 meilleurs responsables étant inscrits au 2FA obligatoire au début de ce mois.

Le problème se manifestait sous Monterey, sur lequel il ne pouvait passer inaperçu. À l’instar d’iOS en effet, le dernier macOS affiche un point orange en haut à droite de l’écran pour signaler que le micro est utilisé. Il n’existe d’ailleurs aucun moyen de désactiver cette fonction pour l’instant.

Le bug dans Zoom a été signalé dès la sortie de Monterey en octobre. Il était déjà curieux que Zoom n’ait pas réagi durant la phase bêta du système, qui a duré plusieurs mois. L’éditeur n’a cependant pas proposé de correctif avant la fin décembre.

Malheureusement, comme le signale The Register, cette correction n’était pas efficace chez tout le monde. La seule solution était de quitter complètement l’application.

Finalement, une version 5.9.3 a été déployée hier pour en finir avec ce bug. On attend maintenant de voir si elle remplit cette fois sa mission chez tout le monde.

Opera s’est associé à Yat pour incorporer cette fonctionnalité dans son navigateur. L’éditeur ne se prive pas pour l’occasion de clamer que « pour la première fois dans l’histoire d’internet », on peut saisir une adresse constituée uniquement de ces petits dessins si appréciés.

Chez le Norvégien, on n’hésite pas à parler de « changement majeur de paradigme ».

Yat est une entreprise spécialisée dans les NFT et qui permet aux clients d’acquérir et de posséder – façon de parler – une série d’emojis. La chanteuse Kesha affiche par exemple sur son profil Twitter l’adresse de son site officiel : 🌈🚀👽.y.at. Opera, lui, n’a plus besoin de l’extension .y.at.

Pas certain que le public perçoive l’ajout comme une révolution, mais il le trouvera peut-être amusant. Il pourrait être pratique effectivement tant que les séquences d’emojis sont courtes, mais dès quatre ou cinq pictogrammes, il sera compliqué de s’en rappeler.

Apple a publié hier soir deux mises à jour de sécurité, l’une pour Big Sur et numérotée 11.6.4, l’autre pour Catalina et estampillée 2022 - 002.

On ne sait rien de ce qu’elles contiennent et donc pas ce qu’elles corrigent. La page des mises à jour sur le site officiel ne fournit aucun lien.

Elles font cependant suite à la récente mise à jour 12.2.1 pour Monterey, qui colmatait une importante brèche de sécurité dans Webkit et corrigeait un bug pénible avec le Bluetooth.

La récente version 15.3 de Safari a pourtant été déployée sur les deux anciens systèmes la semaine dernière, pour corriger cette même brèche dans Webkit. On ne sait pas si ces deux mises à jour complètent le processus ou viennent corriger autre chose.

La version 98.0.4758.102 du navigateur est diffusée depuis hier soir. Il est recommandé de l’installer aussi rapidement que possible car elle vient colmater plusieurs brèches critiques, dont une déjà exploitée dans des attaques.

La mise à jour corrige en tout onze vulnérabilités. Celles numérotées CVE-2022-0603 à 0609 sont toutes critiques. La faille exploitée est la 0609, de type « use after free » dans le composant Animation.

Comme d’habitude, il suffit de se rendre dans l’À propos du navigateur pour vérifier si une nouvelle version est en attente. Auquel cas Chrome redémarre et rouvre ses fenêtres et onglets.

Le fabricant explique que, « pour recevoir la certification de Canonical, les systèmes doivent répondre à un certain nombre de critères de performance et de fiabilité. Les tests garantissent la compatibilité avec le système d’exploitation Ubuntu Server pour les deux versions les plus récentes d’Ubuntu Long Term Support (LTS) ».

Les serveurs Gigabyte ainsi certifiés seront disponibles sur cette page de Canonical. Il est évidemment déjà possible d’installer Ubuntu Server sur un serveur Gigabyte, la certification apportant une caution supplémentaire de Canonical.