Des incidents de sécurité chez AnyDesk et Mastodon

Le 2 février, AnyDesk, spécialisé dans le partage de bureau à distance, a publié une note de sécurité. La société indiquait avoir été victime d’une intrusion dans ses systèmes. Plus précisément, elle a découvert les preuves d’une compromission à la suite d’un audit.

AnyDesk dit avoir informé les autorités, mené à bien le plan de remédiation, révoqué tous les certificats liés à la sécurité et remplacé les systèmes quand nécessaire. Dans une mise à jour datée du 5 février, la société ajoute qu’il n’existe aucune preuve que des données de clients ont été volées et que l’ensemble des binaires distribués par le site sont sûrs.

Par sécurité cependant, il est recommandé d’utiliser les dernières versions disponibles (7.0.15 et 8.0.8). En outre, tous les mots de passe ont été réinitialisés. Pour AnyDesk, cette étape est presque un excès de zèle, mais elle ne souhaite manifestement pas prendre de risque.

Du côté de Mastodon, c’est un peu plus sérieux. « En raison d'une lacune dans la validation du contenu fédéré dans les versions de Mastodon concernées, les attaquants peuvent créer des charges utiles qui usurpent l'identité de comptes fédérés distants comme s'ils étaient vus depuis le serveur concerné ».

Toutes les versions antérieures aux 3.5.17, 4.0.13, 4.1.13 et 4.2.5 sont vulnérables. Cependant, les gestionnaires du projet ne publieront pas d’informations plus précises avant un deuxième avis de sécurité prévu le 15 février. Ceci pour laisser le temps aux administrateurs de mettre à jour leurs instances.