Tentons une expérience. Accédez à l’application de photos sur votre téléphone et regardez le nombre total de vidéos et d’images qui se trouvent sur votre appareil. Tous ces précieux souvenirs de vacances en famille, ces vidéos de vos concerts préférés, et les innombrables photos de votre animal de compagnie. Ensuite, ouvrez votre ordinateur et regardez combien de documents y sont enregistrés. Parmi eux se trouve peut-être un mémoire de recherche nécessaire pour obtenir votre diplôme ou un diaporama que vous devrez présenter lors d’une réunion importante avec votre supérieur lundi. Si vous deviez deviner, diriez-vous que le total de tous ces éléments se compte en milliers ? Maintenant, imaginez que toutes ces données disparaissent soudainement. Que feriez-vous ?

Vous pensez peut-être que ça ne vous arrivera jamais. Toutefois, cette situation est plus courante que vous ne pouvez le croire. Plus de 60 millions d’ordinateurs tomberont en panne cette année, et plus de 200 000 smartphones sont perdus ou volés chaque année. C’est pourquoi à l’occasion de la Journée mondiale de la sauvegarde, nous vous expliquons comment sauvegarder correctement vos fichiers pour avoir l’esprit tranquille en sachant vos données en sécurité.

Que sont les sauvegardes et pourquoi sont-elles importantes ?

Une sauvegarde est une copie séparée de vos fichiers numériques importants ou précieux. Stocker toutes ces données au même endroit, par exemple sur un ordinateur personnel ou un smartphone, peut se révéler dangereux. La création d’une copie de ces données par le biais d’une sauvegarde permettra de vous assurer qu’elles sont stockées et conservées en sécurité à un autre endroit, si jamais votre appareil était volé ou perdait ses données.

Il est important de reconnaître que les fuites de données n’arrivent pas qu’aux grandes entreprises ou aux victimes naïves dans les films d’espionnage. Tout le monde est susceptible d’être victime de perte ou de vol de données et la sauvegarde est un moyen facile de protéger toutes vos informations et d’empêcher les cybercriminels de vous déposséder de ce qui vous appartient.

Les bases du stockage de données

Les données sont l’une des ressources les plus importantes du monde moderne. Comme nous l’avons illustré précédemment, chaque personne rassemble d’innombrables fichiers qui contiennent de précieuses informations qu’elle souhaite garder en sécurité. Heureusement, il existe deux moyens simples et peu coûteux pour les utilisateurs de stocker leurs données et leurs sauvegardes importantes.

Stockage cloud

Bien que le « cloud » soit devenu un mot à la mode ces dernières années, il reste pour de nombreuses personnes un concept flou. Le cloud existe dans des centres de données à distance auxquels vous pouvez accéder via Internet. Toutes les données que vous avez chargées sur le cloud existent sur des serveurs dédiés et des volumes de stockage hébergés dans des entrepôts distants, souvent situés sur des campus remplis d’entrepôts de ce type. Les centres de données appartiennent aux fournisseurs de services cloud, qui sont responsables du bon fonctionnement des serveurs.

Pour protéger physiquement vos données du vol et de la destruction, et pour s’assurer que vous puissiez y accéder où que vous vous trouviez, les centres de données utilisent de vastes systèmes de refroidissement afin d’éviter la surchauffe des composants électroniques et possèdent au moins un générateur de secours en cas de coupure de courant. Mais comment s’assurent-ils que ces données sont en sécurité dans le cyberespace ? Les systèmes cloud utilisent des processus d’authentification tels que les noms d’utilisateur et les mots de passe pour limiter l’accès aux données, et le chiffrement pour protéger les données volées ou interceptées. Cependant, il ne faut pas oublier que les mots de passe peuvent être piratés. Généralement, le fournisseur de services détient les clés de chiffrement de vos données, ce qui signifie que des employés malintentionnés pourraient théoriquement accéder à vos données. De même, vos données pourraient potentiellement être fouillées et saisies par les autorités.

Cela soulève la question : faut-il faire confiance aux fournisseurs de services cloud ? Une bonne réputation est essentielle à la survie des entreprises de stockage cloud, vous pouvez donc être assuré qu’elles feront de leur mieux pour utiliser les techniques de sécurité les plus avancées et fournir le service le plus fiable possible. Pour contribuer à assurer la sécurité de vos données si vous choisissez de les stocker ou de les sauvegarder sur le cloud, nous vous conseillons de conserver toute information réellement sensible dans un cloud privé protégé par un pare-feu.

Disque dur externe

Avec un disque dur externe, vous pouvez sauvegarder manuellement toutes vos données et tous vos fichiers vous-même sur un périphérique physique auquel vous pouvez accéder à tout moment. Ces disques sont un moyen fiable d’assurer la redondance des données. Contrairement aux services cloud, les disques durs externes ne dépendent pas de l’accès à Internet et peuvent s’avérer pratique pour transférer des données sur un nouvel appareil. Toutefois, l’utilisation de disques durs externes exige une approche plus pratique de la sauvegarde de vos données. Il vous incombe d’effectuer régulièrement des sauvegardes et de stocker vos disques durs dans un endroit sûr. Alors que les solutions cloud offrent de grandes quantités de stockage, l’espace disponible sur les disques durs est limité, vous devrez donc potentiellement acheter plus d’un périphérique. Recherchez un disque dur externe offrant au moins un téraoctet d’espace afin d’y sauvegarder toutes vos données, qui ont tendance à s’accumuler rapidement.

Faites un grand ménage numérique de printemps

Tout comme vous nettoyez votre garage et rangez votre maison, prenez le temps de faire également le ménage numérique à l’occasion de la Journée mondiale de la sauvegarde. Désencombrez vos appareils, vos applications et vos comptes en ligne et gagnez en tranquillité d’esprit en sachant que toutes vos données précieuses sont stockées dans un emplacement sécurisé et que vous en possédez une sauvegarde en cas de problème. N’oubliez pas que la proactivité contribue grandement à renforcer votre cybersécurité et à protéger vos informations.

The post C’est la journée mondiale de la sauvegarde! appeared first on McAfee Blog.

Read More

Spring4Shell FAQ: Spring Framework Remote Code Execution Vulnerability

A list of frequently asked questions related to Spring4Shell.

Tenable Research is closely monitoring updates related to Spring4Shell. As more information becomes available, we will update this FAQ with additional details about the vulnerability, including Tenable product coverage.

Frequently Asked Questions about Spring4Shell

What is Spring4Shell?

Spring4Shell is the nickname given to a zero-day vulnerability in the Spring Core Framework, a programming and configuration model for Java-based enterprise applications.

Has a CVE been assigned to this vulnerability?

At the time this blog post was published, there was no known CVE-ID assigned for this vulnerability.

Is Spring4Shell related to Log4Shell?

While the name itself was inspired by Log4Shell (CVE-2021-44228), the two are not related.

Is there a patch available for Spring4Shell?

At the time this blog post was published, no patch was available for this vulnerability. However, we fully expect Spring to publish a patch for Spring4Shell along with assigning a CVE identifier. Once this information becomes available, we will update this blog.

How severe is Spring4Shell?

An attacker could exploit Spring4Shell by sending a specially crafted request to a vulnerable server. However, exploitation of Spring4Shell requires certain prerequisites, whereas the original Log4Shell vulnerability affected all versions of Log4j 2 using the default configuration.

Researcher Will Dormann tweeted about these prerequisites:

The prerequisites:
– Uses Spring Beans
– Uses Spring Parameter Binding
– Spring Parameter Binding must be configured to use a non-basic parameter type, such as POJOs
All this smells of “How can I make an app that’s exploitable” vs. “How can I exploit this thing that exists?”

— Will Dormann (@wdormann) March 30, 2022

It is unclear how common these prerequisites are. However, considering they are necessary for exploitation, we expect the impact of Spring4Shell to be much more limited than Log4Shell.

What versions of Spring Core Framework are affected?

So far, reports suggest that Spring applications running with Java Development Kit (JDK) 9 or greater are affected only if certain prerequisites are in place.

Is my application vulnerable if I use a JDK 9+ and Spring Framework?

Using both JDK 9+ and Spring Framework together does not necessarily equate to being vulnerable to Spring4Shell, as the application would need to be configured in a way for an attacker to exploit the flaw. For instance, Spring has recommended developers specify the allowedFields property when using the DataBinder class. Researchers have confirmed that not specifying this property could enable an attacker to leverage Spring4Shell against a vulnerable application.

What does Spring4Shell have to do with CVE-2010-1622?

Researchers at Praetorian have confirmed that Spring4Shell is a patch bypass of CVE-2010-1622, a code injection vulnerability in the Spring Core Framework that was reportedly fixed nearly 12 years ago. However, the researchers say the fix for CVE-2010-1622 was incomplete and a new path to exploit this legacy flaw exists.

Is Spring4Shell related to CVE-2022-22963?

No, these are two completely unrelated vulnerabilities. CVE-2022-22963 is a vulnerability in the Spring Cloud Function, a serverless framework for implementing business logic via functions. An advisory for CVE-2022-22963 was published on March 29 and patches for Spring Cloud Function are available.

Because there was no CVE assigned for Spring4Shell at the time of its disclosure, Spring4Shell was erroneously associated with CVE-2022-22963.

Is Proof of Concept exploit code available?

Yes, there are multiple working proof-of-concept (PoC) exploits available for both Spring4Shell and CVE-2022-22963.

Does Tenable have any product coverage for Spring4Shell?

Tenable Research is investigating the PoC exploits and monitoring updates related to the potential patch for Spring4Shell. We will update this blog post as new details emerge.

Get more information

Praetorian Blog on Spring4Shell
LunaSec Blog on Spring4Shell

Join Tenable’s Security Response Team on the Tenable Community.

Learn more about Tenable, the first Cyber Exposure platform for holistic management of your modern attack surface.

Get a free 30-day trial of Tenable.io Vulnerability Management.

Read More

Strange goings-on on LinkedIn, Ukraine publishes a list of alleged Russian FSB agents, and police in Pittsburgh investigate an odd report of an active shooter.

All this and much more is discussed in the latest edition of the award-winning “Smashing Security” podcast by computer security veterans Graham Cluley and Carole Theriault, joined this week by The Lazarus Heist’s Geoff White.

Read More

Online photography printing service Shutterfly has disclosed that it has suffered a security breach at the hands of a ransomware gang that exposed the personal information of some employees.

Read More