Ep.790 - mSecure, Redmine et Tenable Identity Exposure - Flash info RadioCSIRT du mardi 3 novembre 2026

RadioCSIRT

00:00 /

🔐 mSeven Software, éditeur du gestionnaire de mots de passe mSecure, a écrit le 3 novembre à ses clients actuels et anciens après une activité suspecte, et leur suggère de changer leurs mots de passe, de réinitialiser leur authentification à deux facteurs et de retirer leurs passkeys. Le courriel ne nomme ni les systèmes touchés, ni la période, ni l’arrêt éventuel de l’activité, ni une atteinte aux coffres ou à leurs clés, et ne précise pas si ses conseils visent les éléments stockés ou la connexion au compte. mSecure 7 peut stocker passkeys et codes d’authentification à deux facteurs dans le coffre à partir de l’offre Essentials ; le BSI avait relevé en décembre 2025 que mSeven pouvait en théorie accéder aux données stockées dans mSecure 6.1.5 pour Android, seule version testée. La version iPhone la plus récente sur l’App Store est la 7.1.0 du 23 octobre.

🚨 Le CERT-FR publie les avis CERTFR-2026-AVI-1434 sur Redmine et CERTFR-2026-AVI-1436 sur Tenable Identity Exposure. Redmine corrige dans les versions 7.0.3, 6.1.6 et 6.0.12 la portée des jetons OAuth ignorée dans le calcul des droits sur les projets et son contournement à la création de projets (versions depuis 6.1.0), un déni de service par expression régulière dans les macros du wiki (versions depuis 6.0.0), et une injection XSS réfléchie qui touche toutes les versions depuis 3.0.0, sans version corrective citée pour la branche 5.1. Tenable corrige dans Identity Exposure 3.93.6 et 3.77.18 la CVE-2026-119314, avec un score CVSS de 9,9, CWE-78, injection de commandes du système d’exploitation : un attaquant authentifié peu privilégié exécute des commandes avec le compte SYSTEM sur l’émulateur PDC, via le composant d’écoute des événements Active Directory. Les mêmes versions corrigent la CVE-2026-119315, déni de service par l’API GraphQL, et la CVE-2026-119316, clé de liaison Secure Relay écrite dans un journal d’erreurs ; aucune exploitation n’est mentionnée.

🛡️ Barracuda corrige la CVE-2026-116606, faille critique d’authentification de l’Email Security Gateway qui permet de modifier la configuration globale de l’équipement, et la CVE-2026-111560, injection de commandes système exécutées sous root par un attaquant doté des droits d’administration ; combinées, elles contournent les contrôles d’autorisation et donnent un accès root, à condition d’atteindre l’interface d’administration. La CVE-2026-111560 touche aussi Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway. Pour l’Email Security Gateway, les correctifs sont BNSF-40425 pour les versions 9.4.017 et ultérieures, et BNSF-40430 pour les versions antérieures. L’éditeur recommande de restreindre l’accès aux interfaces d’administration à des réseaux internes de confiance et d’appliquer le dernier firmware.

🎣 Le ministère russe de l’Intérieur a démantelé l’infrastructure de VasyGrek, alias Fluffy Wolf, actif depuis 2016 : chef présumé assigné à résidence, deux complices présumés sous interdiction de voyager, enquête menée avec l’aide de Kaspersky. Le groupe procède par spear phishing avec pièce jointe, la technique T1566.001, avec un fichier déguisé en document financier, puis prend la main à distance avec des outils d’administration achetés sur le dark web ; en septembre 2025, une entreprise s’est fait virer plus de 660 000 roubles depuis sa banque en ligne. Kaspersky a détecté plus de 100 tentatives d’attaque entre janvier et septembre 2026 en Russie, en Biélorussie et au Kazakhstan, surtout contre la métallurgie, le commerce de gros industriel et les administrations. Les suspects encourent jusqu’à 10 ans de prison pour vol et 5 ans pour création ou diffusion de malware.

🐛 Le groupe Leakers$ revendique la diffusion d’images pornographiques sur des panneaux publicitaires numériques en Égypte le 29 octobre, en Malaisie et au Brésil, par l’accès au logiciel qui transmet les contenus aux écrans à LED et non aux écrans eux-mêmes ; ses revendications en Irak et en Chine sont moins corroborées. Un représentant affirme à The Cairo Report avoir trouvé des milliers de systèmes exposés en deux heures environ de balayage automatisé, tandis que les autorités égyptiennes évoquent la compromission du site web de l’exploitant. Aucun logiciel ni éditeur n’est nommé. Malwarebytes reprend les consignes de l’OAAA : pas de mots de passe par défaut ni réutilisés, accès restreint aux services de gestion, authentification multifacteur et VPN pour les connexions à distance.

🗂️ Le hacker Department of Peace a publié les données de plus de 40 000 employés du DHS américain, dont environ 21 000 de la CBP, 10 000 de l’ICE et de HSI et près de 1 000 de la CISA : noms, fonctions, coordonnées professionnelles, données de connexion et appartenance aux groupes Active Directory. Il affirme les avoir tirées du système d’authentification unique Okta du ministère ; les horodatages situent l’exfiltration vers la mi-août, et les données ont été transmises à maia arson crimew puis partagées avec DDoSecrets. TechCrunch en a authentifié une partie ; le DHS a connaissance d’une possible fuite, et Okta dit n’avoir aucune preuve d’une compromission de ses systèmes. Les groupes Active Directory renvoient notamment à Penlink, à Mobile Fortify et aux enquêtes sur Salt Typhoon et Volt Typhoon.

🎙️ Emacs a 50 ans : l’EMACS d’origine, Editing MACroS running on TECO, a été écrit en 1976 au laboratoire d’intelligence artificielle du MIT par Richard Stallman, d’abord avec Guy Steele. GNU Emacs, lancé en 1984, a été le premier programme distribué par le projet GNU, et XEmacs en est un fork de 1991. Depuis la version 30 de février 2025, GNU Emacs compile par défaut le code Emacs Lisp, exécuté de 2 à 40 fois plus vite qu’en mode interprété selon Wikipédia. Sur LinuxFr, small_duck attribue le regain d’Emacs au Language Server Protocol et cite des modes d’intégration d’agents comme agent-shell.

Sources :

mSecure Warns Users to Change Passwords, Reset 2FA and Passkeys After Suspicious Activity. The Hacker News : https://thehackernews.com/2026/11/msecure-warns-users-to-change-passwords.html
Multiples vulnérabilités dans Redmine. CERT-FR : https://www.cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1434/
Redmine Security Advisories. Redmine : https://www.redmine.org/projects/redmine/wiki/security_advisories
Multiples vulnérabilités dans Tenable Identity Exposure. CERT-FR : https://www.cert.cyber.gouv.fr/avis/CERTFR-2026-AVI-1436/
[R1] Tenable Identity Exposure Versions 3.93.6 and 3.77.18 Fix Multiple Vulnerabilities. Tenable : https://www.tenable.com/security/tns-2026-34
Barracuda warns of critical flaws allowing root access to devices. BleepingComputer : https://www.bleepingcomputer.com/news/security/barracuda-warns-of-critical-flaws-allowing-root-access-to-devices/
Russia dismantles infrastructure of VasyGrek cybercrime group, detains three suspects. The Record : https://therecord.media/russia-dismantles-vasygrek-infrastructure-detains-three
Hackers put porn on public billboards and claim it was « far too easy ». Malwarebytes : https://www.malwarebytes.com/blog/bugs/2026/11/hackers-put-porn-on-public-billboards-and-claim-it-was-far-too-easy
Hacker stole personnel data about thousands of Homeland Security employees, including CBP and ICE agents. TechCrunch : https://techcrunch.com/2026/10/28/hacker-stole-personnel-data-about-thousands-of-homeland-security-employees-including-cbp-and-ice-agents/
EMACS Turns 50. Slashdot : https://news.slashdot.org/story/26/10/28/1541214/emacs-turns-50
Emacs a 50 ans. LinuxFr.org : https://linuxfr.org/news/emacs-a-50-ans
Emacs. Wikipédia : https://fr.wikipedia.org/wiki/Emacs#Autres

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09 📩 Email : contact@radiocsirt.org 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #mSecure #PasswordManager #Passkeys #CERTFR #Redmine #OAuth #Tenable #IdentityExposure #ActiveDirectory #Barracuda #EmailSecurityGateway #VasyGrek #FluffyWolf #Kaspersky #SpearPhishing #DigitalSignage #Leakers #DHS #Okta #DataLeak #DDoSecrets #Emacs #GNU #CVE-2026-119314 #CVE-2026-119315 #CVE-2026-119316 #CVE-2026-116606 #CVE-2026-111560 #RadioCSIRT

Ep.790 – mSecure, Redmine et Tenable Identity Exposure – Flash info RadioCSIRT du mardi 3 novembre 2026