Failles radio dans l'aviation 🛫, injection zero-day sur Metabase 💉, 800 paquets malveillants sur npm 📦
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 8 août 2026 !
De l'alerte de la CISA sur l'absence d'authentification des liaisons radio aéronautiques jusqu'à la publication de près de 800 paquets piégés sur le registre npm, en passant par l'exploitation active d'une injection SQL maximale sur Metabase, l'actualité du jour illustre les menaces ciblant directement les canaux de confiance et les composants clés de nos infrastructures.
Retrouve les trois articles à la une du jour :
- Cinq vulnérabilités sans authentification dans les communications radio de l'aviation civile
- Une injection SQL zero-day sur Metabase exploitée en conditions réelles avec un score CVSS 10
- Près de 800 paquets npm malveillants diffusent un RAT (Remote Access Trojan) multiplateforme via du typosquatting
La CISA alerte sur cinq failles en aviation
La CISA a publié un avis de sécurité concernant cinq vulnérabilités du protocole CPDLC over ATN-B1 touchant les communications de liaison de données aérienne. Ces failles exploitables par injection de messages radio tirent parti de l'absence d'authentification pour perturber les échanges pilotes-contrôleurs. Elles ne constituent pas une condition de vol dangereuse.
Les cinq CVE (CVE-2025-71409, CVE-2025-71410, CVE-2025-71411, CVE-2025-71412, CVE-2025-71413) reposent sur l'absence d'authentification des liens radio en texte clair. Les attaques peuvent injecter des messages trompeurs, forcer des déconnexions simultanées d'aéronefs ou envoyer de fausses alertes d'urgence, dégradant ainsi les marges de sécurité opérationnelle par surcharge de travail des contrôleurs et réduction de la conscience situationnelle.
Points d'attention
- L'absence totale d'authentification dans CPDLC over ATN-B1 permet à tout attaquant disposant d'équipements radio d'injecter ou de modifier les messages sans être identifié, exploitant directement une conception héritée du protocole.
- Aucun correctif n'est actuellement disponible pour l'une de ces cinq vulnérabilités, et la CISA indique qu'aucune exploitation publique n'a été signalée à ce jour.
- Les failles exigent une complexité d'attaque élevée et des conditions très spécifiques de laboratoire, ce qui explique l'absence documentée d'exploitation opérationnelle malgré leur portée mondiale sur les systèmes de transport aérien.
Metabase corrige une injection SQL zero-day exploitée
Une vulnérabilité d'injection SQL critique a été exploitée en conditions réelles pour compromettre les instances Metabase Cloud et auto-hébergées de clients. Metabase a révélé jeudi l'attaque et déployé un correctif d'urgence pour tous les utilisateurs du service SaaS, mais les installations auto-hébergées nécessitent une mise à jour manuelle.
La faille non authentifiée (CVSS 10.0) permet à un attaquant d'accéder directement à la base de données applicative et d'obtenir les droits administrateur. Depuis cet accès, l'intrus peut modifier la configuration, voler les identifiants des bases connectées et exporter les données. Les versions vulnérables incluent celles numérotées 1.58 et supérieures. Les versions sûres minimales sont 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 et 0.63.5.
Points d'attention
- Aucun CVE n'a encore été assigné à cette faille, bien que Metabase la classe Critique avec un score CVSS maximal de 10.0 et confirme son exploitation active en conditions réelles.
- Les attaques se repèrent par une requête POST vers
/api/session/reset_passwordretournant un code 400, suivie d'une requête GET réussie vers/api/user/current. - Framework et Tally confirment la compromission de leur instance Metabase le 3 août, avec fuite de données clients (Tally : email et empreinte de mot de passe). LexisNexis signale seulement une attaque chez un fournisseur tiers ayant affecté son API Metabase, sans compromission confirmée ni exposition de données établie.
Près de 800 paquets npm malveillants diffusent RAT multiplateforme
Près de 800 paquets malveillants ont été publiés sur le registre npm dans une campagne visant à livrer un cheval de Troie d'accès à distance (Remote Access Trojan) et un infostealer affectant Windows, macOS et Linux. Selon OpenSourceMalware, ces paquets utilisent des noms de typosquatting générés aléatoirement et contiennent des instructions dans leur fichier README incitant les développeurs à les charger via require().
Le téléchargement déclenche un téléchargeur nommé WEL1DROPPER qui identifie le système d'exploitation et l'architecture du processeur, puis récupère un payload compatible depuis trois domaines Cloudflare Workers. En cas d'échec HTTPS, le malware bascule sur des domaines spécifiques au système et exploite des enregistrements DNS TXT du domaine wel1.ru pour obtenir les étapes suivantes. Sonatype désigne cette campagne sous le nom Flooding Dropper.
Points d'attention
- Le vecteur d'infection repose sur une instrumentation README trompeuse qui incite manuellement à l'import via require(), contournant les hooks de cycle de vie preinstall et postinstall généralement surveillés dans les audits npm.
- La variante Windows corrige Event Tracing for Windows et AMSI pour contourner la surveillance, établit la persistance via une clé Registry Run et une tâche planifiée, avant de télécharger un payload chiffré.
- La variante Linux contient un binaire ELF compressé UPX configuré pour déployer Sliver, un framework de commande et contrôle open-source.
Autres actus importantes
- Violation des données chez Unlimited Technology Systems touche 3,8 millions de personnes
- Attaques de vishing par UNC6671 ciblent les téléphones personnels pour voler des données SaaS
- Un logiciel malveillant peut exploiter les clés Windows Hello for Business pour un accès persistant à Entra ID
- Le rappel de sécurité du contrôleur de frein de camion a également servi de correction de sécurité cachée
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere