JetBrains TeamCity exploité 🚨, escalade root sur Cisco IMC 🔧, Spectre v2 contourné par TONTOU ⚡
• 3 minutes de lecture
Bonjour, voici ta veille Cybere du 7 août 2026 !
De l'exploitation en conditions réelles d'un serveur CI/CD TeamCity jusqu'à la ré-injection de failles processeur via l'attaque TONTOU, en passant par l'obtention des privilèges root sur les contrôleurs Cisco IMC, l'actualité du jour met en lumière des attaques ciblant le cœur même des infrastructures d'entreprise et du matériel.
Retrouve les trois articles à la une du jour :
- Désérialisation critique dans JetBrains TeamCity permettant l'exécution de commandes sans authentification
- Validation insuffisante sur Cisco IMC offrant les privilèges root à un utilisateur peu privilégié
- Attaque TONTOU contournant les mitigations Spectre v2 sur les processeurs AMD et Intel
La CISA classe une faille TeamCity en exploitation active
Une vulnérabilité de désérialisation exploitée en conditions réelles affecte les installations on-premise de JetBrains TeamCity. La CVE-2026-63077 (CVSS 9.8) permet à un attaquant non authentifié d'ignorer les contrôles d'authentification et d'exécuter des commandes système arbitraires via le protocole d'interrogation d'agent.
La faille s'exploite par un attaquant non authentifié disposant d'un accès à un serveur TeamCity. Une attaque réussie peut exposer les données, configurations et identifiants stockés de TeamCity, altère l'état du serveur et compromet potentiellement l'intégrité des artefacts de compilation et des pipelines CI/CD en aval. Les modalités précises d'exploitation en conditions réelles et l'identité des acteurs menaçants restent inconnues.
Points d'attention
- Le vecteur d'attaque passe par le protocole d'interrogation d'agent TeamCity, contournant l'authentification depuis un serveur accessible.
- La portée dépend des privilèges du processus serveur TeamCity : une compromission peut exposer ou altérer l'intégralité de la chaîne CI/CD en aval.
- La directive BOD 26-04 impose aux agences fédérales américaines de corriger la faille au plus tard le 8 août 2026, date critique de conformité.
Cisco corrige une faille critique dans son contrôleur IMC
Cisco a publié un correctif pour la CVE-2026-20200 (CVSS 9.8), une vulnérabilité critique affectant son Integrated Management Controller (IMC). La faille permet à un attaquant authentifié disposant de faibles privilèges d'exécuter des commandes en tant que root via l'interface web de gestion.
Découverte par Christoph Peil de l'entreprise allemande NSIDE ATTACK LOGIC lors d'une évaluation de sécurité, la vulnérabilité repose sur une validation insuffisante des entrées utilisateur. Un exploit public baptisé CIMCown a été publié sur GitHub après le correctif Cisco. L'IMC contrôle le BIOS, le SecureBoot et l'interaction avec le système d'exploitation, ce qui signifie qu'une compromission permettrait à un attaquant de prendre le contrôle profondément et durablement dans le système.
Points d'attention
- La faille affecte les serveurs Cisco UCS C-Series M7 et M8 en mode autonome, ainsi qu'une multitude d'appliances Cisco basées sur une version préconfigurée de ces serveurs, élargissant considérablement l'exposition.
- L'attaquant doit être authentifié, mais disposer seulement de faibles privilèges pour exploiter la vulnérabilité par une entrée forgée dans l'interface web de gestion.
- Le contrôleur IMC peut modifier le BIOS et configurer SecureBoot. Un attaquant qui obtient root y opère à un niveau plus profond que ce que les mesures de protection classiques, telles que les solutions EDR au niveau du système d’exploitation, sont même capables de détecter.
Des chercheurs contournent les défenses Spectre v2 des processeurs
Des chercheurs du MIT ont découvert une technique exploitant une fenêtre de vulnérabilité entre le nettoyage et l'utilisation des prédicteurs de branche sur les processeurs AMD et Intel. Baptisée TONTOU (Time-of-Neutralization to Time-of-Use), cette attaque contourne les correctifs actuels en "ré-empoisonnant" l'état du processeur après le nettoyage.
L'attaque par injection d'interruption permet à un code non privilégié de déclencher des interruptions matérielles durant l'exécution du noyau, redirigeant le flux de contrôle et empoisonnant le prédicteur indirect. Sur un système AMD Zen 2, les chercheurs ont extrait des hashes de mots de passe depuis /etc/shadow à un débit de 5,47 octets/seconde avec une précision de 91,97 %.
Points d'attention
- L'exploitation requiert uniquement un code non privilégié : aucun accès particulier ni capacités étendues ne sont nécessaires pour lancer une attaque TONTOU depuis un compte utilisateur standard.
- Les chercheurs Daniël Trujillo et Mengjia Yan ont présenté ces résultats à la Black Hat USA et détailleront leurs travaux à l'USENIX Security 2026.
- Intel offre une surface d'attaque moins favorable qu'AMD en raison de prérequis logiciels supplémentaires, qui rendent l'exploitation plus complexe.
Autres actus importantes
- Une faille KVM Zapscape pourrait permettre à du code invité privilégié de niveau 1 de s'échapper vers les hôtes Linux
- Malgré les avertissements fédéraux, des milliers de contrôleurs industriels américains utilisés dans les systèmes d'eau restent exposés en ligne
- Piratage de navigateur IA sans clic : Claude et ChatGPT Atlas détournés via des e-mails et des publications X
- Le pirate de Snowflake plaide coupable devant un tribunal américain
Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️
À demain pour la prochaine veille 🔐 – Kilian de Cybere