RCE critique sur des serveurs Java 💥, déploiement du toolkit khunt dans Oracle ☠️, élévation de privilèges root sur Linux 🐧

Veille
• 4 minutes de lecture
Kilian PICHARD profile image Kilian PICHARD

Bonjour, voici ta veille Cybere du 6 août 2026 !

Le contournement des contrôles d'accès sur des frameworks Java d'entreprise, la dissimulation d'un toolkit directement au cœur d'une base de données Oracle et l'exploitation d'une faille dans le noyau Linux permettant d'obtenir les droits root démontrent la gravité des vulnérabilités touchant les composants d'infrastructure critiques.

Retrouve les trois articles à la une du jour :

  • Des failles d'assemblage dans Bonita BPM et Apache OFBiz permettent une exécution de code à distance
  • Une injection SQL permet de compiler et d'exécuter le toolkit post-exploitation khunt dans Oracle
  • La vulnérabilité OVSwrap dans le noyau Linux offre une élévation de privilèges locale vers root

Deux serveurs Java d'entreprise exposés à l'exécution de code distante

Des chercheurs de Novee ont découvert des vulnérabilités critiques d'exécution de code sans authentification affectant Bonita BPM et Apache OFBiz. Une seule requête web non authentifiée suffit à contourner les protections et à prendre le contrôle de la plateforme.

Bonita BPM gère les approbations de prêts, les sinistres d'assurance et l'intégration des employés pour des banques, assureurs et agences gouvernementales. La chaîne d'exploitation repose sur des défauts de routage distincts : un segment de chemin contournant la vérification de sécurité, une correspondance de filtre au mauvais mode, et XStream désérialisant du XML en objets Java exécutant du code via une chaîne de gadgets à partir des classes de Commons Collections.

Points d'attention

  • Bonita 10.4.3 possède trois contrôles indépendants entre ses surfaces API publique et interne, chacune supposant que les autres valident le trafic : un seul chemin forgé les neutralise toutes ensemble en tirant profit d'une divergence de parsing entre le filtre et Tomcat.
  • Apache OFBiz 24.09.05 signe ses tokens SSO avec une clé stockée dans le dépôt de code source public : chaque installation conservant la clé par défaut permet à un attaquant de falsifier des tokens avec des droits d'administrateur sans authentification (CVE-2026-31986).
  • Aucun scanner de signatures ne détecte ces chaînes, car chaque maillon pris isolément paraît inoffensif. La vulnérabilité réside dans l'assemblage de brèches mineures conduisant à l'exécution de code.

→ Lire la source

Des pirates exécutent un toolkit post-exploitation depuis une base Oracle

Des attaquants ont exploité une faille d'injection SQL pour installer le toolkit khunt directement au sein d'une base Oracle et accéder à un réseau d'entreprise. Huntress a détecté l'incident le 27 juillet 2026 après identification d'un vol d'identifiants sur un serveur. L'accès initial s'est fait via une fonctionnalité d'autocomplétion sur une application Java exposée.

Après l'injection SQL, les pirates ont compilé khunt comme objet Java dans la base de données en exploitant la machine virtuelle Java intégrée d'Oracle. Le toolkit contenait plusieurs composants, dont KhuntCmd pour exécuter des commandes système avec privilèges SYSTEM, et KhuntHash pour dérober les identifiants stockés. Les attaquants ont récupéré les fichiers du registre Windows SAM, SECURITY et SYSTEM en vue d'extraire les empreintes de mots de passe locaux.

Points d'attention

  • La technique de stockage du payload dans la base de données via CREATE JAVA SOURCE a rarement été documentée en conditions réelles, selon Huntress, marquant une approche d'évasion peu commune.
  • L'adresse IP 178[.]162[.]151[.]229 a été tracée comme source des requêtes malveillantes par Huntress lors de l'investigation post-détection.
  • Les composants khunt incluaient aussi KhuntFS pour la navigation de fichiers et KhuntUnzip pour l'extraction d'archives compressées, offrant un contrôle complet du système de fichiers.

→ Lire la source

Une faille du noyau Linux donne accès root aux utilisateurs locaux

Une corruption mémoire dans le chemin de données Open vSwitch du noyau Linux permet aux utilisateurs ordinaires d'accéder aux droits root sur de nombreuses distributions configurées par défaut. Baptisée OVSwrap, la CVE-2026-64531 (CVSS 7.8) a été divulguée le 28 juillet 2026 par le chercheur Asim Manizada.

L'attaque n'a besoin ni d'un pont OVS existant, ni d'un ovs-vswitchd en cours d'exécution, ni du droit CAP_NET_ADMIN au niveau de l'hôte. Sur les systèmes où le chemin de données OVS est disponible et les espaces de noms d'utilisateur non privilégiés activés, un utilisateur ordinaire crée des espaces de noms privés, obtient CAP_NET_ADMIN et déclenche l'installation de flux vulnérable. Un débordement du champ de longueur 16 bits produit une corruption mémoire fiable permettant de fuir des pointeurs du noyau et d'accéder à root.

Points d'attention

  • Une faille existant depuis 13 ans dans le traitement des attributs Netlink a été exposée en mars 2025 quand un changement a supprimé une limite de taille globale de 32 KiB, sans que la revue de code ne traite la conséquence de sécurité.
  • La preuve de concept inclut des enregistrements pré-générés pour environ 800 versions du noyau x86-64 et tente une dérivation dynamique pour les versions non couvertes.
  • Les distributions testées AlmaLinux 9 et 10, Alpine 3.22-3.24, Amazon Linux 2023, Arch, Debian 12 et 13, Fedora 42-44, Kali 2026.1 et Ubuntu 22.04 sont exploitables en configuration par défaut. Ubuntu 24.04 et 26.04 appliquent des atténuations via AppArmor.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere