Données d’enquête sur les incidents et les vulnérabilités

Mises à jour des fiches et avis vérifiées cette fois-ci · 23

Compléments sur les mesures et les conditions d’affaires existantes · 12

Informations de référence dont l’heure de publication ou d’autres éléments restent indéterminés · 2

• Il s’agit de la révision actuelle récupérée après l’heure visée. Distinguez la publication, l’enregistrement en base, l’intrusion et la mise à disposition d’une correction.
• Le delta comprend les premiers enregistrements en base et les alertes officielles survenus dans la fenêtre ; il ne signifie pas systématiquement une nouvelle découverte ou de nouveaux dommages.
• Les 99 nouvelles fiches NVD figurent toutes parmi les 1434 fiches mises à jour. Les 111 publications GHSA figurent toutes parmi les 151 fiches modifiées.
• Cette fois-ci, les publications et modifications GHSA ont été récupérées en spécifiant explicitement reviewed, unreviewed et malware. Le périmètre diffère de celui des requêtes précédentes par défaut ; ne comparez donc pas le nombre d’ajouts malware à une supposée absence dans les fenêtres précédentes.
• La catégorie malware de GitHub est distinguée des classifications de l’analyse d’origine telles que PROBABLY_PENTEST.
• CVE-2012-20006 est au statut Rejected et n’est pas recommandé comme nouvelle vulnérabilité valide.
• L’absence dans le catalogue KEV, l’absence de mise à jour ou l’absence de diffusion dans un flux ne prouvent pas l’absence d’exploitation ou de dommages.
• La vérification du code n’est ni une expérimentation ni une confirmation d’exploitation réelle, et ne détermine pas non plus la première version livrée corrigée.
• GNOME GitLab affiche un écran de vérification malgré une réponse HTTP de succès. Distinguez la réponse 404 de l’API Release de PictShare de l’existence d’un tag.
• Récupération entre 21:37:41 et 21:43:21 JST. Les originaux HTTP correspondent aux révisions actuelles postérieures à l’heure de référence ; les ajouts non signalés ne peuvent pas être intégralement reconstitués.
• Les indications GMO à 21:00, Blastmail à 17:00, le RSS officiel JPCERT à 16:25, la page d’accueil JVN à 18:00 et les métadonnées de mise à jour des pages à une heure autre que minuit (0 h) ont servi de références temporelles. Elles ne correspondent pas au début des intrusions ou des attaques.
• Les études primaires sur le honeypot PHP, ainsi que celles de Huntress, Wiz et Ovi, ont été publiées avant le relevé précédent. Ne recomptez pas leur reprise médiatique du soir comme de nouveaux dommages ou de nouvelles découvertes.
• Lire les rapports des chercheurs ne constitue ni une réanalyse indépendante de tous les paquets réseau ni une exécution du PoC. Ne convertissez pas les nombres de shells, de branches ou de connexions observés en nombres de personnes ou d’organisations victimes.
• Pour Tailworm, la fusion du code source et les versions distribuées sont distinctes. La première version corrigée reste indéterminée cette fois encore ; le check mode ou le seul arrêt des transferts ne signifie pas que tous les points sont corrigés.
• La prochaine échéance annoncée par ConnectWise, à 23:00 JST, est postérieure à l’heure de référence. Maintenez les connexions concernées désactivées jusqu’aux consignes spécifiques ; un objectif de rétablissement ne vaut pas autorisation de connexion.
• Le texte récupéré d’IceWarp ayant été révisé entre 21:39:58 et 21:40:23 JST, il n’est pas inclus comme liste établie de correctifs antérieure à l’heure de référence de 21:35.
• Le HTTP Last-Modified de Kawanishi indique la mise à jour de la ressource, et non l’heure réelle du rétablissement ou de la première publication. L’information est conservée avec réserve à titre de référence.
• L’accès HTTP direct à Reddit renvoie 200 avec un écran de vérification illisible ; le JSON renvoie 403. Le contenu de l’éditeur a été vérifié séparément dans le texte rendu par un outil de navigation ; l’heure exacte de modification de la publication reste non confirmée.
• Ce relevé ne couvre pas tous les incidents dans le monde. La presse et les réseaux sociaux servent uniquement de points de départ pour la recherche des sources primaires ; les affirmations des attaquants et les infections de l’année précédente ne sont pas ajoutées aux dommages confirmés.
• Le registre consolidé comprend 37 points : 23 différences, 12 compléments sur des affaires existantes et 2 éléments de référence. Les informations PHP et Brotli de JPCERT/CC sont regroupées dans 1 ensemble côté API ; les 2 ensembles côté fournisseurs ne sont pas comptés une seconde fois.
• Sur les 169 réponses conservées ou référencées, 27 sont des références à des originaux antérieurs. 1 texte rendu par un outil de navigation a également été conservé séparément et distingué des originaux HTTP.
• Les avis malware de GHSA ont été récupérés explicitement cette fois-ci. Le périmètre de recherche précédent étant aussi différent, l’augmentation du nombre de fiches ne doit pas être interprétée directement comme une augmentation de nouvelles attaques.

Originaux récupérés et méthode d’enquête