Oracle alerte sur une faille critique... que des hackers exploitaient déjà

Oracle a publié une alerte de sécurité concernant une vulnérabilité critique dans son logiciel PeopleSoft, utilisé par de nombreuses grandes entreprises pour gérer la paie et les ressources humaines. Cette publication intervient au lendemain des revendications du groupe cybercriminel ShinyHunters, qui affirme avoir compromis plus de 100 organisations via ce même logiciel.

Au moment de la publication de cet avis, aucun correctif n'était encore disponible. Oracle s'est limité à recommander des mesures d'atténuation à ses clients.

Une faille exploitable à distance, sans mot de passe

Selon l'avis de sécurité d'Oracle, la vulnérabilité peut être exploitée depuis internet sans aucune forme d'authentification. Ce type de faille représente un risque particulièrement élevé, car elle n'exige aucun accès préalable aux systèmes ciblés.

La faille est qualifiée de zero-day : Oracle n'avait pas eu le temps de la corriger avant qu'elle ne soit découverte et exploitée. Mandiant, la division cybersécurité de Google, a confirmé qu'il s'agit bien de la même vulnérabilité utilisée par ShinyHunters dans sa campagne d'attaques en cours.

Plus de 100 organisations touchées, surtout dans l'enseignement

Mandiant a indiqué avoir alerté plus de 100 organisations à l'échelle mondiale, en grande majorité situées aux États-Unis, afin de limiter l'exposition de leurs systèmes. Environ deux tiers de ces entités appartiennent au secteur de l'enseignement supérieur.

Un membre de ShinyHunters a précisé à TechCrunch que des universités et des établissements scolaires figurent parmi les victimes. Les données volées comprennent des dossiers d'étudiants contenant des informations personnelles comme l'adresse, le numéro de téléphone, la date de naissance ou le statut d'inscription.

Mandiant a précisé que certaines organisations ont réussi à bloquer les tentatives d'intrusion, tandis que d'autres ont subi des compromissions effectives, avec des données publiées sur le site de fuite de ShinyHunters.

Un mode opératoire déjà rodé

ShinyHunters n'en est pas à son coup d'essai. Le groupe a déjà ciblé des entreprises utilisant des logiciels comme Salesforce, Gainsight ou la plateforme Canvas d'Instructure, spécialisée dans l'enseignement. Le principe est identique à chaque fois : identifier un logiciel vulnérable, localiser les organisations qui l'utilisent, exfiltrer des données, puis exiger une rançon.

Plus tôt cette année, la société Instructure a reconnu avoir payé les hackers après deux intrusions successives dans ses systèmes. Les serveurs PeopleSoft représentent donc la nouvelle cible d'une stratégie éprouvée, qui exploite des failles communes à de nombreuses organisations partageant un même outil logiciel.

Oracle dans l'attente d'un correctif

Oracle n'a pas répondu aux demandes de commentaire de TechCrunch. La société n'avait toujours pas publié de patch au moment de la rédaction de cet article, se contentant de recommander des mesures de contournement à ses clients exposés.

Cette situation illustre un problème récurrent dans la gestion des zero-days : entre la découverte d'une faille et la mise à disposition d'un correctif, une fenêtre d'exposition persiste, que les groupes criminels organisés n'hésitent pas à exploiter à grande échelle.

Source : TechCrunch