Ep.798 – OpenSSH, FreeSWITCH, ANSSI – Flash info du jeudi 12 novembre 2026

🐧 OpenSSH, CVE-2026-123158 (SSHole), CVSS 8,1, inscrite au KEV le 9 novembre : contournement de l'authentification par mot de passe sur sshd lié à musl libc, sans PAM. Un mot de passe de plus de 256 octets fait renvoyer « * » par crypt(), valeur qui correspond aux comptes marqués « * » dans /etc/shadow ; la condition exige aussi l'authentification par mot de passe active. Exposition concentrée sur Alpine, OpenWrt, Buildroot et Yocto ; Debian, Ubuntu, PAM, PasswordAuthentication no, Dropbear et OpenSSH d'OpenBSD non concernés. GreyNoise relève 16 chaînes réussies depuis six IP (acteur GT10) avec interrogation des métadonnées cloud (T1552.005) et réécriture d'authorized_keys (T1098.004) ; PoC public selon le HKCERT ; correctif OpenSSH 10.6p2 du 5 novembre, rétroporté par Alpine jusqu'à la 3.16, redémarrage de sshd et reconstruction des images requis.📡 FreeSWITCH, CVE-2026-116779, CVSS 9,8, CWE-77, command injection, inscrite au KEV le 9 novembre : une partie du destinataire d'un SIP MESSAGE est lue comme nom de protocole de chat, et le handler « api » transmet l'entrée à l'API FreeSWITCH, exécutée avec les privilèges du serveur (T1190). Chat actif par défaut sur les profils internal et external ; mod_lua offre une seconde voie d'exécution. Versions 1.11.2 et antérieures touchées, correctif 1.11.3 ; contournements de SignalWire : laisser enable-chat-api-proto désactivé, enable-chat=false sur les profils sans besoin de chat, suppression des utilisateurs d'annuaire sans mot de passe.🐛 IBM Aspera Faspex, CVE-2026-123218, CVSS 9,8 (source IBM), CWE-863, incorrect authorization, inscrite au KEV le 9 novembre : un utilisateur autorisé forge un message qui contourne l'autorisation et obtient les privilèges complets d'administrateur. Versions 5.0.0 à 5.0.19 touchées, correctif 5.0.19 PL1 (image faspex-core 5.0.19, 1ce4b13, Fix Pack 1), aucun contournement selon IBM. Le vecteur publié (AV:N/AC:L/PR:N/UI:N) n'exige aucun privilège.🤖 GPUStack, CVE-2026-102895, CVSS 9,8, CWE-287, improper authentication (CWE-290 et CWE-346 également listées), inscrite au KEV le 9 novembre : avant la 2.2.0, une requête sans identifiant venue de la boucle locale reçoit les droits admin (force_auth_localhost à false par défaut), contournable par un reverse proxy sur le même hôte ou l'en-tête X-GPUStack-Real-IP. Exploitation signalée par Javier Sixto (ulex.fr) contre une instance 2.1.1, avec enregistrement de backends d'inférence et reverse shells sur les workers (T1190) ; PoC public contesté. Correctif 2.2.0, version 2.2.2 recommandée par la Cloud Security Alliance (corrige aussi la CVE-2026-102894, contournement SAML) ; force_auth_localhost=true, filtrage de l'en-tête par le proxy et rotation des secrets workers et fournisseurs cloud.🐛 Apache HTTP Server, CVE-2026-119618, CVSS 9,8 selon Red Hat, CWE-362, race condition : course critique dans assign_headers() de mod_http2, corruption du tas et exécution de code à distance sans authentification (T1190). Versions 2.4.55 à 2.4.70 et mod_h2 GitHub 2.0.8 à 2.0.42 touchées ; correctif 2.4.71 du 11 novembre, qui corrige aussi des failles de mod_md et mod_vhost_alias. Recherche publique démontrant un exploit fiable selon Red Hat ; désactivation de HTTP/2 possible en mesure temporaire.🇫🇷 CERT-FR, CERTFR-2026-CTI-010, point de situation REACTIV d'octobre : 64 nouvelles violations de données depuis le 30 septembre, dont cinq visant des ministères ou organismes sous tutelle ; technique récurrente de réutilisation de secrets volés (T1078). Nouveaux cas : VACAF des CAF (environ 1,2 million de dossiers, identifiants de partenaires issus d'infostealers sans MFA et IDOR), France Travail (plus de 60 000 agents et professionnels), OFB permis de chasser (IDOR sur l'API de paiement, plus de mille personnes), ASP portail DEFI (30 500 usagers), portail des bibliothèques du MEAE (une centaine d'utilisateurs). Feuille de route 2026-2027 à 70 % d'avancement ; retour d'expérience CERTFR-2026-CTI-008 publié le 20 octobre.🗂️ Maersk confirme un accès à un système hérité d'une acquisition, isolé selon l'entreprise, sans impact constaté sur les autres systèmes ni sur les intégrations API et EDI. Le groupe de ransomware WhiteArmor revendique contre LF Logistics, filiale rachetée en 2022, le vol de 100 Go de données et réclame 5 millions de dollars sous 30 jours. Maersk n'anticipe pas de perturbation pour ses clients.📈 Bellingcat relève sur Google Maps des dizaines de libellés internes (quartier général, gymnase, hébergements, réfectoires, point de carburant) sur Camp Buehring, Camp Arifjan, Muwaffaq Salti et Al Udeid. À Camp Arifjan, l'imagerie floutée par Google reste nette sur Bing Maps à partir des coordonnées des fiches Google. Microsoft indique traiter les demandes de retrait des entités concernées.Sources :CISA Adds Four Known Exploited Vulnerabilities to Catalog. CISA : https://www.cisa.gov/news-events/alerts/2026/11/09/cisa-adds-four-known-exploited-vulnerabilities-catalogOpenSSH Bypass CVE-2026-123158 Is Now Under Active Exploitation. Techaeris : https://techaeris.com/?p=271203OpenSSH rolls out emergency patches for authentication bypass. SiliconReport : https://www.siliconreport.com/openssh-rolls-out-emergency-patches-for-authentication-bypassOpenSSH Security Restriction Bypass Vulnerability. HKCERT : https://www.hkcert.org/security-bulletin/openssh-multiple-vulnerabilities_20261106FreeSWITCH Vulnerability CVE-2026-116779 Exploited in the Wild to Run Commands. SecurityOnline : https://securityonline.info/freeswitch-vulnerability-cve-2026-116779-exploited/Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass. IBM : https://ibm.com/support/pages/node/7295921CVE-2026-123218. OpenCVE : https://app.opencve.io/cve/CVE-2026-123218GPUStack CVE-2026-102895 KEV Listing: Security Implications and Guidance. Cloud Security Alliance : https://labs.cloudsecurityalliance.org/research/csa-research-note-gpustack-cve-2026-102895-kev-20261110-csa/Apache HTTP/2: Race to RCE, CVE-2026-119618. TheCyberThrone : https://thecyberthrone.in/2026/11/12/apache-http-2-race-to-rce-cve-2026-119618/Point de situation de l'opération REACTIV, octobre 2026. CERT-FR : https://www.cert.cyber.gouv.fr/cti/CERTFR-2026-CTI-010/Shipping giant Maersk says recent cyber incident affected legacy system. The Record : https://therecord.media/shipping-giant-maersk-says-recent-incident-affected-legacy-systemHow Online Maps Lay Bare the US Military Bases Targeted by Iran. Bellingcat : https://www.bellingcat.com/news/2026/11/05/how-online-maps-lay-bare-the-us-military-bases-targeted-by-iran/⚡️ On ne réfléchit pas, on patch !📞 Répondeur : 07 68 72 20 09 📩 Email : [email protected] 🌐 Site : https://www.radiocsirt.org 📰 Newsletter : https://radiocsirt.substack.com#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #KEV #OpenSSH #SSHole #AlpineLinux #FreeSWITCH #VoIP #IBM #AsperaFaspex #GPUStack #AISecurity #Apache #HTTP2 #ANSSI #CERTFR #REACTIV #DataBreach #Maersk #WhiteArmor #Ransomware #Bellingcat #OSINT #CVE-2026-123158 #CVE-2026-116779 #CVE-2026-123218 #CVE-2026-102895 #CVE-2026-119618 #RadioCSIRT