MISC N°

Sécurité du framework Laravel : Comment une simple clé peut-elle compromettre la sécurité de vos applications ?

Mai/Juin 2025

Exploitation du chiffrement du framework PHP Laravel

Que vous soyez un développeur web chevronné ou un pentester expérimenté ayant audité de nombreuses applications Laravel, vous vous êtes sûrement déjà interrogé sur l'utilité réelle de l'APP_KEY présente dans le fichier de configuration .env. Plongez dans cet article pour découvrir les risques liés à la fuite de ce secret trop souvent méconnu.

Dans ce numéro...

Édito

Par Valadon Guillaume

MISC

n°

139

mai 2025

| Valadon Guillaume

Depuis fin de 2022, la vague de l’IA générative, amorcée par l’arrivée de ChatGPT, déferle sur le monde et le monde de la sécurité n’y a pas échappé. Sans surprise, les aspects offensifs ont rapidement attiré l’attention, avec en premier lieu, la manipulation des réponses d’un modèle à l’aide de prompts malveillants, pour le pousser à ignorer ses mesures de sécurité et à divulguer des données sensibles.

> Lire l'extrait

Brèves MISC

Par Samhi Jordan

Brèves

MISC

n°

139

mai 2025

| Samhi Jordan

Comment une vie bascule en quelques clics / Deux vulnérabilités critiques découvertes dans OpenSSH / PAAS : Phishing-as-a-service / Fuite de données chez TopSec : cybersécurité ou censure ?

> Lire l'extrait

Explorer la distribution de malwares via la navigation sur le Web

Par Bourgue Quentin

Malware

MISC

n°

139

mai 2025

| Bourgue Quentin

Cet article présente un aperçu des techniques de distribution de malwares via la navigation sur le Web, détaillant différentes menaces associées et illustrant l’impact de ces intrusions initiales. L’article explore ensuite des méthodologies de recherche et de suivi des infrastructures de propagation de malwares, qui permettent l’identification et la détection de nouvelles campagnes d’attaques.

> Lire l'extrait

Analyse de malware assistée par Intelligence Artificielle

Par Apvrille Axelle

Malware IA Reverse engineering

MISC

n°

139

mai 2025

| Apvrille Axelle

La rétro-ingénierie d’échantillons malveillants est chronophage. Et si on pouvait gagner du temps en faisant faire le travail à une Intelligence Artificielle ? Puis-je siroter un café pendant qu’elle fait mon travail ? Et, à plus long terme, dois-je chercher un nouvel emploi ?

> Lire l'extrait

Désossage d’API : l’exemple de Snapchat

Par Cabello-Sanchez Nicolas

Forensic

MISC

n°

139

mai 2025

| Cabello-Sanchez Nicolas

Une API non documentée permet l’identification d’utilisateurs sur les réseaux sociaux. Les données partagées par les collaborateurs sur les réseaux au sein de l’entreprise peuvent devenir à la fois une source de renseignements et une source de prévention d’actes de malveillance. Connaître sa visibilité et les maladresses de collaborateurs sur les réseaux, c’est avant tout savoir combler les angles morts de la cybermalveillance et augmenter sa résilience cyber. Combien de contrats sont évoqués sur LinkedIn sans qu’ils soient publiquement connus du grand public ? Combien de sites industriels peuvent apparaître sur Snapchat laissant entrevoir des vulnérabilités éventuelles ? Plus il y a de réseaux utilisés par des collaborateurs, plus il y a de portes ouvertes pour les acteurs de la menace.

> Lire l'extrait

Renforcer la sécurité de vos connexions RDP avec une YubiKey

Par De Cock Jérémy

Sécurité système

MISC

n°

139

mai 2025

| De Cock Jérémy

« Peut-on facilement sécuriser ses connexions RDP avec une authentification forte ? ». La réponse est oui ! Et en plus, c’est simple et ne demande pas beaucoup de ressources.

> Lire l'extrait

Retour d’expérience sur la conformité DORA

Par Gaulier Jean-Philippe

Sécurité organisationnelle Droit

MISC

n°

139

mai 2025

| Gaulier Jean-Philippe

Le règlement européen DORA étant entré en vigueur le 17 janvier 2025, de nombreuses entreprises sont d’ores et déjà contraintes d’être conformes aux attentes du règlement dans le secteur de la finance et de l’assurance. Ainsi, si ces activités étaient déjà bien suivies en termes de conformité par les autorités telles que l’AMF (Autorité des Marchés Financiers) ou l’ACPR (Autorité de Contrôle Prudentiel et de Résolution) qui délivrent les accréditations pour pouvoir travailler sur ces marchés et s’assurent du reporting obligatoire des entreprises, c’est aujourd’hui une quasi-découverte de la réalité du monde de la cybersécurité, a minima pour toutes les PME qui la composent, ainsi que pour leurs prestataires tiers. Avec une obligation de déclaration de la liste de leurs prestataires au mois d’avril 2025 et de déclaration des incidents majeurs auprès de chaque autorité référente depuis fin janvier c’est le branle-bas de combat pour de nombreux acteurs du métier. Jusqu’à présent, les responsables de conformité et les bureauticiens étaient les seuls en mesure d’accompagner ces métiers peu connus, mais il leur faut aujourd’hui de véritables professionnels de la cyber pour détricoter les attentes du règlement.

> Lire l'extrait

En quoi l’identification des risques façonne-t-elle le DevSecOps ?

Par Celhabe Eva, Lagier Aymeric

Sécurité organisationnelle Sécurité système

MISC

n°

139

mai 2025

| Celhabe Eva, Lagier Aymeric

Selon le dernier rapport de l’ENISA [ENISA_2024], une adoption généralisée du DevSecOps contribue à limiter l’impact économique des violations de données grâce à l’intégration de mesures de réduction des risques dès la conception. Pour être efficace, cette approche doit s’adapter au contexte métier et aux menaces spécifiques identifiées. Ainsi, comment l’analyse de risques et le DevSecOps s’articulent-ils pour sécuriser les produits ?

> Lire l'extrait

Acheter ce numéro en version papier