Une clé exposée transforme un LMS en vecteur d'attaque : CVE-2026-5426 Grève du cobalt dans la transmission des connaissances

Un défaut de sécurité de haute gravité qui était déjà corrigé dans Digital Knowledge Knowledge Delivery - un système de gestion de l'apprentissage (LMS) avec une large présence au Japon - a été exploité comme zéro jour pour installer le shell web connu comme Godzilla (BLUEBEAM) et, de là, déployer Cobalt Strike Beacon sur les machines des victimes. Vulnérabilité, enregistrée comme CVE-2026-5426 avec un CVSS de 7,5, a été utilisé pour la réutilisation de secrets partagés: Les déploiements LMS utilisaient un web normalisé. fichier de configuration du fournisseur contenant des valeurs machine Clé En clair pour ASP. NET, qui a permis aux attaquants de créer des charges malveillantes ViewState et de provoquer une désactivation à distance sans authentification.

Le vecteur technique est classique mais dangereux: ASP. NET utilise la clé de la machine pour signer et chiffrer des données comme la _ _ VUE D'ÉTAT, et si ce secret est connu, un attaquant peut forger un État de vue qui, en étant désérialisé par le serveur, exécute le code arbitraire. Microsoft a déjà documenté en 2025 l'utilisation malveillante de clés de machine filtrée, et la chaîne d'abus a été répétée dans d'autres produits (p. ex. Sitecore XM, Gladinet CentreStack et TrioFox), ce qui souligne que le problème réside à la fois dans les défaillances individuelles et les modèles de déploiement dangereux.

Dans la campagne observée par Google Mandiant et le Google Threat Intelligence Group (GTIG), l'attaquant a non seulement obtenu l'exécution à distance: il a laissé un shell web qui a permis d'exécuter des commandes, a changé les permissions du système de fichiers (en donnant un accès complet à "Tout le monde" dans le répertoire des applications) et a modifié un script JavaScript pour montrer une fausse alerte qui a incité les utilisateurs à télécharger un plugin malveillant "d'authentification". Cet installateur téléchargé contenait finalement Cobalt Strike Beacon; l'analyse a également montré que la charge utile était chiffrée avec une clé qui comprenait le nom de l'organisation, suggérant des attaques ciblées et préparées spécifiquement pour chaque victime.

Les implications sont claires et inquiétantes: une seule clé divulguée peut compromettre plusieurs instances du même produit, en particulier lorsque les fournisseurs distribuent des configurations standard avec des secrets intégrés. Cela fait des réglages et des fichiers de configuration une surface d'attaque à impact élevé, et pose des risques d'escalade de l'accès initial au web à la latéralité et la persistance dans le réseau de l'organisation.

D'un point de vue opérationnel, les mesures immédiates et à long terme sont complémentaires. Dans hot, toute installation avant le 24 février 2026 devrait être mise à jour à la version parachevée de KnowledgeDeliver; en outre, le serveur Web et les dépôts de fichiers publics devraient être inspectés par des signaux d'engagement: fichiers shell web (par exemple aspx / php avec code opfusqué), modifications récentes de JavaScript qui injectent des charges externes, changements de niveau système dans les répertoires Web et trafic sortant vers des domaines suspects. Au cours de la phase de confinement, il est recommandé d'isoler les cas commis, de capturer des images médico-légales avant de nettoyer, de faire pivoter toutes les références exposées et de bloquer les domaines et adresses IP associés à la campagne sur le réseau.

Pour réduire la probabilité de réexposition, les organisations devraient supprimer toute machine à code durKey et s'assurer que les clés sont installation unique. Les bonnes pratiques comprennent la génération des clés dans l'hôte pendant le déploiement (ou l'utilisation d'un service de gestion secrète comme Azure Key Vault ou HashiCorp Vault), permettant la protection appropriée de ViewState (MAC et crypté selon ASP. Configuration NET), et l'application de contrôles d'intégrité sur les fichiers Web et les ressources statiques. Il est également crucial d'implémenter une surveillance qui détecte les chaînes d'exploitation typiques (demandes avec _ _ VIEWSTATE anomale, modèles de balises Cobalt Strike) et de renforcer la détection des comportements post-exploitation.

Pour ce qui est de la détection, il convient d'examiner le journal Web et le proxy pour les requêtes HTTP contenant des valeurs exceptionnellement longues ou non codées _ _ _ VIEWSTATE, de rechercher le trafic de sortie qui correspond aux modèles Cobalt Strike Beacon et d'auditer le système de fichiers serveur web pour détecter les changements dans les permissions et les fichiers modifiés aux dates d'engagement. La documentation communautaire et technique sur la dégénérescence dangereuse et sur la grève du cobalt fournit des indicateurs et des techniques de détection qui peuvent être utiles; par exemple, l'explication du risque de dégénérescence dans l'OWASP et le rapport de grève du cobalt sur MITRE ATT & CK sont des ressources pratiques pour l'équipement de sécurité: OWASP sur la dégénéralisation dangereuse et MITRE ATT & CK - Grève de cobalt (Bacon). Comprendre les performances du ViewState chez ASP. NET, la documentation historique de Microsoft sur ce mécanisme est disponible: Documentation Microsoft sur ViewState.

Au-delà du spot patch, cet incident est un appel aux fournisseurs et aux clients: les fabricants ne devraient pas distribuer de secrets par défaut dans leurs paquets et les organisations qui déploient des logiciels devraient traiter les modèles et les appareils du fournisseur comme un code qui nécessite une révision et un durcissement. La gestion des secrets, la rotation périodique et le principe de moins de privilège Dans les dossiers et les permis de service sont des contre-mesures essentielles pour empêcher la même configuration de débit de transformer des centaines d'installations en victimes enchaînées d'une seule fuite.