Publications

Survivre à la déferlante de LPE Linux : la défense en profondeur n'est pas morte !

28/05/2026 Maintenant que l'IA aide à la recherche de vulnérabilités et au patch diffing de kernel, faisant sauter les embargos de responsible disclosure, la période est pour le moins intense pour les défenseurs. Chaque veille de week-end semble apporter son lot de nouvelles vulnérabilités critiques sous Linux, avec des exploits complets rendus publics plusieurs jours avant que les correctifs ne soient réellement disponibles. Pourtant, la majorité des chaînes d'attaque récemment publiées peuvent être neutralisées grâce à des techniques éprouvée...

Exploitation du Tesla Wall Connector depuis le connecteur de charge - Partie 2 : contournément de l'anti-downgrade

12/05/2026 Dans un article précédent, nous avions présenté une attaque contre le Tesla Wall Connector Gen 3, utilisée lors de Pwn2Own Automotive 2025. La chaîne d'exploitation reposait sur un constat simple : il n'y avait aucun mécanisme d'anti-downgrade. Une fois capables de parler UDS via le câble de charge, il suffisait d'écrire un ancien firmware vulnérable dans le slot passif, de redémarrer, et d'obtenir un shell de debug. Tesla a ensuite déployé une mise à jour ajoutant une vérification anti-downgrade dans la routine de mise à jour. Chaqu...

Make it Blink : Compromission à distance du bridge Philips Hue

06/05/2026 L'édition de fin d'année de Pwn2Own s'est tenue à Cork, en Irlande. Pour la première fois, cette édition a mis en jeu des équipements domotiques, tels que l’Amazon Smart Plug, le Home Assistant Green et le Philips Hue Bridge. Le scénario envisagé par le ZDI consistait en un attaquant disposant d’un accès aux services en écoute depuis le réseau local, ou menant une attaque depuis un réseau de proximité (Wi-Fi, Bluetooth, Zigbee). Cet article détaille les travaux réalisés sur le Philips Hue Bridge pour parvenir à l’exécution de code dep...

Bypassing Windows authentication reflection mitigations for SYSTEM shells - Part ②

30/04/2026 Dans la première partie de cette série d'articles, nous avons démontré notre théorie initiale selon laquelle le correctif de la CVE-2025-33073 était insuffisant, en exposant une vulnérabilité triviale de réflexion NTLM menant à une LPE. Dans cette deuxième partie, nous nous tournons vers Kerberos et expliquons comment nous avons obtenu une primitive RCE complète en tant qu'utilisateur du domaine, via une nouvelle technique de d'authentification forcée Kerberos qui exploite les divergences dans la manière dont les différents composant...

Bypassing Windows authentication reflection mitigations for SYSTEM shells - Part 1

27/04/2026 Il y a un an, les vulnérabilités de réflexion d'authentification ont refait surface comme un vecteur d'attaque puissant, à travers la découverte de la CVE-2025-33073 par plusieurs chercheurs en sécurité, dont nous. Cette vulnérabilité logique permettait la prise de contrôle de presque n'importe quelle machine Windows, sans aucune interaction utilisateur. Suite à notre analyse et au correctif officiel publié par Microsoft, nous avions le sentiment que le problème de fond n'avait toujours pas été traité. Cet article de blog en deux par...

Dites bonjour à Pike!

23/04/2026 Dans cet article, nous allons présenter Pike, un agent LLM expérimental capable de générer et d'analyser des traces d'exécution de programmes Linux. Nous montrerons qu'avec une architecture simple couplée à un LLM performant, Pike permet de déboguer rapidement un crash, d'identifier un malware ou de fournir des analyses de haut niveau pertinentes, le tout via une interface de chat naturelle.

Hooking Windows Named Pipes

21/04/2026 Lors d'audits de sécurité, nous sommes souvent confrontés à des applications lourdes complexes, composées de plusieurs processus. Certains de ces processus tournent en tant que SYSTEM, et d'autres dans le contexte de la session utilisateur, sans privilèges particuliers. Ces processus ont besoin de communiquer d'une certaine manière, et utilisent souvent des Named Pipes (ou canaux nommés) comme mécanisme IPC (Inter-Process Communication - Canal de communication entre processus). Une fois ouvert, un Named Pipe n'est autre qu'un canal de...

Kubernetes forensics 1/3 : what the container ?

26/03/2026 En 2025, le CSIRT Synacktiv a observé une augmentation significative des attaques et des compromissions ciblant les environnements Kubernetes. Le constat est que ces attaques sont vouées à continuer de se multiplier au même rythme que la technologie elle-même. Afin de mieux comprendre le fonctionnement d'un cluster Kubernetes et comment investiguer lors d'un incident de sécurité, nous avons décidé de travailler sur une série d'articles consacrée à la forensique Kubernetes. Celui-ci est le premier de la série, et se concentre sur la te...

Exploiter la RBCD en environnements cross-domain & cross-forest

23/03/2026 L'attaque par Resource-based Constrained Delegation (RBCD) est une technique bien connue des pentesters et des attaquants. En modifiant l'attribut msDS-AllowedToActOnBehalfOfOtherIdentity d'un compte machine, un attaquant peut usurper l'identité d'utilisateurs sur ladite machine. Bien que l'exploitation de ce mécanisme avec les outils Rubeus ou Impacket soit largement documentée au sein d'un même domaine, rares sont les ressources qui traitent de sa mise en œuvre dans des environnements inter-domaines (cross-domain) ou inter-forêts (c...

Grand saut dans le déploiement sur site d'un serveur LLM à moindres privilèges

20/03/2026 En 1826, les enfants rêvaient de chevaucher à travers les grands espaces comme dans les romans d’aventure. En 1926, on s’imaginait en Arsène Lupin, maître du cambriolage. En 2026, gérer des serveurs d'inférence distribués sans fuiter l'intégralité des données de l'entreprise est sans nul doute un rêve universel pour la nouvelle génération. Cet article retrace notre parcours de déploiement d'un serveur LLM on-premise, avec un regard critique sur la sécurité de la stack sous-jacente.