ServiceNow a corrigé un bug qui permettait aux attaquants d’accéder librement aux données de plusieurs clients. Les cybercriminels n’auraient pas exploité cette faille.
Un bug dans la plateforme ServiceNow a rendu les données de certains clients librement accessibles via Internet. Dans certains cas, des utilisateurs pouvaient accéder à des instances ServiceNow sans authentification.
ServiceNow a détecté une exploitation effective et en a informé les clients, ce qui correspond à la manière dont les entreprises gèrent des fuites de données similaires. Les données de certains clients ont effectivement été consultées. Ceux qui n’ont rien reçu n’ont pas à s’inquiéter.
Recherche
Le bug en question n’aurait pas encore été exploité par des criminels. ServiceNow a pu attribuer l’utilisation non autorisée à des chercheurs en sécurité effectuant des recherches dans le cadre du programme de bug bounty de ServiceNow. Les chercheurs affirment n’avoir ni utilisé ni conservé de données.
L’identité des chercheurs et le nombre de clients concernés ne sont pas connus. Cet incident s’inscrit dans une série de cyberattaques et de fuites de données ayant touché de grandes entreprises. La faille est désormais colmatée.