Général
À Savoir : Les Données des Repos GitHub Supprimés Pourraient Ne Pas Être Vraiment Effacées !
Des chercheurs de Truffle Security ont récemment mis en lumière une vulnérabilité inquiétante sur GitHub : les données des dépôts supprimés ne sont pas toujours effacées. Joe Leon, chercheur en sécurité, a introduit le terme Cross Fork Object Reference (CFOR) pour décrire ce risque. Imaginez pouvoir accéder à des clés API sensibles même après la suppression d’un dépôt ! Cette situation soulève des questions cruciales sur la sécurité des données et la confiance que nous plaçons dans les plateformes de développement. Ne manquez pas de découvrir les implications de cette découverte !
Des chercheurs de Truffle Security ont récemment mis en lumière, ou plutôt redécouvert, que les données provenant de dépôts GitHub supprimés (qu’ils soient publics ou privés) ainsi que celles des copies supprimées (forks) de ces dépôts ne sont pas nécessairement effacées.
Joe Leon, un chercheur en sécurité de l’entreprise, a déclaré dans un avis publié mercredi que l’accès aux données de dépôts supprimés – comme les clés API – constitue un risque pour la sécurité. Il a proposé un nouveau terme pour décrire cette vulnérabilité présumée : Référence d’Objet de Fork Croisé (ROFC).
« Une vulnérabilité ROFC se produit lorsqu’un fork d’un dépôt peut accéder à des données sensibles d’un autre fork (y compris celles de forks privés et supprimés) », a expliqué Leon.
Par exemple, l’entreprise a démontré comment il est possible de forker un dépôt, d’y ajouter des données, de supprimer le fork, puis d’accéder aux données de commit censées être supprimées via le dépôt d’origine.
Les chercheurs ont également créé un dépôt, l’ont forké, et ont montré comment des données non synchronisées avec le fork restent accessibles à travers celui-ci même après la suppression du dépôt d’origine. Vous pouvez visionner cette démonstration ci-dessous.
Vidéo YouTube
Selon Leon, ce scénario a été mis en lumière la semaine dernière lors de la soumission d’un rapport de vulnérabilité critique à une grande entreprise technologique, impliquant une clé privée pour un compte GitHub d’employé ayant un accès étendu à l’organisation. Cette clé avait été publiquement engagée dans un dépôt GitHub. En prenant conscience de l’erreur, l’entreprise a supprimé le dépôt, pensant que cela résoudrait le problème de fuite.
« Ils ont immédiatement supprimé le dépôt, mais comme il avait été forké, j’ai pu accéder au commit contenant les données sensibles via un fork, même si ce fork n’avait jamais été synchronisé avec le dépôt d’origine », a expliqué Leon.
Leon a ajouté qu’après avoir examiné trois dépôts publics largement forkés d’importantes entreprises d’IA, les chercheurs de Truffle Security ont trouvé 40 clés API valides provenant de forks supprimés.
Les forks en question
Il est clair que cela pose un problème. Cependant, ce n’est pas un problème que GitHub considère comme une vulnérabilité légitime. En fait, le géant de l’hébergement de code, propriété de Microsoft, le considère comme une fonctionnalité, et non comme un bug.
Lorsqu’il a été informé de la situation par le biais de son Programme de Divulgation de Vulnérabilités, GitHub a répondu : « C’est une décision de conception intentionnelle et cela fonctionne comme prévu, comme indiqué dans notre [documentation]. »
C’est une décision de conception intentionnelle et cela fonctionne comme prévu
Cela, manifestement, est connu depuis des années. Une personne prétend avoir informé GitHub de cette vulnérabilité en 2018 et avoir reçu une réponse similaire.
Dans une interview téléphonique avec The Register, Dylan Ayrey, co-fondateur et PDG de Truffle Security, a expliqué que le problème réside dans ce qu’on appelle un commit suspendu.
« Un commit suspendu est un élément fondamental de Git », a expliqué Ayrey. « Ce n’est pas un élément spécifique à GitHub. Ainsi, un commit suspendu peut exister sur n’importe quelle plateforme Git – Bitbucket, GitLab, GitHub, etc. Un commit suspendu se trouve dans un dépôt de code donné, où vous avez un arbre représentant l’historique de ce projet, donc toutes les anciennes versions du code qui sont liées entre elles. »
Un commit Git capture un instantané de l’état d’un dépôt à un moment donné, y compris les modifications apportées au code et aux données. Chaque commit est identifié de manière unique par un hachage cryptographique. Bien que la suppression d’une branche, par exemple, retire la référence à une chaîne de commits particulière, les commits eux-mêmes ne sont pas supprimés de la base de données d’objets du dépôt.
« Ces commits suspendus sont comme une partie fondamentale documentée de Git lui-même », a déclaré Ayrey, qui a expliqué que la manière dont les plateformes Git gèrent les commits suspendus est une décision de plateforme plutôt qu’une spécification de Git.
Bitbucket, GitLab et GitHub, a déclaré Ayrey, conservent ces commits même lorsque la connexion à l’arbre de code est rompue. Si vous avez l’identifiant pour y accéder directement, vous pouvez toujours télécharger les données associées.
- Oups. Apple s’est appuyé sur un code défectueux tout en critiquant la technologie publicitaire Topics de Google Chrome
- Les mois et jours avant et après le vendredi fatal de CrowdStrike
- Kaspersky affirme que l’oncle Sam a snobé une proposition d’ouverture de son code à un examen tiers
- Oubliez la sécurité – le reCAPTCHA v2 de Google exploite les utilisateurs à des fins de profit
Ayrey a déclaré que cela est largement connu. Mais il existe un problème connexe concernant les forks – dépôts copiés – qui est plus spécifique à GitHub. Les forks, a-t-il expliqué, ne font pas partie de la spécification Git, donc chaque plateforme a sa propre mise en œuvre.
Ayrey a précisé que pour GitHub, les commits suspendus peuvent être téléchargés via un fork si vous avez le hachage identifiant, ou une partie de celui-ci.
« Si vous avez l’identifiant, vous pouvez les télécharger depuis le dépôt où ils ont été initialement poussés », a-t-il expliqué. « Il s’avère que vous pouvez également les télécharger à travers n’importe quel fork de ce dépôt. Et cela fonctionne dans les deux sens. Ainsi, depuis le parent, vous pouvez télécharger ce commit suspendu depuis le fork et depuis le fork, vous pouvez télécharger ce commit suspendu depuis le parent. »
« Ce que nous avons découvert, c’est que même si vous supprimez le parent, et que le commit a été poussé vers le parent, ce commit suspendu non seulement continue d’exister, mais vous pouvez le télécharger à travers l’enfant même s’il a été poussé vers le parent, qu’il n’a jamais été tiré dans l’enfant, et que le parent a été supprimé, vous pouvez maintenant accéder à ce commit suspendu. »
Ce commit suspendu non seulement continue d’exister, vous pouvez le télécharger à travers l’enfant même s’il a été poussé vers le parent
De plus, Ayrey a expliqué qu’il n’est même pas nécessaire d’avoir le hachage identifiant complet pour accéder au commit. « Si vous connaissez les quatre premiers caractères de l’identifiant, GitHub complétera presque automatiquement le reste de l’identifiant pour vous », a-t-il déclaré, notant qu’avec seulement soixante-cinq mille combinaisons possibles pour ces caractères, c’est un nombre suffisamment petit pour tester toutes les possibilités.
Interrogé sur les risques que cela présente, Ayrey a mentionné qu’il existe un archive des événements GitHub qui enregistre toutes les actions publiques sur la plateforme. Et il a ajouté que tout comme l’archive de tweets de la Sunlight Foundation pourrait être utilisée pour rechercher des déclarations publiques sur les réseaux sociaux, l’archive des événements de GitHub peut être utilisée pour des enquêtes judiciaires sur les activités des entreprises technologiques.
« Si [les entreprises technologiques] suppriment du code, si elles font tout leur possible pour supprimer quelque chose, cela ne signifie pas toujours quelque chose », a-t-il expliqué. « Mais souvent, cela signifie quelque chose. Cela pourrait signifier qu’une clé ou un mot de passe a été exposé. Cela pourrait signifier qu’elles ont accidentellement poussé un ensemble de données d’apprentissage automatique. Nous avons déjà vu cela. Ou cela pourrait signifier – et c’est rare – qu’un attaquant a réellement introduit une porte dérobée dans leur projet et qu’elles étaient un peu embarrassées à ce sujet… donc elles ont simplement supprimé la porte dérobée. »
Interrogé sur la manière dont GitHub devrait réagir, Ayrey a réfléchi : « Si une plateforme crée une vulnérabilité, la documente et explique que c’est quelque chose dont vous devez être conscient, est-ce que cela en fait moins une vulnérabilité ? »
« Ce que je recommanderais probablement, si je travaillais là-bas, c’est que ce pool de forks ne soit pas partagé entre les forks, que les commits que vous poussez vers un fork ne puissent pas être téléchargés à travers un autre fork. L’autre chose que je recommanderais probablement serait de créer une nouvelle fonctionnalité permettant de supprimer définitivement les commits et non simplement de les laisser suspendus. »
Truffle Security soutient que GitHub devrait reconsidérer sa position, car l’utilisateur moyen s’attend à ce qu’il y ait une distinction entre les dépôts publics et privés en termes de sécurité des données, ce qui n’est pas toujours vrai. Il y a également l’attente que l’acte de suppression devrait éliminer les données de commit, ce qui, encore une fois, a été prouvé ne pas toujours être le cas.
Un porte-parole de GitHub a déclaré à The Register : « GitHub s’engage à enquêter sur les problèmes de sécurité signalés. Nous sommes conscients de ce rapport et avons validé qu’il s’agit d’un comportement attendu et documenté inhérent à la manière dont fonctionnent les réseaux de forks. Vous pouvez en savoir plus sur la manière dont la suppression ou le changement de visibilité affecte les forks de dépôts dans notre documentation. »
Général
Le pare-brise de la BMW Panoramic iDrive : une expérience immersive à couper le souffle !
BMW a révélé son nouveau système Panoramic iDrive, révolutionnant l’expérience de conduite avec un affichage tête haute 3D qui s’étend sur tout le pare-brise. Imaginez un intérieur où toutes les informations essentielles, comme la vitesse et les directions, sont projetées directement dans votre champ de vision ! C’est une véritable couche de réalité augmentée qui connecte le conducteur à la route.
Avec des boutons haptiques sur le volant et un écran tactile central innovant, chaque détail est conçu pour une personnalisation optimale. Préparez-vous à découvrir cette technologie futuriste dans le prochain SUV électrique X-Class de BMW fin 2025 !
Une Révolution Technologique : Le Nouveau Système BMW : un aperçu captivant du futur de l'infodivertissement »>iDrive Panoramique de BMW
une Vision d’Avenir
BMW a récemment présenté son innovant système iDrive Panoramique,qui se distingue par un affichage tête haute en 3D impressionnant,occupant l’intégralité du pare-brise. si vous pensiez que l’intérieur épuré des Tesla était à la pointe, attendez de découvrir cette nouvelle approche.
Un Affichage Révolutionnaire
Fini le tableau de bord traditionnel devant le volant. Désormais, toutes les informations sont projetées directement dans le champ de vision du conducteur via le pare-brise. Cela inclut la vitesse, les données d’assistance à la conduite, les feux de circulation, les panneaux routiers et même des indications de navigation et niveaux de batterie. Chaque élément est personnalisable pour que chaque conducteur puisse choisir ce qu’il souhaite afficher. Par exemple, lorsque l’assistance au conducteur est activée, le chemin navigué s’illumine en vert.
Frank Weber, directeur technique chez BMW, décrit cette configuration comme une couche de réalité augmentée qui maintient le conducteur connecté à la route.
Intégration des Retours Clients
La société a déclaré que l’intégration des instructions de navigation avec les données d’assistance au conducteur représente une évolution naturelle alors que nous nous dirigeons vers des niveaux plus élevés d’automatisation dans la conduite.De plus, ils ont souligné que les retours clients ont été essentiels pour façonner plusieurs fonctionnalités intelligentes affichées sur ce nouveau système.
Un Volant Repensé
Les innovations ne s’arrêtent pas au pare-brise ; BMW a également repensé son volant en y intégrant des boutons haptiques qui s’illuminent selon différents réglages.
Un nouvel écran tactile central en forme de losange accompagne cet interface sur le pare-brise et permet aux utilisateurs d’interagir directement avec lui.Ce dernier offre une interface hautement personnalisable où chacun peut prioriser ses applications favorites (appelées « pixels » par BMW) pour un accès rapide et facile. La marque envisage également un magasin d’applications pour encore plus de fonctionnalités et personnalisations.
Un Système opérationnel Innovant
Le logiciel qui alimente ce système est appelé BMW Operating System X ; il est développé entièrement en interne par l’entreprise et repose sur Android Open Source Project.
L’Intelligence Artificielle au Service du Conducteur
Aucun lancement technologique en 2025 ne serait complet sans une touche d’intelligence artificielle (IA).Le système iDrive utilise cette technologie pour apprendre les habitudes et comportements des conducteurs afin d’afficher automatiquement les applications pertinentes ainsi que leurs réglages préférés. Par exemple, si un utilisateur emprunte souvent un itinéraire spécifique vers son domicile tout en activant le mode sport, ces paramètres seront proposés proactivement lors du prochain trajet.De plus, selon BMW ,les modèles linguistiques avancés rendent les commandes vocales beaucoup plus naturelles et conversationnelles ; plutôt que d’utiliser des mots-clés spécifiques comme « station », il suffit simplement aux conducteurs dire quelque chose comme « trouve une station de recharge près du supermarché ».
Début D’une Nouvelle Ère
Ce design intérieur audacieux fera ses débuts dans le futur SUV électrique X-Class prévu fin 2025; plusieurs autres véhicules basés sur la nouvelle plateforme « Neue Klasse » suivront bientôt après cela.
Considérations Sécuritaires Émergentes
Un changement aussi radical pourrait diviser l’opinion parmi ceux attachés aux intérieurs classiques dotés depuis longtemps d’aiguilles traditionnelles et compteurs analogiques caractéristiques chez BMW . Il sera également intéressant d’observer comment la marque abordera les préoccupations relatives à la sécurité; celles-ci étant devenues cruciales pour toutes entreprises automobiles électriques adoptant entièrement interfaces tactiles . En effet , Euro NCAP introduira dès 2026 nouvelles directives exigeant certaines fonctions essentielles soient accessibles via boutons physiques afin qu’un véhicule puisse obtenir cinq étoiles lors évaluations sécurité .
Général
Nvidia révolutionne le monde physique avec GenAI et Cosmos !
Lors de la keynote très attendue du CES 2025, le PDG de Nvidia, Jensen Huang, a captivé l’audience avec des annonces révolutionnaires. Parmi les innovations présentées, le modèle Cosmos se distingue par sa capacité à transformer l’IA générative en actions physiques. Cela signifie que des robots et véhicules autonomes pourront réagir plus efficacement aux stimuli du monde réel. Nvidia ouvre ainsi la voie à une nouvelle ère d’applications robotiques et automobiles, tout en rendant ses modèles disponibles gratuitement pour encourager l’expérimentation.
Innovations Technologiques : les Annonces Marquantes de Nvidia au CES 2025
Un Événement Incontournable
Lors du CES 2025, l’une des conférences les plus attendues a été celle de Jensen Huang, le PDG de Nvidia. Ce dernier a présenté une série d’annonces captivantes touchant à divers sujets technologiques d’actualité tels que l’intelligence artificielle (IA), la robotique et les véhicules autonomes.
Nouveaux Produits et Progrès Technologiques
Vêtu d’une version scintillante de son emblématique blouson en cuir noir,Huang a détaillé les dernières cartes graphiques GeForce RTX 50 ainsi que des modèles fondamentaux d’IA appelés Nemotron. Il a également partagé des plans pour des agents alimentés par IA.
Parmi les innovations notables figurent des extensions à la plateforme Omniverse, qui permet la création de jumeaux numériques et simule l’interaction entre l’IA et le monde physique. De plus, un superordinateur AI compact nommé Project Digits a été introduit, propulsé par le GPU Grace Blackwell.
Cosmos : Une Révolution dans l’Intelligence Artificielle
Une annonce particulièrement intrigante fut celle du projet Cosmos. Ce dernier est défini comme un ensemble complet de modèles fondamentaux mondiaux intégrant des tokenizers avancés et une pipeline vidéo sophistiquée.L’objectif principal est d’étendre les capacités génératives de l’IA au-delà du numérique vers le monde physique.
En termes simples, alors que la plupart des systèmes génératifs se concentrent sur la création numérique basée sur une vaste base documentaire ou visuelle, Cosmos vise à produire des actions physiques en s’appuyant sur ses données issues d’environnements simulés numériquement.
Implications pratiques pour Divers secteurs
Les implications pratiques sont significatives pour divers domaines tels que la robotique ou les véhicules autonomes. Par exemple, grâce à Cosmos, il devient possible pour un robot humanoïde d’apprendre à exécuter efficacement une tâche spécifique comme retourner une omelette ou manipuler des pièces dans une chaîne de production.De même,un véhicule autonome peut s’adapter dynamiquement aux différentes situations rencontrées sur la route.
Actuellement,ces formations reposent souvent sur un travail manuel intensif où il faut filmer plusieurs fois chaque action humaine ou faire parcourir aux voitures autonomes plusieurs millions de kilomètres. Avec Cosmos cependant,ces méthodes peuvent être automatisées ce qui réduit considérablement coûts et délais tout en élargissant le volume de données disponibles pour entraîner ces systèmes.
La Plateforme cosmo : Un Outil Puissant
Nvidia présente donc Cosmos comme une plateforme dédiée au développement mondial fondée sur l’IA générative qui intègre divers outils facilitant cette évolution technologique rapide. En tant qu’extension directe du simulateur Omniverse déjà existant chez Nvidia, elle permet non seulement d’extrapoler les modèles numériques mais aussi leur request concrète dans notre réalité quotidienne.
Au cœur même du projet se trouvent ces modèles fondamentaux construits grâce à millions heures vidéos accumulées permettant ainsi aux machines formées avec cette technologie réagir avec précision face aux stimuli physiques variés qu’elles rencontrent dans leur environnement réel.
Vers un Avenir Prometteur
Jensen Huang n’a pas manqué souligner lors sa présentation comment nous assistons actuellement à une transition majeure vers ce qu’il appelle « l’IA physique ». en rendant ses modèles disponibles gratuitement afin encourager recherche avancée en robotique et véhicules autonomes , Nvidia montre sa volonté soutenir innovation tout en anticipant tendances futures .
À court terme cependant , cet impact pourrait rester limité car principalement destiné développeurs spécialisés . Néanmoins , son potentiel transformationnel pourrait accélérer considérablement progrès produits concernés tout en améliorant sécurité efficacité systèmes associés .Ces développements témoignent également transformation continue chez Nvidia vers entreprise axée logiciel capable bâtir plateformes adaptées nouvelles applications émergentes. Pour ceux intéressés comprendre direction future société , ces annonces offrent perspectives fascinantes quant maintien croissance impressionnante entreprise .
Général
L’écran tactile secondaire Corsair Xeneon Edge : un 32:9 qui s’installe partout !
Qu’est-ce qui vient de se passer ? Le CES est toujours une vitrine incroyable de produits technologiques, et cette année, Corsair nous surprend avec son écran tactile Xeneon Edge. Avec ses 14,5 pouces et un rapport d’aspect 32:9, cet écran secondaire pourrait bien devenir l’outil indispensable pour les passionnés de technologie. Grâce à sa résolution impressionnante de 2560 par 720 pixels et à sa connectivité polyvalente via USB Type-C ou HDMI, il s’adapte à tous vos besoins. Imaginez pouvoir gérer vos réseaux sociaux tout en surveillant votre système ! Restez à l’affût pour plus d’infos !
Nouveaux Horizons Technologiques : Le Xeneon Edge de Corsair
Qu’est-ce qui se passe ?
Chaque année, le CES présente une multitude de nouveaux produits technologiques, certains étant plus pratiques que d’autres. L’intérêt que vous portez à l’écran tactile Xeneon Edge de Corsair dépendra probablement de votre besoin d’un écran secondaire de 14,5 pouces au format 32:9.
Une Évolution des Écrans Secondaires
Bien que les écrans secondaires ne soient pas une nouveauté, leur complexité a considérablement augmenté ces dernières années. Le Xeneon Edge se distingue par son design innovant et ses caractéristiques techniques impressionnantes. Avec une résolution LCD de 2560 x 720 pixels, il offre une densité d’affichage remarquable de 183 PPI, un niveau de luminosité atteignant 350 nits et un taux de rafraîchissement à 60 Hz sur son panneau IPS.
Flexibilité et Installation
Le Xeneon Edge est conçu pour s’adapter à divers environnements. Il peut être placé sur un bureau grâce au support inclus ou fixé à un PC ou toute surface ferromagnétique grâce aux quatorze aimants intégrés. De plus, il peut être installé dans un boîtier via un point de montage pour radiateur de 360 mm, ce qui est plutôt séduisant. Corsair affirme également qu’il est plus mince qu’un ventilateur classique, minimisant ainsi les préoccupations liées à l’espace.
Connectivité et Utilisation Pratique
Pour la connexion, le dispositif utilise soit le port USB Type-C DP-Alt Mode soit un port HDMI standard. Une caractéristique intéressante est sa capacité à fonctionner en orientation verticale ou horizontale.Cela en fait un outil idéal pour ceux qui souhaitent faire défiler leurs fils d’actualités sur les réseaux sociaux ou surveiller Discord simultanément. Windows reconnaîtra le Xeneon Edge comme écran additionnel.
Corsair indique également que cet écran tactile capacitif multi-touch à cinq points fonctionne comme n’importe quel autre affichage tactile sous Windows.!Fonctionnalités du Xeneon Edge
Intégration avec iCue
L’écran s’intègre parfaitement avec le logiciel iCue de Corsair permettant aux utilisateurs d’accéder facilement aux informations concernant la vitesse des ventilateurs du système, les températures ainsi que l’utilisation du CPU et GPU. Les utilisateurs peuvent aussi ajuster différents paramètres tels que les profils lumineux et la gestion des ventilateurs directement depuis l’écran tactile.
Disponibilité et Prix
Aucune details précise n’a encore été communiquée concernant le prix du xeneon Edge; cependant, il pourrait s’avérer assez onéreux compte tenu des fonctionnalités avancées proposées par cet appareil innovant. La disponibilité est prévue pour le deuxième trimestre 2025 chez les revendeurs Corsair ainsi que sur leur site officiel.
Dans cette même veine technologique, nous avons déjà vu plusieurs écrans LCD intégrés dans des systèmes AIO (All-in-One) refroidis par liquide auparavant; notamment celui proposé par Lamptron l’année dernière qui servait également d’écran secondaire ou encore Tryx qui a dévoilé en mars dernier ce qui était considéré comme le premier refroidisseur AIO doté d’un écran AMOLED incurvé.
-
Général5 mois agoX (anciennement Twitter) permet enfin de trier les réponses sur iPhone !
-
Général4 mois agoL’Inter brille de mille feux face à Man City – Inzaghi enflamme le match !
-
Technologie4 mois agoLe PDG de Broadcom anticipe la montée en puissance des hyperscalers avec des clusters d’un million d’accélérateurs !
-
Science et nature4 mois agoUne OLED révolutionnaire pour une vision nocturne compacte et légère !
-
Divertissement4 mois agoRésumé de l’épisode 2 de « Agatha All Along » : Plongée dans le monde des sorcières !
-
Général4 mois agoJáder Obrian marque à la 47e minute et propulse Austin FC en tête 1-0 face à LAFC !
-
Général4 mois agoL’interdiction de l’avortement en Géorgie a coûté la vie à une jeune mère : la droite chrétienne désigne désormais la victime comme coupable
-
Général4 mois agoLes scientifiques redéfinissent l’avenir scientifique de l’Afrique lors de la 15e conférence de l’AAS à Abuja