Une attaque de la chaîne d’approvisionnement de Brevo expose plus de 100 000 sites web

Brevo, plateforme française de marketing et de communication précédemment connue sous le nom de Sendinblue, a subi une attaque de la chaîne d’approvisionnement qui pourrait avoir touché plus de 100 000 sites web. Le 10 septembre, les attaquants auraient exploité une vulnérabilité du système SAML SSO, accédant à 138 comptes, exportant les contacts de 43 d’entre eux et utilisant six comptes pour des campagnes d’hameçonnage. Quatre jours plus tard, ils sont revenus par l’intermédiaire d’une clé API Cloudflare de longue durée, dotée d’autorisations complètes et stockée dans le code source de l'application. La clé leur a permis de créer des Workers, des routes et des enregistrements DNS, ainsi que d’injecter du code malveillant dans les sites de Brevo et dans trois fichiers JavaScript intégrés aux sites des clients. L'incident montre comment un seul identifiant privilégié d’un fournisseur SaaS peut transformer une compromission interne en une attaque à grande échelle contre des organisations en aval.

Source : Security Affairs