Avant d'acheter une ampoule connectée ou une serrure intelligente, vous aimeriez sans doute bien savoir si le truc vous oblige à créer un compte cloud et à prier pour que le serveur du fabricant reste allumé dans cinq ans, non ?

Hé bien l'Open Home Foundation, la fondation qui chapeaute Home Assistant, vient d'ouvrir en preview publique une Device Database qui répond pile à cette question. L'idée c'est de proposer un "Wikipedia de l'IoT".

Sauf que cette base n'est pas remplie à la main par une équipe marketing mais carbure à 100% grâce à de la télémétrie anonymisée remontée par des utilisateurs Home Assistant qui ont coché la case opt-in. Donc les données viennent du vrai monde, là où il y a des millions d'installations de Home Assistant et au moment où j'écris ces lignes, ça donne 19 237 appareils référencés et ça n'a de cesse d'augmenter.

La recherche fait remonter les appareils par marque, ici 209 résultats pour Aqara.

J'ai tapé " aqara " (lien affilié) dans la recherche pour tester, et j'ai obtenu 209 résultats. Je suis alors tombé sur la serrure Smart Lock U200 (lien affilié) et ce qu'on apprend, c'est que cette serrure propose une connexion locale, une intégration possible via Matter, et un badge vert "Fonctionne sans cloud". La base précise même combien d'installations ont remonté l'info et depuis quand l'appareil est repéré.

Comme ça, vous voyez immédiatement si l'objet dépend d'un serveur distant ou s'il tourne peinard sur votre réseau local, avant de sortir la carte bleue.

La fiche de la serrure Aqara U200 : connexion locale, intégration Matter et données réelles d'usage.

Voilà, c'est juste ce que les données remontées disent et côté vie privée, la fondation insiste sur le fait que la télémétrie reste anonyme, sans compte ni traçage derrière. C'est donc parfaitement cohérent avec l'ADN de Home Assistant. Si vous bricolez déjà vos capteurs ESP32 sans dépendre du cloud , vous voyez très bien le tableau, et vous savez pourquoi virer un objet trop bavard vaut parfois de jailbreaker un Echo Show .

La collecte a démarré en février 2026, et l'Open Home Foundation prévient que le lancement complet arrivera plus tard dans l'année, avec la possibilité de contribuer directement aux fiches. Ils calment aussi les impatients en nous expliquant que c'est un marathon et pas un sprint, et préfèrent rendre ça public rapidement même si ce n'est pas encore parfait.

Donc je vous invite à être indulgents avec ce nouveau service et la prochaine fois qu'un objet connecté vous fait de l'œil, un tour par la Device Database vous évitera peut-être d'acheter un machin scotché uniquement au cloud du fabricant.

Sources : LWN et l' annonce officielle de l'Open Home Foundation .

Je vais vous raconter la meilleure de la semaine… Microsoft vient quand même de passer 5 ans à gueuler sur tous les toits que BinaryFormatter est dangereux (ça servait à sérialiser/desérialiser des objets en binaire ave .NET) et qu’il faut arrêter de l’utiliser… et pourtant, on vient d’apprendre qu’ils continuent secrètement de l’utiliser dans WSUS (Windows Server Update Services), leur système censé sécuriser les mises à jour Windows.

Et bien sûr, ce qui devait arriver, arriva… Une magnifique faille critique dans WSUS vient d’être rendue publique, ce qui met en danger environ 500 000 serveurs WSUS actuellement accessibles via le net.

L’histoire commence en réalité en 2020. A cette date, Microsoft déclare officiellement que BinaryFormatter est dangereux, ce qui ne les empêche pas de se faire poutrer Exchange, Azure DevOps, SharePoint en 2021/2021 justement à cause de ça. Du coup, en 2023, ils annoncent le bannissement total de BinaryFormatter en interne. En 2024, ils effectuent même une mise au rebus complète de .NET 9.

Mais c’était sans compter sur cette jolie CVE-2025-59287 d’octobre 2025 qui exploite à son tour BinaryFormatter dans WSUS !

Un oubli ? Pas si sûr, car Microsoft l’utilisait toujours pour déchiffrer les cookies d’authentification de WSUS, rendant ainsi ce système de mises à jour censé protéger Windows vulnérable. La faille, c’est donc une désérialisation non sécurisée. Un attaquant non authentifié envoie une requête SOAP craftée au endpoint GetCookie de WSUS, avec un cookie AuthorizationCookie contenant un payload malveillant. Et de son côté le serveur déchiffre ce truc avec AES-128-CBC, puis passe le résultat directement à BinaryFormatter pour désérialisation.

Et là, bim bam boum, une magnifique exécution de code arbitraire avec privilèges SYSTEM !

Techniquement, la vulnérabilité touche donc les Windows Server 2012 à 2025 qui ont le rôle WSUS activé. Le score CVSS de cette faille est quand même de 9,8 sur 10 ce qui est fait une faille super critique.

L’exploitation de cette faille débute le 24 octobre soit juste après la publication du patch d’urgence de Microsoft sortie la veille c’est à dire le 23 octobre, pour corriger lui-même un autre patch publié juste avant le 8 octobre. Bref un vrai bordel et il faut croire que les attaquants ont attendu la sortie de ce patch d’urgence pour comprendre comment fonctionnait la faille ( l’exploit est ici ).

De son côté, Google Threat Intelligence traque l’acteur cybercriminel UNC6512 qui a ciblé plusieurs organisations et les chiffres font pas plaisir puisque ce sont environ 100 000 tentatives d’exploitation en 7 jours qui ont eu lieues, et 500 000 serveurs WSUS exposés sur le net sur les ports par défaut (8530 HTTP, 8531 HTTPS).

Microsoft a dû sentir la douille arriver puisqu’ils ont déprécié WSUS en septembre de l’année dernière au profit d’autres solutions comme Intune ou WUfb, soit un an avant la sortie de la CVE. Mais bien sûr, comme l’outil reste dans Windows Server 2025 avec ses 10 ans de support réglementaire, des centaines de milliers d’entreprises l’utilisent encore…

Le chaos était garanti ! Maintenant vous me connaissez, je n’aime pas vous laisser sans solution, alors pour les admins sys qui lisent ça, sachez qu’il existe un script PowerShell baptisé Find-WSUS qui permet de détecter tous les serveurs WSUS configurés dans vos GPO. C’est pratique pour faire l’inventaire et vérifier que tout est patché. Et notez aussi que le patch d’urgence c’est le KB5070883. Et si vous ne pouvez pas patcher immédiatement parce que la vie est injuste, désactivez quand même le rôle WSUS de vos Windows Server, ou bloquez les ports 8530/8531 directement dans votre firewall.

Le vrai problème en fait, c’est que WSUS n’est qu’un symptôme car une grosse partie du code en entreprise est constitué de dette technique. C’est à dire du code “mort” qui continue de tourner car personne n’ose y toucher. Brrr… ça fait peur c’et sûr ! Surtout que même Microsoft n’arrive pas à tuer sa propre création 5 ans après l’annonce de sa mort officielle, donc autant dire qu’on a tous un sérieux problème.

Bref, patchez au plus vite !

Source

Vous nous retrouvez dans le 70e épisode de Quantum, le podcast francophone de l’actualité quantique ! Hola ! Le premier datait d’octobre 2019 et nous continuons sans relâche de créer le lien dans l’écosystème quantique. Dans cet épisode, des événements à Nice, Milan, Amsterdam, Paris, Grenoble (Quandum Matter), Saclay, le rapport de l’Académie des Technologies […]

Nous voici dans le 67ième épisode de Quantum, le podcast de l’actualité quantique. Dans cet épisode, où je suis toujours en compagnie de Fanny Bouton d’OVHcloud, nous allons revenir sur le centenaire du quantique à l’Unesco, sur deux voyages de Fanny au Canada puis aux Émirats Arabes Unis, sur diverses annonces, dont celles de Quandela, […]

From January 20th to 23rd 2025, I participated in the QT4HEP conference at CERN and had a chance to visit several experiments from CERN. This was quite an experience that I recount here. This illustrated post contains: A description of QT4HEP’s conference highlights. A primer on high-energy particle physics. An overview or CERN activities. A […]

Apple TV+ s’apprête à nous en mettre encore plein les mirettes avec sa nouvelle série de science-fiction : Dark Matter. Basée sur le roman éponyme de Blake Crouch, cette petite pépite promet de nous faire voyager dans les tréfonds du multivers. Et si j’en crois la bande annonce, ça va décoiffer !

Au cœur de l’intrigue, on retrouve Jason Dessen, un brillant physicien interprété par le talentueux Joel Edgerton, qui un soir, alors qu’il rentre tranquillement chez lui, se fait kidnapper et se retrouve projeté dans une réalité alternative complètement dingue. Le voilà plongé dans un labyrinthe de vies parallèles qu’il aurait pu mener, sauf que pour retrouver son existence d’origine et sa famille, il va devoir affronter le pire ennemi qui soit : lui-même !

Aux côtés de Joel Edgerton, on retrouve une brochette d’acteurs de haute volée comme Jennifer Connelly, oscarisée pour sa performance dans Un homme d’exception qui incarne un personnage clé dans la quête de Dessen. Le reste du casting n’est pas en reste avec Alice Braga, Jimmi Simpson, Dayo Okeniyi et le jeune prodige Oakes Fegley. Bref, du beau monde pour nous en mettre plein la vue.

Mais ce n’est pas qu’une simple série de SF avec des multivers comme on a en déjà vu plein. C’est surtout une réflexion profonde sur les choix qu’on fait dans la vie et les chemins qu’on ne prend pas. J’espère que vous méditerez là dessus, hein ^^.

Bref, rendez-vous le 8 mai 2024 sur Apple TV+ pour un double épisode qui s’annonce déjà épique. La série comptera 9 épisodes au total, diffusés chaque mercredi, de quoi nous tenir en haleine jusqu’au dénouement final le 26 juin.

Source