Conférences - leHACK

leHACK TRACKS

conférences TRACK Voir la piste >

27/06/2025

10:30

From HTML Injection to Full AWS Account Takeover: Discovering Critical Risks in PDF Generation

Modern web applications often provide features like PDF generation to enhance user experience, but these functionalities can inadvertently introduce critical vulnerabilities when improperly secured. During a recent penetration test, we identified a severe HTML injection vulnerability in the PDF file generation feature of two separate applications. Exploiting this weakness, we demonstrated the potential to perform Server-Side Request Forgery (SSRF) attacks, enabling access to internal files and sensitive application source code. This session provides a detailed, real-world example of how a seemingly minor vulnerability can have catastrophic consequences. It emphasizes the importance of secure development practices, robust cloud configurations, and proactive vulnerability mitigation. Attendees will walk away with practical strategies to strengthen their security posture, making this talk both educational and actionable.

Raunak Parmar

11:15

Technique de haut en bas : exposer les données cachées des systèmes RAG

Les systèmes de génération augmentée de récupération (RAG) ont révolutionné la manière dont les LLM (Large Language Models) accèdent aux connaissances « supplémentaires », alimentant ainsi de nombreux outils, des chatbots d'entreprise aux outils de recherche de pointe. Cependant, leur architecture, conçue pour intégrer des fragments de texte afin d'apporter un contexte supplémentaire aux invites, ouvre également la voie à des techniques d'exfiltration de données innovantes. Dans cette présentation intitulée « Technique ascendante et descendante : exposer les données cachées des systèmes RAG », Pedro présente une technique qu'il a découverte et qui permet aux pirates d'extraire systématiquement des informations sensibles des applications RAG par injection d'invites. Au cours de cette présentation, nous explorerons en profondeur le fonctionnement interne des systèmes RAG en analysant leur architecture, leurs intégrations, leurs bases de données vectorielles et l'anatomie des invites. Pedro démontrera, à l'aide d'exemples concrets, comment les attaquants peuvent exfiltrer des données de documents grâce à des injections d'invites soigneusement conçues. Plus important encore, la présentation fournira un ensemble complet de stratégies d'atténuation. Conçu pour les Red Teamers, les chasseurs de primes aux bugs, les développeurs, les RSSI et les passionnés de cybersécurité, cette conférence comble le fossé entre les vulnérabilités théoriques et les stratégies de défense pratiques et exploitables, fournissant aux professionnels de la sécurité les connaissances dont ils ont besoin pour protéger les applications modernes basées sur l'IA contre les menaces émergentes.

Pedro Paniago

14:00

Mettez-moi en cache si vous le pouvez, en faisant passer des charges utiles via les systèmes de mise en cache des navigateurs

Le déploiement de logiciels malveillants est une étape cruciale lors d'un exercice d'équipe rouge, car il permet aux opérateurs de l'équipe rouge, s'ils réussissent, d'accéder au réseau interne d'une cible. Pendant un temps, le moyen le plus simple de diffuser des logiciels malveillants consistait à envoyer un e-mail contenant une pièce jointe, le logiciel malveillant lui-même. Bien que cette technique fonctionne encore parfois, les équipes bleues la surveillent de plus en plus et de nombreux outils de sécurité ont été créés pour bloquer ces pièces jointes. Il était donc nécessaire de trouver d'autres moyens de diffuser des logiciels malveillants. Cette présentation présente l'un d'entre eux, le smuggling de cache, qui exploite les mécanismes de mise en cache des navigateurs pour contourner les défenses de sécurité traditionnelles et diffuser des logiciels malveillants. De plus, nous verrons comment ces mécanismes peuvent être utilisés pour faciliter la reconnaissance silencieuse des réseaux internes ainsi que la collecte d'informations, et enfin, comment vous protéger, vous et votre entreprise, contre ce type de pratiques.

Aurélien Chalot

14:45

L'informatique quantique démystifiée : guide du débutant et implications en matière de cybersécurité

Français Cette conférence permettra de comprendre les principes fondamentaux de l'informatique quantique, l'importance de la PQC, le rôle de la QKD dans les communications sécurisées et l'impact transformateur des technologies quantiques sur le paysage de la cybersécurité. Nous passerons en revue les concepts de l'informatique quantique, en fournissant une compréhension fondamentale pour les débutants et en explorant les implications pour la cybersécurité. 1. Bases de l'informatique quantique : explication des concepts clés : qubits, superposition, intrication, portes quantiques. 2. Introduction à la programmation quantique (Q#) avec des exemples simples 3. Informatique quantique et cybersécurité : - Cryptographie post-quantique (PQC) : - Distribution de clés quantiques (QKD) : 4. Attaques quantiques et implications pour la cybersécurité : Qu'est-il possible aujourd'hui et dans un avenir (proche) avec la menace posée par les ordinateurs quantiques aux normes de chiffrement actuelles ?

Robin Descamps

Robin est consultant et hacker éthique. Il dirige et exécute des tests d'intrusion, des projets de recherche en sécurité et des projets de red & purple teaming pour divers clients, afin d'identifier leurs cyber-vulnérabilités et d'en atténuer les risques. Il a contribué à l'amélioration de la sécurité de plusieurs entreprises, telles que Deutsche Telekom, BMC Software et Pydio, en découvrant et en signalant de multiples vulnérabilités zero-day. Il s'est récemment intéressé à la sécurité de l'informatique quantique et a participé à plusieurs événements connexes. Son expérience lui permet de démystifier l'informatique quantique du point de vue d'un hacker classique plutôt que d'un chercheur spécialisé.