Ostorlab Team

Sécurité

Cet article présente une analyse approfondie et concrète, ainsi que l'exploitation en conditions réelles, d'un compte de service GCP codé en dur avec un accès Pub/Sub surdimensionné, découvert dans une application mobile HackerOne. Il détaille comment le moteur de pentest par IA d'Ostorlab a automatisé tout le cycle, de l'authentification et de l'énumération des permissions jusqu'à l'injection et l'interception de messages de bout en bout, ce qui a permis une remédiation en quatre jours.

Sécurité

Cette analyse technique révèle comment des chaînes d'attaque sophistiquées — combinant path traversal, manipulation de liens symboliques et particularités du SDK Android — peuvent percer les défenses de Signal Android pour extraire des fichiers internes sensibles, malgré un chiffrement réputé resté intact. Signal a corrigé ces vulnérabilités en quelques jours, mais ces découvertes offrent des leçons essentielles sur la façon dont des bugs apparemment mineurs peuvent être enchaînés en exploits puissants, et sur la nécessité de plusieurs couches de défense même avec la meilleure architecture de sécurité

Sécurité

Cet article présente une analyse approfondie et pratique, ainsi qu'une preuve de concept, de l'exploitation d'une vulnérabilité XXE hors bande (OOB) CVE-2021-29620 dans Report Portal. Il détaille comment le moteur de pentest piloté par l'IA d'Ostorlab a servi à automatiser tout le cycle.

Produit

L'AI Monkey Tester d'Ostorlab transforme le test de sécurité des applications mobiles : à partir de prompts en langage naturel et d'IA générative, il génère automatiquement des scénarios de test intelligents et adaptés au contexte, avec jusqu'à 10 fois plus de couverture applicative que les approches traditionnelles à base de règles.

Sécurité

Cet article présente une analyse approfondie et une preuve de concept pratique pour l'exploitation de la vulnérabilité XSS stockée CVE-2025-52559 dans Zulip. Il détaille comment le moteur de pentest piloté par IA d'Ostorlab a servi à automatiser le cycle complet.

Produit

Cette version apporte des améliorations majeures à notre moteur d'exploration d'interface propulsé par l'IA, pour un scan dynamique plus intelligent et plus adaptatif sur les applications modernes. Nous avons remanié notre scanner SSL pour détecter plus de 15 vulnérabilités SSL/TLS critiques avec une meilleure précision, et reconstruit le moteur de taint analysis pour une détection des vulnérabilités plus approfondie et plus fiable. La version étend aussi la couverture de la détection des secrets, des mauvaises configurations mobiles et des CVE récents. Sur l'ensemble de la plateforme, les performances ont été affinées pour plus de vitesse, de stabilité et de précision.

Produit

La mise à jour de mai 2025 d'Ostorlab apporte des capacités complètes d'analyse de la confidentialité, avec 21 nouvelles catégories de collecte de données et des outils de vérification améliorés. Cette version introduit des profils de scan Attack Surface spécialisés pour des évaluations de sécurité optimisées, ajoute l'intégration du code source GitHub pour un mappage précis des vulnérabilités et met en place une limitation du débit en QPS pour des scans maîtrisés. Parmi les autres améliorations : des contrôles par expression régulière des URL pour les scans mobiles, une intégration Jira simplifiée et des capacités d'empreinte étendues pour une détection plus précise.

Sécurité

Cette recherche présente une approche duale inédite qui associe la recherche de correspondances par signatures (DalvikFLIRT) et la transformation de code par LLM pour contourner l'obfuscation sophistiquée des applications Android, et permet l'analyse de sécurité automatisée d'un code jusque-là impénétrable.

Produit

Cette version introduit la prise en charge du standard CNIL, l'export SARIF et de meilleures informations sur les vulnérabilités, avec leurs emplacements et une recherche avancée. Copilot gagne en puissance, les performances s'améliorent et les workflows liés aux actifs et à la remédiation sont plus fluides.

Produit

La mise à jour de février introduit Ticket Aggregation V2 et Ostorlab Copilot, ainsi que des améliorations des capacités de reporting et des mécanismes de détection. Ces évolutions améliorent la gestion des vulnérabilités, l'expérience utilisateur et l'analyse de sécurité sur l'ensemble de la plateforme.