ServiceNow - CVE-2026-0542
Date de publication :
ServiceNow est une plateforme ITSM/ITOM/ESM largement utilisée en entreprise ; son AI Platform fournit des fonctionnalités d’IA/exécution dans un environnement de sandbox.
Une vulnérabilité dans la ServiceNow AI Platform affecte le mécanisme d’isolation et de compartimentation de la ServiceNow Sandbox. Elle permet à un attaquant non authentifié, via un accès réseau distant, d’obtenir une exécution de code arbitraire au sein de l’environnement sandboxé du service.
Le défaut repose sur une isolation insuffisante entre le moteur d’exécution IA et son environnement de confinement, ce qui autorise, dans certaines circonstances d’exposition, le contournement des mécanismes de sandbox et l’exécution de code sans authentification ni interaction utilisateur.
L’exploitation peut entraîner une compromission des traitements IA, une manipulation des workflows, ainsi qu’un impact sur la confidentialité, l’intégrité et la disponibilité de l’instance concernée.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-653 : Improper Isolation or Compartmentalization
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Zurich versions antérieures à Patch 4 Hotfix 3b
• Zurich versions antérieures à Patch 5
• Yokohama versions antérieures à Patch 10 Hotfix 1b
• Yokohama versions antérieures à Patch 12
• Xanadu versions antérieures à Patch 11 Hotfix 1a
• Australia versions antérieures au correctif prévu Q2 2026
Solutions ou recommandations
• Zurich Patch 5 et supérieures
• Yokohama Patch 10 Hotfix 1b et supérieures
• Yokohama Patch 12 et supérieures
• Xanadu Patch 11 Hotfix 1a et supérieures
• Australia version corrigée disponible Q2 2026 et supérieures