Dossier bodysnatcher-servicenowDétournement d’agentÉtats-Unis
BodySnatcher : usurpation sans authentification via le Virtual Agent de ServiceNow (CVE-2025-12420)
AppOmni a découvert qu'un attaquant ne disposant que de l'e-mail d'un employé pouvait usurper cet utilisateur via l'API Virtual Agent de ServiceNow et piloter les agents Now Assist pour créer des comptes administrateur, en contournant MFA et SSO. Corrigé en octobre 2025.
CritiqueAttaque contre l’IAStatut: CorrigéDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 21 janv. 2026
- Lieu
- États-Unis
- Cible
- Agents IA Now Assist et API Virtual Agent de ServiceNow
- Gravité
- Critique
- Déclenché par
- AppOmni Labs
- Type d’acteur
- Chercheurs en sécurité
- Perte déclarée
- Aucune déclarée
- CVE
- CVE-2025-12420
Ce qui s’est passé
AppOmni a découvert qu'un attaquant ne disposant que de l'e-mail d'un employé pouvait usurper cet utilisateur via l'API Virtual Agent de ServiceNow et piloter les agents Now Assist pour créer des comptes administrateur, en contournant MFA et SSO. Corrigé en octobre 2025.
Impact: Prise de contrôle complète potentielle d'instances ServiceNow d'entreprise ; aucune preuve publique d'exploitation avant le correctif
Qui l’a déclenché
Acteur: AppOmni Labs
Attribution: Divulgation responsable à ServiceNow en octobre 2025 ; CVSS 9,3
Mobile: Recherche en sécurité
Comment c’est arrivé
Vecteur d’attaque: Une authentification défaillante dans l'API Virtual Agent permettait des conversations non authentifiées attribuées à un autre utilisateur, ensuite utilisées pour déclencher des flux d'agents IA privilégiés
Cause racine: L'API Virtual Agent ne vérifiait pas l'identité de l'initiateur de la conversation avant de laisser les agents IA agir avec les droits de cet utilisateur
Chronologie
- AppOmni découvre et signale BodySnatcher
- ServiceNow déploie des mises à jour de sécurité sur les instances hébergées
- Publication de la CVE-2025-12420 et du compte rendu d'AppOmni
Réponse
ServiceNow a corrigé les instances hébergées et publié des versions corrigées pour les clients auto-hébergés (KB2587329)
Statut actuel: Corrigé
Sources (nouvel onglet)
- Ampcus Cyber (AppOmni summary) ampcuscyber.com
- SecurityBrief UK securitybrief.co.uk
- TechInformed techinformed.com
Citer ce dossier
BodySnatcher : usurpation sans authentification via le Virtual Agent de ServiceNow (CVE-2025-12420). AI Threat Watch, dossier bodysnatcher-servicenow, 21 janv. 2026. https://aithreat.io/fr/cases/bodysnatcher-servicenow/
Lien permanent: https://aithreat.io/fr/cases/bodysnatcher-servicenow/