S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 janvier 2006 No CERTA-2006-ACT-002

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2006-02

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-002.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-002/

1 Activité en cours

1.1 Incidents traités

1.1.1 Modifications de page web

Le CERTA a récemment traité deux cas de modifications de page web :

• Dans le premier cas, la faille exploitée n'est pas connue. Plusieurs pages d'accueil de sites web hébergés sur la même machine ont été modifiées, mais l'attaque ne s'est pas limitée à ces actions puisqu'un intrus a ajouté un proxy pour faire de l'irc (bouncer).
• Dans le second cas, la faille exploitée est probablement une vulnérabilité d'un forum phpBB qui n'était pas mis à jour.

1.1.2 Mise en liste noire

Un de nos correspondants nous a informés que ses serveurs de messagerie avaient été mis en liste noire (blacklist) par un organisme suite à l'infection de quelques postes par un code malveillant qui émettaient des messages non sollicités (spams). L'organisme gérant la liste noire exige qu'un montant d'au moins 50 dollars soit versé à une association caritative avant de retirer qui que ce soit de cette liste. Le CERTA traite actuellement cet incident. Si vous avez aussi été mis en liste noire, veuillez nous contacter afin que nous vous aidions à en sortir.

1.1.3 Fichier au format WMF malveillant

Un de nos correspondants nous a signalés l'infection de quelques postes sous Windows suite à l'exploitation de la vulnérabilité décrite dans l'alerte CERTA-2005-ALE-019. Il s'agit pour le moment du premier cas porté à notre connaissance. Nous rappelons que Microsoft a mis à disposition un correctif concernant cette vulnérabilité (voir avis CERTA-2006-AVI-011). Toutefois, ce correctif ne résoud pas tous les problèmes liés aux fichiers au format WMF. Il subsiste quelques vulnérabilités qui sont connues et ont été rendues publiques, mais selon Microsoft, l'impact de celles-ci se limitent à des problèmes de stabilité d'application (voir le message posté sur http://blogs.technet.com/msrc/archive/2006/01/09/417198.aspx).

1.1.4 Infections par Sober

Le CERTA a été informé de multiples infections par le ver Sober. L'activité liée à ce ver se caractérise par de nombreuses tentatives vers les sites :

• people.freenet.de
• scifi.pages.at
• free.pages.at
• home.pages.at
• home.arcor.de

Recommandation :

L'examen des journaux des éventuels proxies permet de découvrir facilement ces infections. Le but des connexions vers les sites mentionnées ci-dessus est de télécharger des exécutables. Les machines infectées peuvent donc par la suite adopter un comportement imprévisible.

2 Correctifs de Microsoft

En marge du correctif concernant les fichiers WMF, Microsoft a émis deux bulletins ce mois-ci concernant des failles critiques relatives à l'affichage des polices web et au format TNEF dans les messages. Cette dernière (avis CERTA-2006-AVI-018) peut faire l'objet d'un ver. Il est important d'appliquer ces correctifs (conformément à votre politique de sécurité).

3 Rappel des avis et mises à jour émis

Durant la période du 06 au 12 janvier 2006, le CERTA a émis les avis suivants :

• CERTA-2006-AVI-011 : Disponibilité du correctif sur la vulnérabilité Microsoft diffusée par l'alerte CERTA-2005-ALE-019
• CERTA-2006-AVI-012 : Vulnérabilité dans ClamAV
• CERTA-2006-AVI-013 : Vulnérabilité du module mod_ssl dans Apache 2
• CERTA-2006-AVI-014 : Multiples vulnérabilités dans postgreSQL
• CERTA-2006-AVI-015 : Vulnérabilité dans auth_ldap pour Apache
• CERTA-2006-AVI-016 : Vulnérabilité dans uucp et uustat sous Solaris
• CERTA-2006-AVI-017 : Vulnérabilité dans Microsoft Windows
• CERTA-2006-AVI-018 : Vulnérabilité dans Microsoft Outlook et Exchange
• CERTA-2006-AVI-019 : Vulnérabilités dans QuickTime
• CERTA-2006-AVI-020 : Vulnérabilité dans mod_auth_pgsql pour Apache
• CERTA-2006-AVI-021 : Vulnérabilité du système de filtrage ipfw de FreeBSD
• CERTA-2006-AVI-022 : Vulnérabilité de Symantec Norton Protected Recycle Bin
• CERTA-2006-AVI-023 : Vulnérabilité dans Cisco CS-MARS

Pendant cette même période, les mises à jour suivantes ont été publiées :

• CERTA-2005-AVI-483-003 : Multiples vulnérabilités dans Xpdf et les bibliothèques dérivées

  (ajout des références aux bulletins de sécurité Mandriva)

• CERTA-2006-AVI-011-001 : Disponibilité du correctif sur la vulnérabilité

  (ajout de la référence au bulletin de sécurité Avaya)

• CERTA-2005-AVI-490-002 : Vulnérabilité sur le module mod_imap d'Apache

  (ajout du bulletin de sécurité Mandriva)

• CERTA-2005-AVI-483-004 : Multiples vulnérabilités dans Xpdf et les bibliothèques dérivées

  (ajout des références aux bulletins de sécurité Debian)

• CERTA-2005-AVI-483-005 : Multiples vulnérabilités dans Xpdf et les bibliothèques dérivées

  (remplacement de l'avis Fedora FEDORA-2005-1122 par l'avis FEDORA-2005-027 du 11 janvier 2006, remplacement des avis RedHat RHSA-2005-867 et RHSA-2005-878 par respectivement les avis RHSA-2006-0163 et RHSA-2006-0177 du 11 janvier 2006 ; ajout des avis Ubuntu USN-236-1 et USN-236-2, SuSE SUSE-SA:2006:001, Mandriva MDKSA-2006:010 et MDKSA-2006:011, Debian DSA-936 et DSA-937, des références CVE CAN-2005-3624 à CAN-2005-3628 et du bulletin sécurité de Chris Evans)

• CERTA-2006-AVI-006-001 : Vulnérabilité dans cpio

  (ajout des références aux bulletins de sécurité FreeBSD et Mandriva)

Gestion détaillée du document

13 décembre 2006

version initiale.