CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2006-15
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-015.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-015/ 1 Attaques sur Horde Application Framework 3Le CERTA a été informé d'attaques visant une vulnérabilité du service Help Viewer de Horde Application Framework 3. Ces attaques ont commencé au début du mois d'avril et ont augmenté depuis la publication sur l'Internet d'outils permettant l'exploitation automatique de la vulnérabilité. Horde Application Framework est utilisé par de nombreuses applications, notamment par le webmail IMP. La vulnérabilité ne concerne que les versions 3 de Horde Application Framework. Elle permet d'exécuter des commandes directement sur le serveur par le biais d'adresses réticulaires URL habilement constituées. La tentative d'exploitation de cette vulnérabilité laisse des traces flagrantes dans les journaux de connexions. Recommandations :Le CERTA suggère d'appliquer le correctif pour Horde Application Framework 3 conformément à la politique de sécurité. La mise en place d'un filtrage en sortie permet, dans certains cas, de réduire la portée des attaques, notamment pour empêcher les intrus de télécharger leurs propres outils sur les serveurs compromis. Si vous constatez des tentatives d'attaque sur cet applicatif, veuillez le signaler auprès du CERTA. 2 Mise à jour d'Internet Explorer et ActiveXMicrosoft a publié le 11 avril 2006 un ensemble de mises à jour, dont le bulletin MS06-013 qui concerne le navigateur Internet Explorer. Ce dernier corrige plusieurs vulnérabilités décrites dans l'avis CERTA-2006-AVI-150. Hormis ces corrections, il s'avère que l'installation de la mise à jour modifie le comportement d'Internet Explorer lors de la visite de pages Web utilisant des contrôles ActiveX. Un contrôle ActiveX fournit un ensemble de méthodes, ou fonctions, pour manipuler les composants COM (pour Component Object Model) utilisés par plusieurs applications de Microsoft Windows. La mise à jour MS06-013 empêche l'exécution de deux contrôles ActiveX dans Internet Explorer, par défaut activés dans les versions courantes du logiciel. Ceci est possible en définissant leur bit d'arrêt (ou kill bit) respectif dans le registre de Microsoft Windows. Dans le détail, il s'agit des contrôles référencés :
Cette initiative de Microsoft est transitoire, avant une mise à jour plus en profondeur d'Internet Explorer prévue en juin 2006. Il est important de noter ici que ce changement peut engendrer des problèmes pour toute application ou page Web recourant d'une certaine manière à ces contrôles ActiveX. Certains de ces problèmes sont mentionnés par Microsoft, tels :
Des techniques pour corriger les pages Web (afin qu'elles fonctionnent correctement dans les navigateurs mis à jour) sont détaillées sur le site Web de MSDN. Enfin, il est important de noter que Microsoft fournit un correctif rétroactif, dans le cas où cette dernière engendrerait trop de problèmes. Ce correctif rétroactif est à appliquer une fois que la mise à jour est installée et que la machine a redémarrée. Références :
3 Rappel des avis et mises à jour émisDurant la période du 07 au 13 avril 2006, le CERTA a émis les avis suivants :
Pendant cette même période, les mises à jour suivantes ont été publiées :
Gestion détaillée du document
CERTA 2012-01-04 |
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
