S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 30 juin 2006 No CERTA-2006-ACT-026

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2006-26

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-026.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-026/

1 Réutilisation d'identifiants

Dans le cadre de l'analyse d'un incident, le CERTA a mis en évidence un vol d'identifiants de connexion à une base de données MySQL en utilisant une ancienne vulnérabilité de phpBB. Ces identifiants ont ensuite été rejoués par l'attaquant pour se connecter au service ftp de la même machine.

Recommandation :

Il est suggéré d'utiliser des mots de passe différents pour chaque service. Il ne faut pas oublier que certains services stockent les identifiants de connexion sans chiffrement dans des fichiers.

2 Mise à jour de l'avis MS06-025

Microsoft a mis à jour le correctif indiqué dans l'avis MS06-025. Celui-ci posait quelques problèmes pour les utilisateurs connectés à l'Internet avec un modem classique (RTC).

Le CERTA n'a pas fait de mise à jour de l'avis CERTA-2006-AVI-244 puisque les informations qui y sont contenues ainsi que les références restent inchangées.

A noter qu'il existe déjà des outils exploitant automatiquement cette vulnérabilité. Les systèmes sous Windows 2000 et Windows XP Service Pack 1 sont plus exposés car l'exploitation de la vulnérabilité peut se faire sans authentification préalable (contrairement aux systèmes sous Windows XP Service Pack 2 et sous Windows 2003 pour lesquels une authentification est nécessaire).

3 Rappel des avis et mises à jour émis

Durant la période du 23 au 29 juin 2006, le CERTA a émis les avis suivants :

• CERTA-2006-AVI-253 : Multiples vulnérabilités dans MAILsweeper de Clearswift
• CERTA-2006-AVI-254 : Vulnérabilité dans Webmin
• CERTA-2006-AVI-255 : Vulnérabilités dans Real Helix RTSP
• CERTA-2006-AVI-256 : Vulnérabilité du navigateur Opera
• CERTA-2006-AVI-257 : Vulnérabilité dans FortiGate
• CERTA-2006-AVI-258 : Multiples vulnérabilités dans Claroline
• CERTA-2006-AVI-259 : Vulnérabilité dans WebCalendar
• CERTA-2006-AVI-260 : Vulnérabilité de Lotus Domino
• CERTA-2006-AVI-261 : Multiples vulnérabilités dans les produits F-Secure
• CERTA-2006-AVI-262 : Vulnérabilités de Apple MacOS X
• CERTA-2006-AVI-263 : Vulnérabilités dans Horde Application Framework 3
• CERTA-2006-AVI-264 : Vulnérabilités dans plusieurs produits sans fil de CISCO
• CERTA-2006-AVI-265 : Vulnérabilité dans Mysql
• CERTA-2006-AVI-266 : Vulnérabilité dans divers produits Computer Associates
• CERTA-2006-AVI-267 : Vulnérabilité dans GnuPG
• CERTA-2006-AVI-268 : Vulnérabilité dans Mutt
• CERTA-2006-AVI-269 : Vulnérabilité de aRts
• CERTA-2006-AVI-270 : Vulnérabilité dans courier

Pendant cette même période, les mises à jour suivantes ont été publiées :

• CERTA-2006-AVI-067-004 : Vulnérabilité sur OpenSSH

  (ajout de la référence au bulletin de sécurité IBM)

• CERTA-2006-AVI-124-005 : Vulnérabilité de Sendmail

  (ajout de la référence au bulletin de sécurité IBM)

• CERTA-2006-AVI-246-001 : vulnérabilité du serveur Sendmail

  (ajout du bulletin de sécurité Fortinet)

• CERTA-2006-AVI-146-001 : Vulnérabilité dans Mailman

  (ajout référence CVE, bulletins de sécurité Mandriva et RedHat)

• CERTA-2006-AVI-234-001 : Vulnérabilités dans SpamAssassin

  (ajout des références aux bulletins de sécurité Debian, RedHat, Gentoo et Mandriva)

• CERTA-2006-AVI-236-001 : Vulnérabilités dans LibTIFF

  (ajout des références aux bulletins de sécurité Debian et Mandriva)

• CERTA-2006-AVI-182-004 : Mutliples vulnérabilités sur MySQL

  (ajout de la référence au bulletin de sécurité SUSE)

Gestion détaillée du document

30 juin 2006

version initiale.