CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2006-28
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-028.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-028/ 1 Problèmes liés à extCalendarPlusieurs défigurations ont été relevées cette semaine, certaines impliquant des sites institutionnels ou académiques. Le traitement de ces incidents, en collaboration avec le CERT Renater, a permis d'identifier dans les journaux la cause de celles-ci. Il s'agit d'une vulnérabilité affectant le produit extCalendar. Ce composant permet de faire apparaître un calendrier. Il s'interface avec les produits Mambo et Joomla!, très souvent utilisés pour développer des sites Internet. L'attaque permet d'acquérir les droits du serveur web et de modifier toute page du serveur. La prise de contrôle de la machine est possible et a été constatée dans les incidents traités. La vulnérabilité n'étant pas corrigée, le CERTA a émis une alerte (CERTA-2006-ALE-008) en indiquant un contournement provisoire. Le CERTA appelle l'attention des responsables sécurité et des administrateurs sur les risques d'attaques via cette vulnérabilité compte tenu du déploiement massif de ce composant. Il est par ailleurs vivement conseillé de n'installer que les modules applicatifs nécessaires au bon fonctionnement du site. 2 Site Web et redirection d'URLLe traitement d'un incident cette semaine conduit le CERTA a rappelé quelques principes concernant les redirections d'URL (ou adresses réticulaires). Au niveau applicatif : Quand une adresse appelle un script qui permet
d'insérer un objet référencé sous
forme d'une seconde adresse, il est important de
vérifier le format de celle-ci. Par exemple,
considérons l'adresse de la forme : http://www.A.B/index.php?AfficheObjet
insert=http://adresse_Objet.C.D/etc.. Il est important de vérifier que le domaine C.D est bien celui de la redirection voulue. Dans le cas contraire, le site peut fonctionner comme un outil de redirection vers d'autres sites. Rien n'empêche alors une personne malveillante d'envoyer un courriel contenant la nouvelle adresse, pour rediriger le lecteur vers un site compromis via le site légitime. Au niveau du pare-feu : Le serveur Web n'a souvent aucune raison d'initier des connexions HTTP ou FTP vers des machines extérieures, ou alors il s'agit de sites clairement identifiés. Ces connexions doivent donc être correctement bloquées au niveau du pare-feu séparant le site web du monde extérieur. Cette opération protège également du problème de redirection mentionné ci-dessus. 3 Recommandations pour l'étéLe CERTA souhaite aux lecteurs du bulletin d'actualité d'excellentes vacances d'été. Nous rappelons à cet égard qu'il est important d'identifier au sein de l'administration des systèmes d'information une personne suppléante qui pourra s'occuper des problèmes de sécurité pendant l'été. 4 Rappel des avis et mises à jour émisDurant la période du 07 au 12 juillet 2006, le CERTA a émis les avis suivants :
Gestion détaillée du document
CERTA 2012-01-04 |
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
