CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2006-43
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-043.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-043/ 1 Activité en coursLe CERTA a été informé de nombreuses tentatives d'attaques en « force brute » sur des serveurs FTP. Le principe est le même que pour SSH, il s'agit de tester de nombreuses combinaisons d'identifiants et de mots de passe, jusqu'à obtention d'un compte. La récupération d'un tel compte permet d'utiliser le serveur comme zone de stockage de fichiers (warez). Si la machine attaquée fait également office de serveur HTTP, il est possible pour les intrus d'utiliser le compte FTP pour mettre en place des sites de filoutage (phishing). Recommandations :Il est recommandé aux administrateurs de vérifier la robustesse des mots de passe utilisés sur leurs machines et de consulter les journaux afin de s'assurer qu'aucune connexion douteuse n'a été effectuée. 2 De nouvelles versions de navigateurs2.1 Firefox 2.0Le projet Mozilla a publié le 24 octobre 2006 la version 2 du Navigateur Internet Firefox version 2. Or, la dernière pré-version de Firefox 2 à savoir la « Release Candidate 3 » comportait probablement plusieurs vulnérabilités. En l'absence d'information sur les corrections apportées dans la version 2 définitive et dans la mesure où la branche 1.5 de Firefox est encore maintenue, le CERTA recommande de ne pas déployer pour le moment Firefox 2 en attendant de plus amples précisions.2.2 Internet Explorer 7Microsoft a sorti il y a quelques jours une version définitive d'Internet Explorer 7 (IE7). Celle-ci n'est pas encore disponible en français, mais plusieurs sites Web se sont faits écho de cette sortie. Le CERTA recommande cependant de patienter encore, avant d'installer et d'utiliser ce logiciel. A ce jour, deux vulnérabilités non corrigées distinctes ont été identifiées dans ce dernier :
Après considération de ces deux vulnérabilités moins d'une semaine après la sortie d'IE7, il est préférable de patienter avant d'utiliser ce navigateur. De nouvelles versions (dont une en français) devraient apparaître dans les prochaines semaines. Documentation :
3 Adobe Flash PlayerUne vulnérabilité, non corrigée et confirmée par l'éditeur, est présente dans le visionneur Flash Player de Adobe. Cette vulnérabilité permettrait à l'attaquant de modifier à la volée l'entête des requêtes HTTP relative à l'objet Flash et ce à l'insu de l'utilisateur. En modifiant cet entête, il est possible, par exemple, d'engendrer des requêtes HTTP non-sollicitées. Seule la dernière version « Beta » (nommée beta_100406) dudit logiciel corrige le problème. En l'absence de version stable corrigée, le CERTA recommande de ne pas utiliser le visionneur Flash Player en l'état et d'attendre la mise à jour finale de l'éditeur.4 Rappel des avis et mises à jour émisDurant la période du 20 au 26 octobre 2006, le CERTA a émis les avis suivants :
Pendant cette période, les avis suivants ont été mis à jour :
Gestion détaillée du document
CERTA 2012-01-04 |
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
