CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2006-45
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-045.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-045/ 1 Activité en cours1.1 DéfigurationLe CERTA a traité cette semaine un cas de défiguration dans lequel les attaquants ont une nouvelle fois utilisé une faille par injection de code. Le ou les intrus ont trouvé le site par le biais d'une recherche ciblée sur un moteur de recherche. Ils ont ensuite testé le contrôle, par le site, du contenu des variables passées en paramètre. L'une, au moins, de ces variables n'était pas protégée. Ce paramètre ne devrait contenir être qu'un entier, hors dans les journaux du serveur web nous avons constaté que derrière l'entier les attaquants ont pu ajouter du code SQL qui a été interprété par le serveur. Plus concrétement, la valeur du paramètre attendue était "ID=1", mais a été remplacée par "ID=1 update TABLE set CHAMPS=***MESSAGE***;". Ils ont pu, alors, insérer leur message dans la base de données du site web. Afin d'éviter cette attaques il aurait suffit de contrôler que la valeur passée au paramètre ID était un entier compris dans des bornes raisonnables. Recommandations :Cette compromission rappelle une nouvelle fois l'importance de vérifier la valeur, le contenu et la cohérence des paramètres avant leur traitement. 1.2 Des responsabilitésLe CERTA rappelle, suite à un incident ayant été traité cette semaine, que des responsabilités particulières s'imposent quand un site Internet offre des services en ligne. De manière générale, il est important de garder à l'esprit certains articles de loi, afin d'administrer le site en conséquence. Parmi eux :
 uvre les mesures prescrites à l'article 34 de la
loi n^78-17 du 6 janvier 1978 précitée est puni
de cinq ans d'emprisonnement et de 300 000 Euros d'amende."
2 Bulletins de sécurité et Firefox 2.0Le projet Mozilla a annoncé publiquement le 24 octobre 2006 la version 2 du Navigateur Internet Firefox version 2. En l'absence d'information sur les corrections apportées dans la version 2 définitive et dans la mesure où la branche 1.5 de Firefox est encore maintenue, le CERTA avait recommandé d'attendre un peu avant de déployer la version 2. Cette semaine, Mozilla a publié trois avis de sécurité qui ont conduit à l'apparition de la version 1.5.0.8. Les avis font également mention de la version 2.0, et des corrections qui y ont été apportées. La version 2.0 de Firefox est donc maintenue, et peut a fortiori être utilisée, en remplacement de la version 1.5.0.8. Cette dernière reste cependant toujours valable et actualisée. Documentation :
3 Vulnérabilités de WindowsLe CERTA a fait mention dans le bulletin d'actualité CERTA-2006-ACT-043 de l'existence d'une vulnérabilité qui serait exploitable via le navigateur Internet Explorer 7. Il est apparu que cette vulnérabilité n'est pas directement liée à cette nouvelle version du navigateur de Microsoft, mais réside dans la gestion des redirections mhtml. Celles-ci sont effectuées au moyen de la librairie inetcomm.dll, un composant du client de messagerie Outlook. La vulnérabilité devrait être corrigée prochainement. Dans l'attente du correctif, le CERTA rappelle quelques bonnes pratiques à appliquer :
Documentation :
4 Recommandations concernant les supports de stockage USBLes périphériques USB (pour Universal Serial Bus) occupent actuellement une place prépondérante dans l'univers de l'appareillage informatique. Ils peuvent être de tout type, comme par exemple un support de données amovible (clé USB, lecteur de musique au format MP3, etc). De part leur facilité d'installation, ces périphériques s'échangent très facilement d'une machine à une autre. Cependant, cette opération présente des risques, aussi bien pour le périphérique que pour l'ordinateur d'accueil. Du fait de la simplicité et de la furtivité des attaques basées sur ces échanges, il est important de prendre des mesures préventives. Il n'est bien sûr pas question de remettre en cause l'utilité de l'USB, notamment les différents périphériques de stockage, mais certaines considérations doivent être prises avant leur utilisation, que ce soit pour l'utilisateur ou l'administrateur. Le CERTA a publié cette semaine la note d'information CERTA-2006-INF-006, présentant les risques et des recommandations à ce sujet. Documentation :
5 Rappel des avis et mises à jour émisDurant la période du 03 au 09 novembre 2006, le CERTA a émis les avis suivants :
Pendant cette période, les avis suivants ont été mis à jour :
Gestion détaillée du document
CERTA 2012-01-04 |
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
