CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2006-48
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-048.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-048/ 1 Activité en cours1.1 DéfigurationCette semaine, le CERTA a traité un cas de défiguration faisant suite à l'exploitation de droits permissifs sur la requête PUT. Les auteurs de ces défigurations recherchent souvent les extensions WebDAV en essayant quelques requêtes telles que PROPFIND sur les serveurs. Microsoft donne une méthode pour désactiver WebDAV : http://support.microsoft.com/kb/241520/ Sous IIS, il existe également un outil fourni par Microsoft permettant de gérer des droits sur les méthodes. Cet outil est disponible à l'adresse : http://www.microsoft.com/technet/security/tools/locktool.mspx 1.2 Les outils de découverte topologique du réseauLe CERTA a traité cette semaine un incident, et a trouvé sur la machine analysée un outil de découverte de réseau. De telles applications se proposent de découvrir automatiquement la topologie du réseau, en balayant les plages adresses voisines, ainsi qu'en interrogeant certains services. Ces outils peuvent être installés aussi bien par l'administrateur que par un intrus cherchant à récupérer de l'information concernant le réseau de la machine qu'il vient de compromettre. Ils permettent d'obtenir des informations délicates, qui doivent rester confidentielles. L'utilisation de ces outils doit susciter plusieurs questions :
De manière générale, il est toujours regrettable que des outils de sécurité augmentent les risques. Il vaut mieux éviter de tester ces derniers à un moment critique (incident). Dans le doute, prenez contact avec le CERTA qui vous conseillera en cas d'incident. 2 Interface Google SearchLe CERTA informe ses correspondants qu'une vulnérabilité de type « cross site scripting », est apparue sur les sites web utilisant l'interface "Google Search Appliance". Cette vulnérabilité permettrait aussi d'injecter des données sur le site vulnérable. Le risque est limité dans la mesure où il est nécessaire de saisir une requête spéciale, encodée en UTF-7, dans le moteur de recherche du site vulnérable. Ce standard n'est pas très commun, mais peut être accepté par défaut dans certaines applications comme les serveurs Web. Cette attaque permet, sous certaines conditions, de contourner les filtres mis en place pour valider les requêtes adressées au moteur de recherche. Cette vulnérabilité, largement documentée sur le Web, peut être corrigée en effectuant un contrôle sémantique des requêtes, et en vérifiant que l'encodage UTF-7 ne soit pas accepté par le serveur Web. 3 Gestionnaire de mots de passe dans un navigateurUne vulnérabilité de Firefox a été dévoilée le 21 novembre 2006. Nous l'avions déjà évoqué dans le bulletin d'actualité CERTA-2006-ACT-047. Elle repose sur une vérification insuffisante de l'adresse (URL) d'un formulaire d'authentification qui demande un identifiant et un mot de passe. Le site de destination de ces données confidentielles peut être autre que le site qui a présenté le formulaire. Si le gestionnaire de mot de passe est activé, alors le navigateur va remplir les champs et dévoiler ces données d'authentification à un destinataire qui n'est pas le site qui a présenté le formulaire. Cette vulnérabilité ne se limite pas à Firefox. Elle concerne également les navigateurs Internet Explorer, versions 6 et 7, et Safari. Recommandations :Les bonnes pratiques consistent à ne pas utiliser les gestionnaires de mots de passe des navigateurs. Les utilisateurs qui ont déjà enregistré des mots de passe dans leur navigateur doivent, d'une part, désactiver le gestionnaire de mot de passe et, d'autre part, effacer les mots de passe déjà enregistrés. Les gestionnaire de sites web, en particulier les sites sur lesquels les internautes peuvent déposer des contributions, doivent vérifier qu'aucun attaquant ne va utiliser cette fonction de dépôt pour inclure du code HTML piégeant le site et permettant d'explioiter la vulnérabilité des navigateurs. 4 Joomla!Suite au bulletin d'actualité CERTA-2006-ACT-047, le CERTA a eu plusieurs remontées d'informations concernant des intrusions dans des serveurs Joomla! par l'exploitation d'une faille de ext_calendar. Ces remontées nous ont permis d'établir que les serveurs ainsi compromis étaient intensivement utilisés (au point d'être indisponibles) pour réaliser des dénis de service. Ces intrusions se sont manifestées par des connexions aux serveurs suivants :
Il est conseillé de vérifier que tout trafic à destination de ces serveurs est légitime et d'en informer le CERTA. 5 Rappel des avis et mises à jour émisDurant la période du 24 au 30 novembre 2006, le CERTA a émis les avis suivants :
Gestion détaillée du document
CERTA 2012-01-04 |
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
