CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2007-05
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-005.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-005/ 1 Activités en cours1.1 CactiRéactivité des attaques suite à l'apparition d'une vulnérabilité : Le 02 janvier 2007 nous avons publié un avis de sécurité (http://www.certa.ssi.gouv.fr/site/CERTA-2007-AVI-001) concernant une vulnérabilité du logiciel Cacti. Cacti est un logiciel de supervision de l'activité de l'architecture informatique. Ce logiciel était vulnérable à des attaques par injection de requêtes SQL. L'analyse des fichiers journaux d'un serveur, montre, dès le 29 décembre 2006, des tentatives de connexion à un service Cacti. A partir du 26 janvier 2007, le serveur recevait directement des tentatives d'injection de requêtes SQL, tentant d'exploiter la vulnérabilité de Cacti. Le CERTA rappelle que la surveillance des fichiers journaux doit faire partie des pratiques naturelles lors de l'exploitation des serveurs. Dès l'apparition d'une vulnérabilité, celle-ci est rapidement exploitée et intégrée dans des outils de balayage, ou scan. Les avis de sécurité du CERTA indiquent où trouver les correctifs de sécurité. Les tentatives d'exploitation de la vulnérabilité doivent être attentivement surveillées au niveau des journaux. Ceux-ci doivent alors être appliqués une fois validés. 2 La reconnaissance vocale sous Windows Vista2.1 PrésentationCette semaine, une version du système d'exploitation de Microsoft Windows, nommée Vista, est apparue dans le commerce en France. Elle offre plusieurs fonctionnalités, dont l'une faisait grand bruit médiatique, avant même sa sortie : il s'agit de la reconnaissance vocale, ou Speech Recognition. Ce service permet avec la voix et l'aide d'un microphone, de lancer des commandes, ouvrir des applications, écrire des documents, etc. Il ne nécessite pas un étalonnage très strict, ce qui présente moins de contraintes liées à l'utilisation. Le service n'est pas activé par défaut à l'installation de Windows Vista. Il le sera après sa configuration par démarrer => Tous les programmes => Accessoires => Options d'ergonomie => Reconnaissance Vocale de Windows. Une vulnérabilité a été identifiée cette semaine, associée à ce service. Il prendrait en compte le signal restitué par les haut-parleurs. Des exemples ont montré qu'il était possible, lors de la navigation sur une page Web pointant vers des fichiers contenant du son, d'exécuter des commandes sur la machine, à l'insu de l'utilisateur. Cette vulnérabilité, déjà rencontrée sous un autre système d'exploitation, permettrait à une personne malveillante d'exécuter des commandes, soit par le biais de fichiers audio diffusés (envoyés par courrier électronique, téléchargés, etc.), soit au cours de la visite de pages Web. Cette vulnérabilité n'est pas, à la date de la publication de ce bulletin, corrigée par l'éditeur Microsoft. 2.2 Recommandations du CERTALe CERTA rappelle à cet égard quelques bonnes pratiques qui restent valables :
De manière générale, il est toujours préférable, en terme de sécurité du moins, de patienter un peu avant de se lancer dans l'installation opérationnelle d'un produit « tout beau tout neuf », qu'il s'agisse d'un système d'exploitation, d'un navigateur, ou d'un autre logiciel. 3 Les systèmes d'exploitation sur appareil mobile3.1 Le problèmeIl existe de nombreux dispositifs nomades (téléphone mobile, assistant personnel numérique, etc.) qui utilisent des systèmes d'exploitation, comme par exemple Microsoft Windows Mobile, Symbian, PalmOS, Linux. Il s'agit de versions adaptées au matériel. De la même manière que leur grand frère sur PC, ces systèmes d'exploitation embarqués peuvent également souffrir de vulnérabilités. Si la procédure de mise à jour est très souvent automatique dans un cas, elle l'est beaucoup moins dans l'autre. Les éditeurs ne corrigent pas systématiquement les vulnérabilités affectant les systèmes d'exploitation pour appareil mobile ; ou sinon, suite à une mise à jour corrigeant une liste cumulée de failles, cela peut impliquer une réinstallation complète du système. Dans cette dernière situation, il se peut aussi que l'appareil perde sa guarantie, plaçant l'utilisateur dans un cruel dilemme. Dans tous les cas, la mise à jour de ces systèmes d'exploitation est un problème complexe pour l'utilisateur. A valeur d'illustration, deux vulnérabilités, affectant Microsoft Windows Mobile 5.0, Windows 2003 et Windows CE, ont été annoncées cette semaine. Elles permettraient à un utilisateur distant malintentionné de provoquer un déni de service de l'appareil. Par exemple, certaines images au format .JPEG construites de manière spéciale pourraient, par le biais de l'application Images & Vidéos, bloquer l'utilisation normale de l'appareil pendant plusieurs minutes. Ces éléments réunis font que cette catégorie d'appareil mobile, vulnérables et aux mises à jour hasardeuses ou inexistantes, présentent un risque conséquent pour les systèmes d'informations auxquels ils sont connectés, quelles qu'en soient les motivations :
Ce problème doit être pris en considération dans la politique de sécurité des systèmes d'information. 3.2 Documentation
4 Problèmes de configurationUne récente vulnérabilité dans Cisco IOS permet à un utilisateur malintentionné de provoquer un déni de service au moyen d'un paquet SIP (pour Session Initiation Protocol) malformé. Cette vulnérabilité n'affecte que les équipements qui offrent le support du protocole SIP avec une configuration par défaut. Cette vulnérabilité ne toucherait pas les périphériques dont le service a été correctement configuré. Tout service offert pas un système d'information doit avoir été configuré au préalable, ou il n'a pas raison d'être. Les configurations par défaut sont parfois beaucoup trop laxistes en matière de sécurité : on y retrouve des comptes par défaut, des mots de passe par défaut, des interface(s) et/ou port(s) d'écoute(s) par défaut, etc. De tels services ainsi configurés, souvent par facilité ou par négligeance, offrent une très bonne opportunité à un utilisateur distant malintentionné de compromettre un système d'information. 5 Month Of Apple BugsVoici pour cette semaine les vulnérabilités sur les produits Apple publiées par le projet « Month Of Apple Bugs » :
5.1 Réflexions sur la visite de sitesDe manière générale, il est à noter que la consultation de sites relevant de la mise à disposition de codes de démonstration comme le projet « MOAB » doit être à éviter. En effet, la vulnérabilité testée par le code mis à disposition peut cacher l'exploitation d'une autre faille non documentée et dont la finalité ne sera pas forcement le simple « test » de vulnérabilité. Il convient donc d'être très prudent vis-à-vis de ce type de sites. De la même façon, le site hébergeant le code de démonstration ou d'exploitation peut lui-même contenir du code malveillant. Ce cas s'est produit au cours du projet « MOAB », où une image jpeg2000 spécialement construite perturbait le navigateur Safari, à l'ouverture de la page Web. Celle-ci contenait les lignes suivantes : <_img src="bug-files/heat-up.jp2" alt="" height="1" width="1" /> <!-- Never use the macbook at bed again when browsing the MoAB ... --> 6 Rappel des avis émisDurant la période du 26 janvier au 01 février 2007, le CERTA a émis les avis suivants :
Pendant la même période, les avis suivants ont été mis à jour :
Et l'alerte suivante a été modifiée :
Gestion détaillée du document
CERTA 2012-01-04 |
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
uvre de la
fonctionnalité Bonjour de iChat
permettrait de provoquer un déni de service à
distance.