CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2007-21
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-021.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-021/ 1 Les incidents traités cette semaine1.1 Incidents liés à une récente vulnérabilité dans DokeosLes 23 et 24 mai 2007, des outils permettant d'exploiter une vulnérabilité non corrigée des versions 1.6.5 et 1.8.0 de Dokeos ont été publiés. Cette vulnérabilité est de type SQL injection et permet d'obtenir les droits de l'administrateur de la base de données. Un attaquant peut ainsi facilement modifier l'aspect de l'interface Dokeos, notamment en ajoutant des images et du texte. L'attaquant doit disposer d'un SESSION_ID pour réaliser son attaque. Ceci peut être facilement obtenu en créant un compte utilisateur. Le CERTA recense déjà 3 attaques sur des sites Dokeos 1.6.5 survenues le 25 mai 2007. Les traces laissées dans les journaux sont assez caractéristiques : access_log-20070525.gz:IP_attaquant - - [25/May/2007:00:31:24 +0200] "GET /dokeos/claroline/tracking/courseLog.php?scormcontopen=-999) %20UNION%20SELECT%20CONCAT[...] HTTP/1.1" 200 3375 "-" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1)" Ces attaques peuvent être facilement mises en évidence à l'aide de commandes telles que : grep "=-999" access_log Dans les cas traités par le CERTA, l'attaquant avait recherché, à l'aide du moteur Google, les sites utilisant Dokeos en version 1.6.5. Il est donc fortement conseillé aux administrateurs d'effectuer ce type de recherche (sur les versions 1.6.5 et 1.8.0) sur les réseaux qui sont sous leur responsabilité. En l'absence de correctif pour cette vulnérabilité, le CERTA recommande de désactiver les pages Dokeos. 1.2 La navigation et la confianceCette semaine, le CERTA a traité un incident qui montre l'intérêt de suivre les indications relatées dans ses différentes publications. En effet, l'analyse d'une machine a permis de mettre en évidence son infection par un enregistreur de frappes clavier (keylogger, cf. CERTA-2006-INF-002). Le propriétaire de la machine a enchainé plusieurs erreurs issues d'un manque de précaution. Tout d'abord, il est allé consulter un site n'offrant pas toutes les garanties de confiance, tout en ayant autorisé l'interprétation de javascript. Malheureusement, ce site contenant un script hostile qui, une fois exécuté, cherche et installe un logiciel malveillant contenant un cheval de troie et un enregistreur de frappes du clavier. Cet utilisateur ne disposant pas de logiciel antivirus, l'installation du code malveillant n'a pas rencontré de problème. L'effet néfaste d'un tel logiciel est qu'il est spécialement et exclusivement conçu pour enregistrer tout ce qui se fait sur un ordinateur, et transmettre ces informations à une personne tiers qui en fera par la suite usage suivant leur nature :
Un tel incident aurait pu être évité en respectant des règles simples de comportement vis-à-vis de l'outil informatique :
2 Quelques remarques pour les technologies sans-fil2.1 Les pilotes de cartes sans-filLe CERTA a publié cette semaine l'avis CERTA-2007-AVI-223, concernant plusieurs vulnérabilités des pilotes Linux MadWifi. Certaines de ces vulnérabilités sont assez triviales à exploiter, car elles se limitent à envoyer un simple paquet « dans les airs ». Lorsque la trame est reçue par l'interface vulnérable, le passage des données au niveau des pilotes compromet la machine, avec les droits du pilote, i.e. ceux du système. Dans un autre cas, l'exploitation de la vulnérabilité a pour conséquence de rendre indisponible la connexion sans-fil jusqu'au redémarrage du service, voire du système. Le CERTA a mentionné dans quelques bulletins d'actualité fin 2006 d'autres vulnérabilités impliquant des pilotes différents. Dans tous les cas, les remarques suivantes restent valables :
Les motivations peuvent également être très variées :
Quand plusieurs solutions reposent sur une telle technologie, il est important qu'elles n'en oublient pas les caractéristiques et les limites. Le sans-fil offre un accès difficilement maîtrisable à des interfaces. Cette problématique reste valable pour d'autres technologies comme le Bluetooth. 2.2 Les chevaux de Troie sur appareil mobileUn éditeur d'antivirus a publié un article portant sur un nouveau code malveillant destiné au système d'exploitation Symbian. Généralement, ce système d'exploitation est utilisé sur certains téléphones portables. Les codes malveillants affectant ce système d'exploitation tentent en général de se propager depuis l'équipement mobile au moyen de ses interfaces de communication, notamment via Bluetooth, ce qui limite la propagation de ce type de code malveillant. Ce dernier code malveillant est rendu disponible sur l'Internet par ses créateurs afin d'augmenter sa propagation (« Cheval de Troie »). Il existe deux manières principales d'analyser un équipement mobile :
Il faut cependant considérer que la propagation de tels codes est souvent limitée, et que plusieurs variantes peuvent être méconnues des solutions antivirales basées sur des signatures. Par ailleurs, nettoyer le système mobile après l'infection n'est pas une opération toujours aisée. Ces solutions sont relativement inefficaces. Actuellement, les meilleures pratiques recommandent de stocker peu d'informations sensibles sur un téléphone portable. 3 Les outils de travail à distancePlusieurs articles sont apparus ces dernières semaines, vantant les mérites de nouvelles solutions offertes pour travailler à distance. Celles-ci fonctionnent sur le principe du « partage de contenu sur l'Internet ». Elles se présentent par exemple sous la forme suivante : chaque utilisateur d'un même groupe partage un espace sur un site Internet. Ce site héberge leur informations personnelles, et notamment le suivi des modifications de projets (semblables aux solutions cvs - Concurrent Versions System) , leurs messages électroniques, leurs emplois du temps, etc. L'espace offert peut être important (plus de 50GB), et une conservation des interventions de chaque participant est activée. Pour plaire au plus grand nombre, les utilisateurs sont également accueillis par une page pouvant intégrer les divers logos et signes distinctifs du groupe ou de la société qui décide de l'utiliser. Sur leurs postes clients, ils peuvent également installer un logiciel, qui les prévient régulièrement des mises à jour. Cependant, les articles oublient souvent de mentionner quelques problèmes de sécurité, qu'il est important de prendre en compte :
L'objectif n'est pas ici de dénigrer de telles solutions, mais d'insister sur le fait que des problèmes de sécurité peuvent apparaître avec leurs utilisations. L'utilisateur doit donc rester vigilant, malgré les éloges publiées dans certains magazines. Le CERTA recommande également aux administrateurs de sensibiliser les utilisateurs à ces problématiques et vérifier régulièrement dans leurs journaux que des connexions depuis leur réseau vers de tels sites de partage de travail n'apparaissent pas. 4 Publications de Microsoft : MOICEMicrosoft a publié cette semaine deux mises à jour qui sont de simples corrections de bogues et non des correctifs de sécurité. La première concerne une correction dans le système d'analyse des mises à jour déjà présente sur le système qui pouvait dans certaines conditions cesser de répondre. La seconde concerne l'installation d'un outil permettant de convertir des documents Microsoft Office 2007 avec la suite Office 2003 de façon sécurisée. Ainsi, selon Microsoft, ce système nommé MOICE (Microsoft Office Isolated Conversion Environment) permet d'effectuer la conversion dans un contexte limité réduisant ainsi les possibilités qu'un éventuel document construit d'une façon particulière exécute du code arbitraire. 5 Rappels sur la vulnérabilité ANILa vulnérabilité ANI, qui a fait l'objet de l'alerte CERTA-2007-ALE-008, est corrigée depuis le 03 avril 2007. Pour rappel, elle permet l'exécution de code arbitraire à distance au moyen d'un fichier de données animées spécialement construit. Ceci ne nécessite aucune interaction de la part de l'utilisateur car les navigateurs interprètent directement ces types de fichiers. Du code d'exploitation circule massivement sur l'Internet, profitant de la vulnérabilité pour installer des chevaux de Troie (par exemple sous la forme de keyloggers). Même si le correctif est disponible, il faut savoir que tout nouvel ordinateur, notamment sous Windows Vista, est vulnérable lors de son premier démarrage. Il est également vulnérable aux autres failles dernièrement corrigées par Microsoft et donc publiques. Ceci est d'autant vrai que les antivirus pouvant être inclus avec la solution commerciale ne sont également pas à jour avant la première connexion. Il faut donc faire très attention à effectuer les mises à jour du système d'exploitation dès la première utilisation de l'ordinateur et sa connexion à l'Internet. Parmi les actions dangereuses, il y a :
5.0.1 Liens utiles
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
uvre, et se limitent souvent à lancer une
unique commande. Les détails intrinsèques de la
vulnérabilité n'ont pas besoin d'être
assimilés pour la réussite de l'exploitation
;
uvre pour protéger
la confidentialité et l'intégrité des
données.