CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2007-35
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-035.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-035/ 1 Les installations de système clés-en-main1.1 Les cédéroms d'installation clés-en-mainLe CERTA a traité cette semaine la compromission d'un
serveur Web. Ce dernier a été utilisé pour
installer plusieurs sites factices (de filoutage). L'analyse a
permis d'identifier des causes à ces intrusions et
notamment la mise en Les services inclus peuvent être :
Le CERTA constate que l'installation par défaut d'une telle distribution présente les faiblesses suivantes :
Que faut-il donc retenir d'un tel incident ? L'objectif n'est évidemment pas de dénigrer de telles distributions, obtenues par un effort collectif afin de soutenir les personnes ayant peu d'expérience avec Linux. Malgré tout, de telles distributions :
Il est donc très dangereux d'exposer de telles machines au monde Internet. Leur utilisation doit se borner aux environnements contrôlés ou confinés. Le CERTA recommande ainsi d'éviter, pour ceux qui seraient tentés, d'utiliser dans un environnement de production de telles solutions, et, pour ceux qui le déploient déjà, de réfléchir à une solution plus sûre. Les responsables de sécurité doivent également s'assurer que de telles distributions n'apparaissent pas dans leur réseau, car il s'agirait de points faibles potentiels. 1.2 Les cédéroms de démarrageL'incident précédent soulève un problème plus important : celui des cédéroms de démarrage. Il existe un large choix de cédéroms téléchargeables sur l'Internet, en fonction des besoins : il peut s'agir d'une distribution destinée à fournir un environnement de bureau Linux complet, à faire des tests d'audit ou à installer un routeur ou un pare-feu. Les arguments intéressants qui conduisent à utiliser de telles solutions sont les suivants :
Il faut néanmoins garder à l'esprit que ces solutions posent le même problème que le cas précédemment cité : quid des mises à jour ? Ces distributions sont renouvelées peu fréquemment (de l'ordre de plusieurs mois) et peuvent souffrir de quelques vulnérabilités. Les configurations par défaut ne sont également pas toujours parfaites. Les données personnelles ajoutées peuvent donc courir un risque. Si le système est compromis, il peut donner accès à d'autres périphériques (disques durs, supports USB, etc.). Le CERTA ne dénigre pas de telles solutions, qui présentent des avantages certains, mais insiste sur le fait qu'elles introduisent également quelques problèmes de sécurité à considérer. 2 La défiguration, effet visible pouvant révéler des incidents plus gravesLe CERTA a traité cette semaine un autre cas de défiguration d'un serveur Web. L'analyse des journaux de celui-ci a mis en évidence l'exploitation d'une vulnérabilité affectant le module xfsection de Xoops. Les journaux ont également montré que ce module faisait régulièrement l'objet d'attaques depuis mars 2007. La conséquence de ces autres attaques n'a pas été une défiguration visible, mais l'installation de nombreux outils malveillants. Parmi les outils installés, on retrouve :
Pour fonctionner, ces outils ont besoin de pouvoir effectuer une connexion vers l'Internet. Il est donc recommandé d'interdire aux serveurs Web d'effectuer des connexions sortantes. Cette mesure aura pour effet de rendre inopérante la plupart des attaques de type php include. 3 Des modifications de contenus de pages Web3.1 IntroductionLes défigurations sont les manifestations les plus visibles de modifications de contenus de pages Web. Cependant, les mois précédents ont montré que d'autres modifications étaient possibles, et non visibles directement. Parmi celles-ci, nous avons mentionné dans nos précédentes publications :
Dans cet article, il s'agit d'un autre élément : les données de style, ou CSS (pour Cascading Style Sheets). Elles servent à définir la présentation des documents HTML, et couvrent notamment les polices, les couleurs, les marges, les lignes, les images en arrière-plan, les différents positionnements, etc. Différentes utilisations sont possibles. Les données peuvent être insérées dans une balise : <_body style="background-color: #FF0000;"> Ou insérées entre des balises particulières :
<_style type="text/css">
body {background-color: #FF0000;"}
</_style>
Voir directement insérées dans un fichier dédié reprenant les lignes précédentes : <_link rel="stylesheet" type="text/css" href="style.css" /> Les trois méthodes permettent d'obtenir un fond rouge pour les élements corps de la page. 3.2 La vulnérabilitéDes preuves de faisabilité ont été récemment publiées, et montrent qu'il est possible de balayer certaines plages d'adresses IP locales, lorsque le navigateur interprète une page Web ayant des données de style particulières. Le fonctionnement global est le suivant : un ensemble de styles est défini (style1, style2, style3, etc.), et chacun est associé à une adresse IP à scanner. Ensuite, les styles sont appelés successivement par la page HTML pour déterminer les adresses réactives. Cette technique peut être utilisée pour différents motifs, comme déterminer l'espace d'adressage utilisé, l'existence de passerelles, ou celles d' interfaces de modems / routeurs par exemple. Cette modification de style peut être visible soit directement dans le code de la page, soit dans le fichier .css associé. Dans le cas du code publié récemment, une succession de lignes est visible, avec des contenus de type :
a[href="http://W.X.Y.Z"], où W.X.Y.Z est une adresse IP
Une simple page PHP avec une variable de valeur W.X.Y.Z permet
ensuite à la personne distante de
récupérer l'information.
Cette technique ne nécessite pas forcément de Javascript, mais comme dans les insertions malveillantes précédentes, il peut être employé pour dissimuler le code. La personne malveillante peut utiliser son propre serveur Web hébergeant un tel site, mais elle a tout intérêt à l'ajouter sur un site plus « populaire » et « de confiance », afin de collecter indirectement les informations des postes des personnes navigantes. Il est donc très important, compte-tenu de ces méthodes, de contrôler préventivement l'intégrité de l'ensemble des fichiers et données du site Web. C'est l'une des seules méthodes pour s'apercevoir qu'un tel code malveillant est présent sur l'une des pages du site administré. 4 Les paramètres d'installation par défaut oubliés4.1 Le problèmeCette semaine le CERTA a rencontré un site Internet compromis dont tous les composants semblaient à jour. Ce site, dynamique, respectait des préconisations simples :
L'analyse de la compromission a montré que ce serveur dédié utilisait une application accessible depuis l'Internet dont l'installation proposait un mot de passe par défaut. Ce mot de passe n'ayant jamais été changé, certains individus malintentionnés ont pu se connecter sur la machine et réaliser des attaques par rebond. Au-delà des actions réalisées par les attaquants, il est dommageable de constater que des précautions basiques n'ont pas été respectées sur ce serveur (alors qu'elles l'ont été sur le site Internet qu'il contenait) :
4.2 Documentation associée
5 Nouveaux correctifs pour Windows Vista5.1 Les correctifsLe 28 août 2007, soit en dehors des dates usuelles de publications de mises à jour (deuxième mardi de chaque mois), Microsoft a rendu disponible via des mises à jour automatiques deux correctifs pour Windows Vista qui avaient été publiés le 7 août 2007 ainsi que deux supplémentaires :
La liste complète des correctifs est fournie à la fin de cet article. D'autres mises à jour ont également été publiées sur le site de Microsoft (en téléchargement manuel). Elles concernent Windows XP et Vista en versions 32 et 64 bits et corrigent des problèmes plus marginaux. 5.2 Problèmes concernant la validation WGALa validation WGA (Windows Genuine Advantage) permet à Microsoft de s'assurer que la copie de l'utilisateur est bien originale. Dans la nuit du vendredi 24 août au samedi 25 août 2007, de nombreux utilisateurs n'ont toutefois pu valider l'authenticité de leur Windows Vista. Par conséquent, certaines fonctionnalités de Windows n'ont pu être disponibles pour ces personnes, notamment : Windows Aero, Readyboost, fonctionnement de Windows Defender en mode dégradé, téléchargement limité aux mises à jour de sécurité critiques et affichage d'un message persistant. Le problème a été résolu par Microsoft. Il était dû à une mauvaise manipulation lors de la mise à jour des serveurs de validation qui ont ainsi, selon Microsoft, décliné les demandes de validation. Les utilisateurs ayant rencontré ce problème peuvent maintenant valider leur exemplaire correctement. 5.3 Références
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
uvre d'applications Web
dont les versions ne sont plus du tout d'actualité. On
peut citer par exemple des composants Joomla! comme
com_remository, ou extcalendar. Cependant, le
problème ne se limite pas à ces quelques
composants. En effet, le serveur a été
installé à partir d'une distribution