S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information
|
 |
|
Paris, le 28 décembre
2007
No CERTA-2007-ACT-052 |
Affaire suivie par :
CERTA
Objet : Bulletin d'actualité
2007-52
Le bulletin d'actualité est disponible dans son
intégralité et au format PDF à l'adresse
suivante :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-052.pdf
Un extrait du bulletin, ne reprenant que les articles de la
semaine, se trouve en HTML à l'adresse suivante :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-052/
Plusieurs vulnérabilités affectant Dokeos (versions 1.8.4 et
antérieures) ont été récemment
rendues publiques. Elles se déclinent en deux
catégories :
- des vulnérabilités de type cross-site scripting. Ces problèmes
sont généralement liés à un
mauvais filtrage des données envoyées par des
utilisateurs, par exemple dans des formulaires. Elles
affectent généralement les internautes qui
visitent le site. Leurs conséquences peuvent varier,
allant du simple affichage d'un mot de passe à des
vols de cookie. Si l'on
considère que le webmestre est susceptible de
visualiser ces pages, alors ce genre de risques est à
prendre au sérieux ;
- une vulnérabilité qui permet
l'exécution de code arbitraire à distance. Ce
problème vient du fait qu'un utilisateur
légitime (c'est-à-dire disposant d'un compte
Dokeos) du site peut installer un
fichier (upload) dans une zone
dédiée. Il est possible, par le biais d'une
double extension, de contourner certains paramétrages
de sécurité et de télécharger un
fichier contenant du code PHP (par exemple). Ce
fichier pourra ensuite être appelé (et donc
exécuté par le serveur).
Ces vulnérabilités ont été
évoquées dans l'avis CERTA-2007-AVI-564 et ont
fait l'objet d'un correctif de sécurité de la
part des développeurs de Dokeos. Elles seront également
corrigées dans la future version 1.8.5.
En guise de contournement provisoire, il est possible, pour
la vulnérabilité concernant le
téléchargement de fichiers portant une double
extension, de mettre en place un fichier .htaccess
dans le répertoire main/upload/user/, avec le
contenu suivant :
AddHandler cgi-script .php .pl .py .jsp .asp .htm
.shtml .sh .cgi .phps .bash
Options -ExecCGI
Comme chaque année à la même
période les boites à lettres sont envahies de
courriels intitulés par exemple "Happy new Year" ou "New
Year Ecard" et autres "cartes de v ux". Ces prétendus messages de v ux peuvent contenir des pièces jointes
malveillantes ou inviter les destinataires à cliquer sur
un lien pour télécharger une carte de v ux virtuelle qui tentera d'infecter l'ordinateur.
Que le réseau de machines compromises
dénommé Storm présenté dans le
bulletin CERTA-2007-ACT-034 soit ou non à l'origine de
ces messages malveillants, les bonnes pratiques pour se
protéger de ce type d'attaque restent
d'actualité:
- mettre à jour régulièrement et
systématiquement toutes les applications ;
- ne jamais répondre aux pourriels ;
- se méfier des courriels dont on ne reconnaît
ni la langue ni l'émetteur ;
- ne pas faire spontanément confiance dans le champ
émetteur d'un courriel ;
- ne jamais cliquer sur un lien inséré dans
un message sans un minimum de précaution.
Les recommandations du CERTA restent également
d'actualité :
Des codes malveillants étaient déjà
connus pour se propager sur différentes plates-formes,
comme le ver W32/Mobler qui installe SymbOS/MultiDropper.CC sur
les systèmes Windows et SymbOS/MultiDropper qui installe
W32/Mobler sur les cartes mémoires amovibles qui sont
connectées à l'ordinateur. Depuis quelques mois,
il apparaît donc des vulnérabilités qui
offrent la possibilité d'être utilisées sur
différentes plates-formes. Cela a été
constaté, par exemple, avec la
vulnérabilité dans libTIFF qui a permis aux accros de la console
de jeux PSP (Playstation
Portable) de Sony
d'installer les applications qu'ils avaient
développées. L'exploit utilisé a
été publié et a ainsi permis son
étude et son adaptation. Cette même exploitation
de vulnérabilité est réapparue pour
contourner les protections mises en place par Apple dans son téléphone mobile
multifonctions l'iPhone. Le fait de pouvoir porter des
codes d'exploitation sur différentes plates-formes
permet aux attaquants de capitaliser leurs recherches et
d'accélérer la sortie de nouveau code exploitant
les mêmes vulnérabilités. Il apparaît
depuis quelques jours qu'une vulnérabilité semble
offrir ces même possibilités grâce à
une vidéo au format MP4
provoquant un dépassement de mémoire tampon dans
plusieurs lecteurs multimédia. Cette vidéo
spécialement conçue pourrait être
portée sur des systèmes de
téléphones mobiles et avoir les mêmes
conséquences.
Le CERTA tient à rappeler que ces systèmes
multimédia, qu'ils se présentent sous la forme de
consoles de jeux (portables ou de salon), de
téléphones mobiles ou d'agendas personnels, sont
des ordinateurs à part entière et
présentent bien des opportunités pour des
personnes malveillantes notamment grâce à leurs
possibilités de communication ou leurs puissances de
calcul. Il est donc nécessaire d'apporter la même
attention et les mêmes précautions que pour un
poste classique lorsque des supports amovibles ou des
périphériques y sont connectés ou bien
lorsque que ces systèmes sont connectés à
un réseau.
Un correspondant du CERTA a signalé cette semaine que
le moteur de recherche Google n'indexait plus directement son
site, mais plutôt une adresse « étrange
» de la forme :
http://www.Adresse_Legitime/?ref=Autre_URL_inconnue
En réalité, des personnes malveillantes ont
profité de la notoriété de certaines pages
sur d'autres sites pour augmenter la cote de popularité
de l'adresse ci-dessus. L'insertion de cadres (IFRAME)
dans des sites est un moyen d'y parvenir.
Cette adresse « étrange » est
consultée par le robot du moteur de recherche, ici
googlebot. Si ce dernier reçoit une
réponse positive (code HTTP 200) du serveur
légitime, la page est bien indexée, mais avec
cette URL « étrange ».
Les impacts sont variés, mais le premier est celui
sur l'image du site légitime, associé contre son
gré par le moteur de recherche à une autre
adresse. Pour les personnes malveillantes, cette méthode
qui consiste à détourner le principe d'indexation
actuellement utilisé, permet aussi de diffuser
rapidement des adresses, et de complexifier le système
publicitaire mis en place.
Il ne s'agit dans le cas présent pas d'une
vulnérabilité directe du site. Cependant, afin de
se prémunir d'un tel désagrément, quelques
actions sont envisageables :
Le 18 décembre 2007 est sortie une nouvelle version
du langage de programmation Perl. La version 5.10, qui
est maintenant la version en cours, est la première mise
à jour depuis plus de cinq ans. Cette nouvelle version
améliore les performances de l'interpréteur,
garantit une meilleure portabilité ainsi qu'une moindre
consommation de la mémoire. Il est également
à noter un nouvel opérateur de comparaison -. Une documentation complète des
changements apportés est disponible via le perldelta.
La plupart des systèmes d'exploitation maintiennent
un fichier dans lequel il est possible d'entrer statiquement la
correspondance entre un nom de machine et une adresse IP. Cette
solution permet de ne pas chercher à résoudre la
correspondance par des protocoles réseaux, comme DNS
permet de faire par exemple.
Sous Linux ou Mac OS, il est donc possible de trouver le
fichier /etc/hosts, dont le contenu est sous la forme
:
Adresse_IP_1 nom_de_la_machine_1 alias_possibles
Adresse_IP_2 nom_de_la_machine_2 alias_possibles
Sous Windows 2000/XP/Vista, un fichier très similaire
existe :
C:%windir%\system32\drivers\etc\hosts
Ce fichier peut être modifié par des codes
malveillants ayant obtenu un accès
privilégié au système
(administrateur).
Cette méthode est différente d'une
modification de la configuration DNS du système par un
cheval de Troie, que le CERTA a mentionné dans le
bulletin CERTA-2007-ACT-044. Ce cheval de Troie se
présente sous la forme d'un codec vidéo à
installer pour visionner gratuitement certaines
catégories de films. Ce cheval de Troie, aussi
appelé DNSChanger, vise les postes MacOS et modifie le
serveur DNS utilisé, afin de détourner les
requêtes Web vers des pages de filoutage. Il ne s'agit
donc pas d'une modification du fichier hosts, mais de
la configuration même du DNS.
La modification du fichier hosts peut se faire par
un code malveillant pour les mêmes raisons :
- diriger certaines requêtes vers des serveurs
particuliers, ou des machines relais dédiées,
afin de jouer un rôle d'intermédiaire
(voyeur).
- afficher des contenus publicitaires dédiés,
voire générer des revenus à partir de
cette fraude.
La modification du fichier hosts sous Windows par
le cheval de Troie Trojan.Qhost.WU est de la forme :
X.X.X.X page2.googlesyndication.com
Cette modification permet, lorsque l'utilisateur navigue sur
des pages, de changer les informations textuelles publicitaires
initialement prévues. On pourrait également
imaginer d'autres scénarios, comme ajouter du contenu
malveillant à certaines pages.
Plusieurs mesures peuvent être entreprises pour ne pas
subir ce genre de modification :
- vérifier régulièrement
l'intégrité des fichiers système et de
configuration ;
- naviguer avec des droits limités ;
- ne pas installer de logiciels ne provenant pas de source
de confiance. Tout logiciel installé avec des droits
d'administration du système a la capacité de
modifier les fichiers du système ;
- surveiller les flux réseau afin de
déterminer une quelconque anomalie.
L'année 2007 s'achève. Le CERTA profite donc
de ce dernier numéro pour souhaiter d'excellentes
fêtes à ses lecteurs.
Au cours de cette année, le CERTA a eu l'occasion de
publier un peu plus de 300 articles différents
dispersés dans ses bulletins d'actualité. Voici
ci-dessous une liste, non exhaustive, de certains d'entre eux,
qui peuvent faire l'objet de relecture, en ces fêtes de
Noël :
-
« Les logiciels gratuits pseudo-miracles »,
CERTA-2007-ACT-003 du 19 janvier 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-003.pdf
-
« Du risque associé à certains services
paradoxaux », CERTA-2007-ACT-004 du 26 janvier 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-004.pdf
-
« Filtrage et syntaxe d'URL »,
CERTA-2007-ACT-004 du 26 janvier 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-004.pdf
-
« Règles de filtrage pour les serveurs
», CERTA-2007-ACT-008 du 23 février 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-008.pdf
-
« Fuite d'informations », CERTA-2007-ACT-010 du
09 mars 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-010.pdf
-
« Réservation des noms de domaine »,
CERTA-2007-ACT-17 du 27 avril 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-017.pdf
-
« Des problèmes de codage/décodage pour
les outils de sécurité »,
CERTA-2007-ACT-020 du 18 mai 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-020.pdf
-
« Les outils de travail à distance »,
CERTA-2007-ACT-021 du 25 mai 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-021.pdf
-
« Les documents Office : conversions »,
CERTA-2007-ACT-023 du 08 juin 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-023.pdf
-
« Mots de passe et incidents »,
CERTA-2007-ACT-025 du 22 juin 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-025.pdf
-
« Les activités de l'Internet et les
interprétations de données »,
CERTA-2007-ACT-027 du 06 juillet 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-027.pdf
-
« Les affichages dissimulés à
l'intérieur de pages Web », CERTA-2007-ACT-033
du 17 août 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-033.pdf
-
« Connaître la boîte, pour mieux
déterminer ses vulnérabilités »,
CERTA-2007-ACT-036 du 07 septembre 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-036.pdf
-
« Déménager un site Web : des
précautions à prendre »,
CERTA-2007-ACT-037 du 14 septembre 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-037.pdf
-
« Les messageries instantanées, risques
immédiats ? », CERTA-2007-ACT-038 du 21
septembre 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-038.pdf
-
« Les attaques en déni de service »,
CERTA-2007-ACT-039 du 28 septembre 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-039.pdf
-
« Il n'y a rien d'intéressant sur la machine !
», CERTA-2007-ACT-047 du 23 novembre 2007 :
http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-047.pdf
8 Rappel des avis émis
Dans la période du 21 au 27 décembre 2007, le
CERTA a émis les avis suivants :
- CERTA-2007-AVI-557 : Vulnérabilité d'un
module CISCO
- CERTA-2007-AVI-558 : Vulnérabilité dans les
produits Computer Associates
- CERTA-2007-AVI-559 : Multiples
vulnérabilités dans Wireshark
- CERTA-2007-AVI-560 : Vulnérabilités de
serveur HTTP d'IBM
- CERTA-2007-AVI-561 : Vulnérabilité de
Websense Enterprise
- CERTA-2007-AVI-562 : Vulnérabilité dans
Asterisk
- CERTA-2007-AVI-563 : Plusieurs
vulnérabilités de Sun Java System Web Proxy
Server
- CERTA-2007-AVI-564 : Vulnérabilités dans
Dokeos
- CERTA-2007-AVI-565 : Vulnérabilité dans
Novell Groupwise
- CERTA-2007-AVI-566 : Multiples
vulnérabilités dans Mambo
- CERTA-2007-AVI-567 : Vulnérabilité dans
Novell Identity Manager
- CERTA-2007-AVI-568 : Multiples
vulnérabilités dans VLC Media Player
- 28 décembre 2007
- version initiale.
CERTA
2012-01-04
|
)
ux !
ux :