CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2008-42
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2008-ACT-042.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2008-ACT-042/ 1 Vigilance SMBLe protocole SMB (Server Message Block) permet d'échanger des ressources (fichiers, imprimantes, etc.) sur des réseaux locaux. Il fonctionne sous la forme « client / serveur » et est déployé dans la majorité des environnements Microsoft. Selon les versions de Windows, il s'appuie sur différents protocoles (l'API NetBIOS sur TCP/IP ou directement via TCP). Cette semaine, plusieurs publications ont mentionné des vulnérabilités associées à ce protocole. Certaines sont corrigées par des mises à jour de Microsoft mais ont été intégrées dans des outils d'exploitation automatiques. Le CERTA recommande donc de porter une très grande vigilance au trafic SMB et de vérifier qu'une politique de filtrage rigoureuse est bien mise en place. 2 Incidents de la semaine2.1 Détournement des outils de statistiques, 6 mois après ...Il y a un peu plus de six mois, dans son bulletin d'actualité CERTA-2008-ACT-013, le CERTA avait présenté l'utilisation détournée des outils de statistiques afin de promouvoir des sites Internet à l'aspect douteux (sites pour adultes, etc.) Le principe est simple : insérer une requête complète dans un champ d'un site que l'on sait journalisé (moteur de recherche, formulaire, Referer). Si les journaux sont présentés aux internautes sans être nettoyés, quelques essais suffisent alors à un utilisateur malintentionné pour injecter correctement les flux permettant de faire afficher des liens dans la visualisation des statistiques. Cette semaine, le CERTA a traité un incident de cette sorte. La difficulté dans ce type d'incident réside dans le fait que l'administrateur du site offre les conditions nécessaires à ce genre d'activité. En effet, ce type d'incident est provoqué par un abus de fonctionnalité et non pas par une intrusion classique. Les remèdes sont donc plus complexes. Pour éviter ce type de « compromission », le CERTA recommande :
3 Fausse mise à jour Microsoft3.1 PrésentationDepuis plusieurs jours, un courriel frauduleux circule avec un exécutable prétendant être une mise à jour de sécurité pour Windows. Ce courriel, dont le sujet est « Security Update for OS Microsoft Windows », est signé du nom de Steve Lipner, personnalité dans le domaine de la sécurité chez Microsoft. Le message arrive à point nommé puisque cette semaine Microsoft a publié 11 mises à jour de sécurité. Chose nouvelle, l'email se termine par une signature PGP pour tenter de paraître plus crédible. Cette signature est évidemment invalide. L'exécutable est en fait une version du malware Haxdoor. Pour information, la clé PGP utilisée par le MSRC pour ses signatures se trouve à l'adresse suivante : http://www.microsoft.com/technet/security/bulletin/pgp.mspx S'il arrive bien que Microsoft envoie des courriels de notification sur ses bulletins de sécurité aux personnes l'ayant demandé, l'éditeur assure toutefois qu'il n'enverra jamais de pièce jointe avec ceux-ci. D'une manière générale, aucun éditeur n'envoie de mise à jour ou d'application par courriel. 3.2 Documentation
4 Les vulnérabilités par dépendances4.1 PrésentationL'avis de sécurité publié par WinZip a été repris cette semaine par plusieurs sites spécialisés. Il s'avère en fait que ce n'est pas le programme en lui-même qui présente une faiblesse mais les bibliothèques fournies avec. En effet, la distribution contient le fichier Microsoft gdiplus.dll. La version précédemment distribuée avec l'outil d'archivage est vulnérable (CERTA-2008-AVI-449) et son exploitation permet une exécution de code arbitraire à distance. L'inclusion de fichiers et de bibliothèques tierces par les éditeurs servent l'utilisateur et lui permettent de faciliter le processus d'installation. Cela pose néanmoins quelques problématiques de sécurité. En effet, les mises à jour de ces composants tiers fournis en complément se font toujours avec un temps de retard par rapport à celles officielles. Elles nécessitent une nouvelle version du produit. Il faut également que le programme soit mis à jour par l'utilisateur. Cette opération n'est pas toujours automatique. L'utilisateur n'a pas nécessairement conscience de disposer d'un logiciel vulnérable. Dans le cas présent, une mise à jour Microsoft effectuée en septembre ne suffit pas pour se protéger de l'exploitation d'une vulnérabilité gdiplus.dll via WinZip. Le CERTA recommande d'éviter autant que possible ces systèmes de dépendances. Certaines installations offrent la possibilité de s'en abstenir. Il est également important de comprendre les intéractions des différents logiciels/systèmes entre eux. 4.2 Documentation
5 Retour sur l'alerte CERTA-2008-ALE-0125.1 PrésentationLe CERTA a publié, le 10 octobre 2008, l'alerte CERTA-2008-ALE-012 concernant une vulnérabilité dans Microsoft Windows. Cette vulnérabilité peut être exploitée par un utilisateur malveillant afin d'élever ses privilèges sur le système. Cette vulnérabilité a fait l'objet d'une publication par Microsoft le 17 avril 2008. Elle n'était cependant pas documentée. La diffusion d'un code de faisabilité (proof of concept) pouvant exploiter cette faille a motivé une récente publication de Microsoft sur leur bloc-notes MSRC (Microsoft Security Response Center). Cette vulnérabilité peut être exploitée en complément d'autres vulnérabilités afin de prendre le contrôle complet du système. Le CERTA a traité de nombreux incidents pour lesquels les intrus ont associé l'exploitation de vulnérabilités distantes avec des vulnérabilités leur permettant d'élever leurs privilèges. 5.2 Documentation
6 Retour sur les mises à jour MicrosoftCette semaine, Microsoft a publié 11 nouveaux bulletins de sécurité dans le cadre de ses mises à jour mensuelles. Ces bulletins corrigent une vingtaine de vulnérabilités considérées comme importantes ou critiques. Le CERTA tient à revenir sur ces bulletins :
Le CERTA rappelle l'importance de l'installation des mises à jour afin de limiter les risques d'intrusion dans le système d'information. http://blogs.technet.com/swi/ 7 Les redirections ouvertes7.1 PrésentationLes utilisateurs sont parfois redirigés vers des adresses autres que celles initialement demandées. L'intérêt de cette approche est bien souvent d'orienter le visiteur vers un nouveau contenu (nouveau site, nouvelles pages) sans que ce dernier ne s'en rende compte. Certaines redirections sont dites « ouvertes ». Le site Web ne vérifie pas les paramètres du lien avant de provoquer la redirection. Par exemple :
http://MonSite.tld/redirect.php?dest=http://siteMalveillant.tld
En d'autres termes, le script redirect.php permet de rediriger l'utilisateur vers une adresse quelconque de l'Internet. Le site siteMalveillant.tld peut héberger des pages ayant un contenu agressif pour le navigateur et ses composants ou des pages de filoutage. Cela peut également être un moyen pour suivre une partie de la navigation de l'internaute. Bien souvent, l'utilisateur ne voit ou ne prête attention qu'aux premiers caractères. Il risque donc de se laisser duper par une page imitant un contenu légitime. L'adresse peut également être encodée de plusieurs manières afin de rendre la lecture plus complexe. Certaines de ces techniques avaient été présentées dans l'article 4 du bulletin d'actualité CERTA-2007-ACT-004. La redirection peut s'effectuer de différentes manières. La plus conventionnelle citée par le World Wide Web Consortium (W3C) est le HTTP Redirect. Cela correspond à un code de retour HTTP de la forme 3XX. Par exemple, le code 301 signifie "moved permanently" et peut être associé à une réponse comme : HTTP/1.1 301 Moved Permanently Location: http://NouveauSite.tld Content-Type: text/html Content-Length: ... <HTML> .... </HTML> D'autres méthodes existent cependant. Il est par exemple possible d'exploiter la fonctionnalité de rafraîchissement d'une page avec l'attribut content. Ainsi la page peut présenter une ligne semblable à : <meta http-equiv="refresh" content=2;url=http://NouveauSite.tld"> La valeur D'autres méthodes consistent à profiter de l'interprétation de code dynamique JavaScript sur le navigateur de l'utilisateur. La destination de la redirection est alors fournie par le code JavaScript. Il est possible de distinguer les redirections statiques, qui redirigent systématiquement vers les mêmes ressources, de celles dynamiques, dont la destination peut varier selon certains paramètres :
Un article de recherche récent ayant effectué plusieurs tests montre que certaines redirections se comportent différemment en fonction des paramètres de la requête. Plus précisément, faire abstraction de certains champs amènent le serveur à être beaucoup moins regardant au niveau de la redirection ! De manière générale, laisser une redirection ouverte permet aux personnes de relayer des adresses malveillantes via le site et elle indique une mauvaise maîtrise des actions mises en place. Il appartient au responsable du site Internet de contrôler celles-ci. 7.2 Recommandations
7.3 Documentation associée
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
uvre protocolaire de Server Message Block
(
uvre d'une telle attaque n'est pas triviale et
nécessite une modification de mémoire par un
autre processus et une coordination, 