CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2008-46
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2008-ACT-046.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2008-ACT-046/ 1 Logiciels obsolètes : danger1.1 Cas généralLe CERTA recommande vivement à ses lecteurs de mettre à jour les logiciels qu'ils utilisent de manière à diminuer les possibilités d'attaques contre leurs systèmes d'information. Au cours du temps, des logiciels ou des branches de développement de logiciel ne sont plus maintenus. La réponse à des vulnérabilités ou à des attaques ne sera plus fournie par l'éditeur ou la communauté en charge de la maintenance. Sauf à maitriser parfaitement un tel logiciel et à être capable d'en assurer lui-même la maintenance, un utilisateur de logiciel non maintenu doit migrer vers des logiciels maintenus pour conserver un système qui bénéficie de réponse aux vulnérabilités publiées et aux attaques. Le CERTA tient une liste (non exhaustive) de logiciels avec les versions maintenues et non maintenues dans la note CERTA-2005-INF-003 (voir documentation). Le plus sûr moyen de connaître l'état de maintenance d'un logiciel est de consulter le site de l'éditeur ou du projet (logiciels libres). 1.2 ActualitéLe logiciel de gestion de contenus (CMS) SPIP-Agora entre dans la catégorie des logiciels dont la maintenance n'est plus assurée. La fin de la maintenance du CMS SPIP-Agora est officielle depuis mai 2008, comme indiqué sur le site du projet (voir documentation).À l'approche de la fin de vie du projet, les développeurs de SPIP-Agora ont encouragé la migration des sites des utilisateurs vers d'autres gestionnaires de contenus, SPIP en particulier. Un script PHP d'aide à la migration vers SPIP 1.9.2 est même fourni (voir documentation). Malgré cet effort, des sites en exploitation restent contruits autour de ce logiciel. D'un autre côté, des vulnérabilités du logiciel SPIP-Agora continuent à être publiées. La publication de vulnérabilité de la fin octobre 2008 affecte la dernière version stable du logiciel SPIP-Agora. Elle est de type PHP include. Il n'y aura pas de correctif. Les sites qui sont restés en SPIP-Agora sont vulnérables. Il est donc important, dès lors que le logiciel est utilisé sur un système d'information relié à l'Internet :
Ces actions doivent, bien entendu, s'inscrire dans la politique de sécurité du système d'information. Il ne faut pas oublier, dans l'évaluation des risques qui sous-tend cette politique, qu'un site qui ne comporte aucune donnée qualifiée de sensible reste une cible pour un cyber attaquant. Il pourra vouloir utiliser les ressources matérielles du serveur pour mener d'autres attaques en faisant porter le chapeau au possesseur légitime de la machine vulnérable ainsi détournée. 1.3 Documentation
2 Retour sur le correctif MS08-0682.1 Présentationle CERTA a publié l'avis CERTA-2008-AVI-549 suite au bulletin de sécurité Microsoft MS08-068. Celui-ci corrige une attaque nommée SMB Relay qui profite d'une erreur dans la mise en oeuvre de l'authentification par SMB/NTLM (NT LAN Manager). Le principe est le suivant :
Cette forme d'attaque est aussi dite réflexive. Le correctif de Microsoft mentionné dans MS08-068 protège du dernier point en vérifiant que le « challenge » reçu par un serveur SMB ne correspond pas à l'un de ceux que la machine vient de fournir. Le correctif n'apporte cependant pas de mesure pour limiter les risques d'un relais SMB illégitime qui redirige correctement le trafic vers un serveur fonctionnel. Il reste donc envisageable de dérouter une phase d'authentification vers une autre machine locale et d'abuser d'un service autorisant NTLM comme authentification. Ce scénario reste possible quand des services s'appuient sur la suite Integrated Windows Authentication dans une zone de confiance. Plusieurs mesures s'appliquent pour éviter ce genre de problèmes :
2.2 Documentation
3 L'actualité de Mozilla Firefox3.1 PrésentationCette semaine, le CERTA a publié un avis faisant état de nombreuses vulnérabilités dans Mozilla Firefox. Parmi celles-ci, il est noté que des exécutions de code arbitraire à distance sont possibles :
Le CERTA profite de cette actualité pour rappeler à ses lecteurs que, comme précisé sur la page de téléchargement de Firefox 2, le support de cette version devrait être arrêté vers la mi-décembre. Le CERTA recommande de passer directement à la version 3.0.4 de Firefox. 3.2 Documentation
4 Applications Web enrichiesOn peut aisément constater que les navigateurs Web vont bien au-delà des fonctionnalités classiques que l'on attendrait de ce type de logiciels : l'affichage de pages HTML contenant éventuellement des scripts ou des images. Depuis assez longtemps déjà, le navigateur, à la demande de certaines directives contenues dans les pages Web consultées, peut agir sur le système d'exploitation lui-même en lui faisant exécuter certaines tâches. À l'image de Windows Update et de ses contrôles activeX, on peut lancer une application tierce par le biais d'un appel présent dans une page Web. Cette imbrication du navigateur dans le système d'exploitation croît au fil des améliorations et de nouvelles fonctionnalités qui apparaissent. Il est ainsi possible via un simple navigateur d'activer micro et webcam pour faire de la visio-conférence, et ce, par simple pression d'un bouton dans une page Web. On peut voir l'apparition d'une convergence entre webmail, messagerie instantanée et maintenant visio-conférence dans une seule et même interface. L'utilisateur passe ainsi allégrement, par le truchement de quelques sockets réseaux judicieusement choisies, de la rédaction d'un courriel à la conversation en direct avec le destinataire. Dans ce contexte, et à défaut de pouvoir se passer de toutes ces nouvelles technologies, il est peut-être bon de rappeler un vieux principe de l'informatique : le KISS (Keep It Stupidely Simple) ou autrement dit « garder le système le plus simple possible ». Moins on a de code dans une application, moins on aura, potentiellement, de bogues et plus l'application sera, théoriquement, facile à appréhender. L'idéal est d'avoir une application par fonction et que ces applications communiquent entre elles de façon maîtrisée. Lorsqu'un navigateur peut, presque à loisir, activer une caméra ou un microphone, c'est qu'il a acquis d'une certaine manière des privilèges élevés sur la machine. Il est alors indispensable de connaître la façon dont cette activation a lieu et de la maîtriser sous peine de voir une page malveillante réaliser la même opération à l'insu de l'utilisateur.
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
