CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2009-28
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-028.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-028/ 1 Vulnérabilité dans le composant ActiveX Microsoft Video1.1 Les faitsCette semaine Microsoft a publié un nouveau bulletin d'alerte faisant état d'une vulnérabilité dans le composant ActiveX MPEG2TuneRequest en charge du contrôle de flux vidéo dans Microsoft Internet Explorer pour les systèmes d'exploitation Microsoft Windows XP et Microsoft Windows Server 2003. La vulnérabilité se situe dans le fichier msvidctl.dll. Le CERTA a donc rapporté cette faille au travers de l'alerte CERTA-2009-ALE-010. Cette vulnérabilité peut être exploitée par le biais d'une page Web malveillante. La bonne exploitation de cette faille ne nécessite pas forcément la présence d'un flux vidéo sur la page visitée. Une personne malintentionnée peut alors exécuter du code arbitraire à distance et prendre le contrôle de la machine compromise. 1.2 Les recommandationsEn attendant, le CERTA recommande d'appliquer le contournement provisoire de Microsoft consistant à changer la valeur du paramètre Compatibility Flags en 00000400 pour l'ensemble des CLSID du composant Microsoft Video. La liste exhaustive des CLSID est disponible dans l'alerte. Cette manipulation a été automatisée par Microsoft à l'aide d'une application téléchargeable sur son site (cf. la section Documentation) et permet ainsi de colmater temporairement la brèche en attendant un correctif définitif. Ce correctif pourrait paraître mardi prochain à l'occasion du Patch Tuesday mensuel. Le CERTA rappelle également que la désactivation par défaut de l'exécution de code dynamique (JavaScript, Flash, ...) et des composants ActiveX est une bonne pratique pour la navigation sur l'Internet. De plus, l'utilisation d'un compte aux droits limités permet de modérer la portée de l'attaque. La désactivation de composant ActiveX Microsoft Video peut nuire à la bonne lecture des flux vidéo sur l'Internet. Il est également recommandé l'utilisation d'un navigateur alternatif si la lecture de flux vidéo est nécessaire ou que le composant ne peut pas être désactivé. Documentation
2 Rumeurs concernant une vulnérabilité d'OpenSSHCes derniers jours, une rumeur concernant une vulnérabilité non corrigée (0-day) d'OpenSSH s'est répandue. Cette prétendue faille de sécurité permettrait de prendre le contrôle à distance du serveur. Elle aurait été exploitée au moins deux fois, les compromissions en découlant ayant été médiatisées sur l'Internet. Le SANS a relayé cette information, et établi deux hypothèses :
Quelle que soit la vérité concernant cette affaire, il convient, pour les administrateurs, de ne pas paniquer, de s'assurer que les correctifs de sécurité ont bien tous été appliqués et de lire attentivement les journaux relatifs à cette application. Documentation
3 Firefox 3.5Le navigateur Firefox de la fondation Mozilla est sorti en version 3.5 le 30 juin 2009. Cette nouvelle mouture n'inclut pas à proprement parler de correctif de sécurité. En effet, sa sortie n'a pas été accompagnée d'un bulletin de sécurité. Cependant, cette nouvelle version inclut de nouvelles fonctionnalités ou des modifications notables pouvant avoir une influence sur le niveau de sécurité du logiciel :
Enfin la granularité de configuration dans la gestion des informations privées stockées par le navigateur a, elle aussi, été augmentée permettant des réglages plus fins.
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
