CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2009-48
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-048.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-048/ 1 Vulnérabilité non corrigée dans Microsoft Internet ExplorerCette semaine le CERTA a publiée une nouvelle alerte concernant une vulnérabilité non corrigée dans le navigateur de Microsoft. Cette faille n'est exploitable que pour les versions 6 et 7 d'Internet Explorer par l'intermédiaire d'un objet CSS (Cascading Style Sheets). Du code permettant de profiter de cette vulnérabilité est déjà disponible sur l'Internet. Dans l'attente d'un correctif de l'éditeur, le CERTA recommande les mesures suivantes :
Documentation
2 Incident de la semaineRappel sur la navigation et le téléchargementCette semaine, les constatations faites suite à l'analyse de journaux sont l'occasion pour le CERTA de revenir sur un point important et à l'origine de trop nombreuses compromissions. En effet, cette analyse a mis en avant le comportement imprudent d'utilisateurs qui téléchargeaient des programmes sur des sites peu connus, peu maintenus et certainement pas de confiance. Le CERTA rappelle quelques bonnes pratiques :
Bien sûr, tout cela doit être fait dans le strict respect de la PSSI de l'organisme. 3 Les risques liés à l'usage des extensions d'applicationsLe navigateur Internet, comme par exemple Firefox de Mozilla, propose aux utilisateurs de rechercher et d'installer aisément des modules permettant d'étendre les fonctionnalités de leurs applications. Les développeurs de ces extensions peuvent ne pas être sensibilisés à une programmation sécurisée, et dans ce cas, un module vulnérable peut servir de levier afin de compromettre le système. L'installation de ces modules d'extensions augmente la surface d'attaque pour un utilisateur malveillant. De plus, les extensions doivent pouvoir fonctionner et donc être installée sur le navigateur Internet Firefox quel que soit le système sous-jacent. Par conséquent, il ne peut être exclue qu'une vulnérabilité présente dans un module d'extension puisse affecter des systèmes fonctionnant sous différents systèmes d'exploitation. Il existe de nombreuses autres applications utilisant des modules d'extension et deviennent donc également sujet aux risques liés à leur utilisation. C'est pourquoi, le CERTA recommande de limiter l'installation et l'utilisation des ces modules au strict nécessaire, dans le cas contraire, il est plus que recommandé que le module devant être installé soit impérativement signé par l'éditeur dans la mesure du possible. La politique de sécurité des systèmes d'information doit également prendre en compte l'usage de ces extensions et prévoir une procédure de mise à jour. 4 Sortie de FreeBSD 8.0 le 26 novembre 2009Cette semaine est marquée par la sortie de la dernière mouture de FreeBSD. Les principales nouveautés de cette version sont :
Le CERTA recommande aux utilisateurs de ce système d'exploitation de s'assurer de la maintenance de leurs versions installées et de migrer vers la dernière version si elle n'est plus suivie. Cette dernière version est disponible en téléchargement à l'adresse suivante : http://www.freebsd.org/where.html.
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
