S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

 République Française Paris, le 27 novembre 2009
No CERTA-2009-ACT-048

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2009-48

Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-048

Gestion du document

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-048.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-048/

1 Vulnérabilité non corrigée dans Microsoft Internet Explorer

Cette semaine le CERTA a publiée une nouvelle alerte concernant une vulnérabilité non corrigée dans le navigateur de Microsoft. Cette faille n'est exploitable que pour les versions 6 et 7 d'Internet Explorer par l'intermédiaire d'un objet CSS (Cascading Style Sheets). Du code permettant de profiter de cette vulnérabilité est déjà disponible sur l'Internet.

Dans l'attente d'un correctif de l'éditeur, le CERTA recommande les mesures suivantes :

Documentation

2 Incident de la semaine

Rappel sur la navigation et le téléchargement

Cette semaine, les constatations faites suite à l'analyse de journaux sont l'occasion pour le CERTA de revenir sur un point important et à l'origine de trop nombreuses compromissions. En effet, cette analyse a mis en avant le comportement imprudent d'utilisateurs qui téléchargeaient des programmes sur des sites peu connus, peu maintenus et certainement pas de confiance. Le CERTA rappelle quelques bonnes pratiques :

Bien sûr, tout cela doit être fait dans le strict respect de la PSSI de l'organisme.

3 Les risques liés à l'usage des extensions d'applications

Le navigateur Internet, comme par exemple Firefox de Mozilla, propose aux utilisateurs de rechercher et d'installer aisément des modules permettant d'étendre les fonctionnalités de leurs applications.

Les développeurs de ces extensions peuvent ne pas être sensibilisés à une programmation sécurisée, et dans ce cas, un module vulnérable peut servir de levier afin de compromettre le système.

L'installation de ces modules d'extensions augmente la surface d'attaque pour un utilisateur malveillant. De plus, les extensions doivent pouvoir fonctionner et donc être installée sur le navigateur Internet Firefox quel que soit le système sous-jacent. Par conséquent, il ne peut être exclue qu'une vulnérabilité présente dans un module d'extension puisse affecter des systèmes fonctionnant sous différents systèmes d'exploitation.

Il existe de nombreuses autres applications utilisant des modules d'extension et deviennent donc également sujet aux risques liés à leur utilisation.

C'est pourquoi, le CERTA recommande de limiter l'installation et l'utilisation des ces modules au strict nécessaire, dans le cas contraire, il est plus que recommandé que le module devant être installé soit impérativement signé par l'éditeur dans la mesure du possible. La politique de sécurité des systèmes d'information doit également prendre en compte l'usage de ces extensions et prévoir une procédure de mise à jour.

4 Sortie de FreeBSD 8.0 le 26 novembre 2009

Cette semaine est marquée par la sortie de la dernière mouture de FreeBSD.

Les principales nouveautés de cette version sont :

Le CERTA recommande aux utilisateurs de ce système d'exploitation de s'assurer de la maintenance de leurs versions installées et de migrer vers la dernière version si elle n'est plus suivie.

Cette dernière version est disponible en téléchargement à l'adresse suivante : http://www.freebsd.org/where.html.


5 Rappel des avis émis

Dans la période du 20 au 26 novembre 2009, le CERTA a émis les avis suivants :

Pendant la même période, les avis suivants ont été mis à jour :

Gestion détaillée du document

27 novembre 2009
version initiale.


CERTA
2012-01-04