CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2009-50
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-050.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-050/ 1 Incident de la semaineCette semaine le CERTA a traité un incident somme toute assez banal. Il s'agit de la modification de la page d'accueil de 13 sites, hébergés sur le même serveur. La modification consistait à rajouter un lien pointant vers un site externe. Quand un client du site naviguait sur la page d'accueil, ce script chargeait et exécutait un code malveillant à son insu. Pour une fois, le problème ne venait pas spécialement de la mutualisation de l'hébergement. Les 13 sites appartiennent à la même entité et sont gérés de manière homogène. En revanche, l'hébergeur utilise un CMS (gestionnaire de contenu ou Content Management System) pour la gestion courante des sites et a succombé à la tentation de l'installation de plusieurs greffons (plug-ins) afin de faciliter les tâches d'administration courante. Malheureusement, un de ces greffons s'avérait présenter une faille de sécurité permettant d'accéder en écriture aux pages des sites administrés. Le pirate n'a donc eu qu'à utiliser des codes d'exploitation existant afin de modifier toutes les pages d'accueil des 13 sites. Cela prouve une fois de plus (s'il en était besoin) que la maîtrise précise et complète de tout le système d'information, quelque soit la granularité, reste la fondation du processus de sécurisation d'un système d'information. Il est parfois tentant d'utiliser des outils tiers, mais une grande vigilance doit être de mise. Dans le doute, il vaut certainement mieux se passer d'outils plutôt que d'abaisser le niveau de sécurité de son système. Et quelque soit les outils utilisés, il est primordial de suivre les mises à jour et de les appliquer dès que possible. 2 Alertes de la semaineCette semaine le CERTA a publié deux alertes :
2.1 Documentation
3 L'actualité Microsoft3.1 Les bulletins de sécurité Microsoft du mois de décembreCette semaine, Microsoft a publié les 6 derniers bulletins de sécurité de l'année dans le cadre de son patch Tuesday. Les vulnérabilités corrigées sont les suivantes :
Ces mises à jour ont permis de corriger l'alerte CERTA-2009-ALE-020. 3.2 Mise à jour de sécurité concernant le codec IndeoCette semaine, Microsoft a émis l'avis de sécurité n^954157 concernant le codec Intel Indeo41. La mise à jour ne corrige pas de vulnérabilité dans le codec mais empêche son chargement depuis Internet Explorer et Windows Media Player. L'ouverture d'un fichier spécialement conçu exploitant une faille dans le codec peut en effet provoquer l'exécution de code arbitraire sur le système vulnérable. Par cette mise à jour, Microsoft a donc réduit la surface d'attaque possible et bloque les vecteurs d'infection les plus utilisés. Les systèmes d'exploitation concernés sont Microsoft Windows 2000, Windows XP et Windows Server 2003. La mise à jour est proposée en téléchargement automatique. Cela ne corrigeant pas le codec vulnérable, le CERTA recommande, dans la mesure du possible, de désinscrire complètement le codec. Cela peut toutefois avoir des effets de bord sur certaines applications. La démarche pour désinscrire le codec est disponible sur le site internet de Microsoft (kb954157). 3.3 Documentation
4 Google DNS ?Le 3 décembre 2009, Google a annoncé son nouveau service : Google Public DNS (http://code.google.com/speed/public-dns/). Google élargit donc son offre, et propose maintenant un service universel de résolution de nom. La chose n'est en soit pas si nouvelle : des offres de DNS externes existent depuis plusieurs années, citons par exemple OpenDNS (http://www.opendns.com) ou Dyndns (http://www.dyndns.org)... Néanmoins, l'offre de Google mérite probablement un peu plus d'attention, ne serait-ce que par le battage médiatique qu'elle soulève, et l'importance qu'elle pourrait prendre si, comme pour beaucoup de services Google, elle rencontre un succès fort. 4.1 Le DNSTout d'abord, il est important de comprendre de quoi il s'agit. Le DNS est un service critique de l'Internet qui a pour rôle d'établir une correspondance entre une adresse IP et un nom de domaine. Ainsi, les ordinateurs connectés à un réseau IP possèdent tous une adresse IP (en IPv4, elle est de la forme www.xxx.yyy.zzz, en base 255). Ce quadruplet étant difficile à retenir, un mécanisme permet d'associer à une adresse IP un nom intelligible, appelé nom de domaine (ex : le nom de domaine www.certa.ssi.gouv.fr est associé à l'adresse IP 213.56.176.2). Généralement, le fournisseur d'accès met à disposition de ses abonnés ses propres serveurs DNS. Dans le cadre de réseaux plus importants, le DNS est un service directement mis en place en interne. Pourquoi donc utiliser un service DNS alternatif ? Plusieurs raisons peuvent être invoquées :
4.2 Des fonctions DNS avancées ?Cette deuxième raison peut en effet être séduisante. Les offres DNS externes fournissent parfois plusieurs fonctions qui intéressent tant le gestionnaire réseau que l'utilisateur final :
4.3 Quels risques ?Cependant, l'utilisation d'un DNS externe non maîtrisé soulève plusieurs problèmes.En premier lieu, la question de la confidentialité se pose. En effet, connaître vos requêtes DNS, c'est savoir ce que vous faites sur l'Internet ! Toutes consultations ou utilisations de l'Internet reposent sur l'utilisation du DNS...Si en plus, le fournisseur du service DNS possède déjà de nombreuses informations sur les utilisateurs (par exemple parce qu'il opère aussi un service de messagerie, un moteur de recherche...), alors la somme des connaissances auxquelles il accède peut devenir très importante. Ensuite, le DNS est véritablement la clef de voûte en termes de confiance sur l'Internet. Ainsi, une personne mal intentionnée qui maitriserait votre DNS aurait un contrôle complet sur votre usage de l'Internet, avec la possibilité de contrôler la vision même du réseau, vous rediriger sur des serveurs de son choix...Tout devient possible. D'autres pratiques non souhaitables sont aussi envisageables. Par exemple, la substitution de « NX Domain » (cf. le bulletin d'actualité CERTA-2009-ACT-049). Enfin, l'externalisation du DNS implique que les requêtes vont alors transiter sur le réseau Internet, entre le client et le DNS. Toute personne malintentionnée sur le chemin de connexion devient alors en mesure de réaliser les actions décrites précédemment. L'utilisation d'un service externe de résolution de nom doit donc être un acte murement réfléchi, et il convient de bien peser les avantages, et les inconvénients, que cette décision entrainera. 5 La gestion des correctifs de sécurité MozillaLors d'un bulletin d'actualité précédent ( http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-032/index.html), nous avions déjà parlé de la différence de traitement entre les différents produits Mozilla en matière de sécurité. Régulièrement, Thunderbird affiche un retard sur Firefox dans la publication des correctifs de sécurité, qui concernent pourtant des vulnérabilités communes aux deux logiciels. Cette semaine a vu la sortie de Thunderbird 3.0. Cette nouvelle mouture du client de messagerie Mozilla offre un certain nombre d'évolutions notamment, au niveau de l'interface utilisateur. Ces changements sont présentés sur le site de Thunderbird : http://www.mozillamessaging.com/en-US/thunderbird/3.0/releasenotes Le CERTA a publié une alerte sur Thunderbird 2 le 7 août 2009 concernant plusieurs vulnérabilités critiques non corrigées. Plusieurs de ces vulnérabilités ne sont toujours pas corrigées à ce jour dans la version 2. Il est donc surprenant de voir Mozilla sortir une version 3.0 de son client de messagerie sans avoir corrigé les vulnérabilités critiques de la version 2. Mozilla ne fournit pas d'informations quant aux vulnérabilités potentielles de cette dernière mouture, Thunderbird 3.0 n'étant pas encore suivi officiellement par les bulletins de sécurité de Mozilla. Le CERTA recommande d'utiliser les mêmes contournements provisoires pour Thunderbird 3.0 que ceux indiqués dans l'alerte CERTA-2009-ALE-014 pour Thunderbird 2. Documentation
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
