CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2010-06
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-006.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-006/ 1 Incidents de la semaineCette semaine, le CERTA a traité un cas de courriel piégé avec une pièce jointe malveillante. Celle-ci, au format PDF, tentait d'exploiter plusieurs vulnérabilités selon la version du lecteur Adobe Reader utilisé. Cela est possible grâce à l'interprétation du JavaScript par le logiciel. En effet, l'exécution de scripts permet de cibler la version d'Adobe Reader utilisée et de faciliter l'exploitation des différentes vulnérabilités. Si le PDF malveillant visait plusieurs versions d'Adobe Reader, fort heureusement le shellcode ensuite exécuté était plus capricieux. En effet, celui-ci tente de copier la charge malveillante dans un répertoire spécifique du système avant de l'exécuter. L'écriture dans ce répertoire nécessitait toutefois des droits administrateur, ce que le code ne vérifie pas. La victime ayant ouvert la pièce jointe utilisant un compte aux droits limités, son poste n'a finalement pas été compromis. Si de nombreux codes malveillants fonctionnent quel que soit le type de compte utilisé, le CERTA rappelle que, selon le principe de défense en profondeur, outre la mise à jour des applications qui reste un principe fondamental, l'utilisation d'un poste pour des tâches bureautiques doit se faire avec un compte qui n'a pas de droits d'administration. De même, les utilisateurs d'Adobe Reader doivent désactiver l'interprétation du JavaScript qui est très rarement indispensable à la lecture d'un document. 2 Actualité Microsoft2.1 Les correctifs du mois de févrierMardi, Microsoft a publié son lot mensuel de correctifs. Ils sont au nombre de 13 et corrigent 26 vulnérabilités. Voici un rappel des bulletins émis :
Pour mémoire, la liste des avis publiés par le CERTA pendant la semaine (du jeudi au jeudi) précédent ce document est disponible dans la section « Rappel des avis émis » du bulletin d'actualité. 2.2 Vulnérabilités Microsoft liées à la gestion du SMB2.2.1 DétailsParmi les bulletins de sécurité Microsoft publiés cette semaine, deux concernent la gestion du protocole SMB.Le bulletin MS10-006 concerne la partie cliente de la gestion du protocole SMB. Dans ce bulletin nous nous intéresserons plus spécifiquement à la vulnérabilité CVE-2010-0016. Pour cette vulnérabilité, le scénario d'attaque typique suppose qu'un serveur ait été compromis. Dans ce cas, chaque client se connectant à ce serveur sera à son tour compromis (via une exécution de code) lors de la réception d'une requête SMB spécialement malformée qui lui sera envoyée par le serveur. On peut aussi envisager qu'une machine cliente infectée se transforme en serveur infectant via, par exemple, l'usurpation de paquets NBNS (NetBIOS Name Service). Il est à noter que le chercheur à l'origine de la découverte de la vulnérabilité a publié un document détaillé expliquant le savoir faire nécessaire à l'exploitation de cette vulnérabilité. L'autre bulletin, MS10-012, concerne la partie serveur de la gestion du protocole SMB. L'une des vulnérabilités (CVE-2010-0020) couverte par ce bulletin permet l'exécution de code arbitraire à distance en envoyant une requête SMB malformée à toute machine dont le service serveur est démarré. Pour les deux vulnérabilités dont nous venons de parler, l'exécution de code s'effectue avec les privilèges « Système » permettant un contrôle total de la machine. Le fait que l'exploitation de ces deux vulnérabilités nécessite une authentification n'est qu'un facteur atténuant partiel car c'est le cas dans la plupart des réseaux d'entreprises utilisant un annuaire. 2.2.2 RecommandationL'exploitation de ces vulnérabilités pouvant potentiellement servir à la propagation d'un ver, le CERTA recommande l'installation au plus tôt de ces deux correctifs.2.2.3 Documentation
2.3 Problème de stabilité lié à la mise a jour du bulletin Microsoft MS10-0152.3.1 DétailsIl a été remonté par plusieurs utilisateurs que suite à l'application du correctif MS10-015 un redémarrage inopiné de la machine pouvait survenir (redémarrage en boucle). Comme spécifié dans le blog MSRC, ce problème est en cours d'étude chez Microsoft.La diffusion par Windows Update de cette mise à jour est pour le moment suspendue. 2.3.2 RecommandationsLe CERTA recommande de tester exhaustivement ce correctif avant toute mise en production ou d'appliquer temporairement les contournements proposés par l'éditeur.2.3.3 Documentation
3 Annonce d'une mise à jour pour Adobe Reader et Adobe AcrobatL'éditeur Adobe annonce la publication de correctifs pour le mardi 16 février 2010, donc hors du cycle trimestriel annoncé l'été dernier. Les vulnérabilités corrigées lors de cette mise à jour sont considérées critiques par l'éditeur. Cette qualification laisse supposer la possibilité pour l'attaquant d'exécuter du code arbitraire à l'insu de l'utilisateur. Les logiciels concernés sont :
3.1 Documentation
4 Home Network Administration Protocol4.1 De quoi s'agit-ilIl s'agit d'un protocole basé sur HTTP-SOAP (Simple Object Access Protocol) qui peut servir à administrer des équipements (routeurs, caméras, NAS ...). Plus simplement, il s'agit d'envoyer un message en XML, respectant un certain format, en utilisant le protocole HTTP. Ce message peut par exemple contenir une demande d'informations (GetDeviceSetting) ou des consignes de configurations (SetDeviceSetting). Il est censé faciliter la réalisation d'une topologie précise du réseau, chaque appareil se décrivant à la demande (type, model, version de logiciel, ...). Pour savoir si un équipement supporte le protocole HNAP, il suffit de lui demander à l'aide d'un simple GET sur http://[IPdevice]/HNAP1/.4.2 Le dangerIl est décrit comme « simple, rapide et facile à mettre en uvre
». Avec une telle approche, sans parler des risques
hypothétiques du protocole ou des problématiques
d'avoir un serveur Web embarqué et potentiellement
vulnérable, il est fort à parier que le
développement et l'intégration d'un tel protocole
suive l'idée du « rapide » et « simple », trop peut être.
4.3 Les conséquencesIl y a quelques semaines, une présentation a montré que certains matériels ont une implémentation vulnérable du protocole HNAP. Si ceux-ci demandent bien un identifiant et un mot de passe pour accéder aux informations sensibles, la demande d'informations est elle librement accessibles. Le problème est qu'elle permet de contourner la demande d'authentification en encapsulant des commandes de configurations, dans un message de type demande d'informations. Le CERTA recommande, dans la mesure du possible la désactivation de ce type de service, ou de ne les laisser accessible qu'a des réseaux dédiés ou tout du moins contrôlés.4.4 Documentation
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
