CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2010-24
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-024.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-024/ 1 Retour sur la vulnérabilité de type Slowloris et ApacheLe projet Apache propose plusieurs solutions pour rendre inefficaces les attaques par saturation de type Slowloris:
La première solution a l'avantage d'utiliser un module à vocation plus généraliste et compatible avec la branche 1.x d'Apache. Il sera donc envisageable de l'utiliser dans d'autres contextes que la simple contre-mesure à une attaque Slowloris. La seconde sera plus spécifique et sensiblement plus efficace mais nécessitera des tests préalables et, sans doute, une migration vers une version du serveur Apache plus récente non-livrée avec le système d'exploitation courant. Ce sujet est d'autant plus d'actualité car cette semaine, un chercheur en sécurité a soulevé un problème avec le serveur lighttpd qui, selon ses tests, serait vulnérable à une attaque de type Slowloris alors que, de prime-abord, ce serveur avait été identifié comme non-affecté par le problème. Pour plus de détails sur ce type d'attaque, vous pouvez consulter le bulletin d'actualité CERTA-2010-ACT-025 (http://www.certa.ssi.gouv.fr/site/CERTA-2009-ACT-025.html) et son article intitulé : « Serveur Web et capacité de délivrer un service ». 2 ANSSI et challenge SSTICPour la huitième édition du Symposium sur la Sécurité des Technologies de l'Information et des Communications (SSTIC) , l'ANSSI a cette année proposé un défi technique basé sur la plateforme pour téléphone mobile Android. Le défi ainsi que les solutions sont accessibles à l'adresse suivante : http://communaute.sstic.org/ChallengeSSTIC2010. Ce défi a été l'occasion pour l'ANSSI d'émuler la sphère SSI française et internationale et de mettre également un coup de projecteur sur sa campagne de recrutement. Le CERTA invite ses lecteurs à consulter les termes du défi et les solutions afin de mieux appréhender l'univers de la téléphonie mobile et les moyens d'analyse d'une copie de mémoire physique proposés par les participants. Documentation
3 Cheval de Troie dans UnrealIRCdLe 12 juin 2010, les développeurs d'UnrealIRCd, un très populaire serveur IRC, ont publié un bulletin de sécurité pour signaler une compromission des sources mises à disposition en téléchargement. Seules les sources de la version 3.2.8.1 ont été modifiées pour y insérer une porte dérobée. Cette modification a eu lieu le 10 novembre 2009. Les éléments suivants ne sont donc pas affectés par ce problème :
Si l'archive Unreal3.2.8.1.tar.gz a été téléchargée avant le 10 novembre 2009, celle-ci ne devrait pas comporter la porte dérobée. Il est toutefois recommandé de vérifier la signature MD5 de l'archive (se référer au bulletin de sécurité de l'éditeur). La version 3.2.8.1 d'UnrealIRDCd a été publiée pour corriger une vulnérabilité critique pouvant mener à une exécution de code arbitraire à distance (CVE-2009-4893). Cette faille affecte les versions 3.2beta11 à 3.2.8. Il est donc recommandé aux administrateurs de serveurs UnrealIRCd de :
Documentation :
4 Mise à jour Mac OS X 10.6.4 et Adobe Flash PlayerCette semaine Apple a sorti une mise à jour de sécurité (10.6.4) pour Mac OS X. Cette mise à jour inclut la version 10.0.45.2 de Flash Player qui est obsolète et vulnérable, notamment à la vulnérabilité détaillée dans l'alerte CERTA-2010-ALE-007. Le CERTA recommande donc de mettre à jour Flash Player avec la dernière version 10.1.53.64 disponible sur le site d'Adobe.Documentation
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
