CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2011-01
Gestion du documentLe bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-001.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-001/ 1 Vulnérabilités de la semaine1.1 PHP et virgule flottanteCette semaine, une vulnérabilité importante dans PHP a été corrigée. En effet, sous certaines conditions, le traitement d'une unique valeur en virgule flottante provoquait une boucle infinie entraînant un déni de service. La vulnérabilité intervenait lors de l'initialisation d'une variable avec une valeur représentée par une chaîne de caractères, cette représentation pouvant prendre plusieurs forme pour une même valeur (ex: « 10.2 », « 1.02E01 », « 102E-01 »...). L'exploitation de cette vulnérabilité est triviale, une simple requête de type GET peut suffire. Il est précisé sur le site de PHP que seules les plates-formes de type x86 en 32 bits seraient concernées par ce problème.Le CERTA recommande bien sûr d'effectuer les mises à jour, en respect avec les processus de déploiement locaux. 2.1 Documentation
1.2 Rendu graphique des miniatures dans WindowsCette semaine le CERTA a publié sa première alerte de l'année, CERTA-2011-ALE-001, à propos d'une vulnérabilité lors du rendu graphique des miniatures dans Windows. Elle concerne les systèmes Windows XP SP2/SP3, Windows Server 2003 SP2, Windows Vista SP1/SP2 et Windows Server 2008 SP2. Microsoft recommande comme moyen de contournement provisoire de limiter les droits de la bibliothèque en charge du rendu (CF. Alertes CERTA et Microsoft). Des exemples de code d'exploitation de cette vulnérabilité sont d'ores et déjà recensés sur l'Internet.Microsoft précise que cette vulnérabilité, ainsi que celle du 23 décembre 2010 (CERTA-2010-ALE-021) concernant Internet Explorer, ne seront pas corrigées avec les mises à jour du mois de janvier. Le CERTA recommande l'application, si possible, des moyens de contournements, le respect des bonnes pratiques en matière de SSI, et au besoin, l'utilisation de logiciels alternatifs. Documentation
2 Contournement des sandbox de sécurité dans Flash PlayerFlash Player utilise un mécanisme de bac
à sable (sandbox) afin de
cloisonner les interactions entre les fichiers locaux et le
réseau. Ce mécanisme n'est pas à confondre
avec la sandbox du plugin flash dans chrome
évoqué dans CERTA-2010-ACT-048. Flash Player assigne les fichiers SWF
(ShockWave Flash) à des sandbox de sécurité
différentes, selon leur origine. Les fichiers
consultés depuis l'Internet sont ainsi assignés
à des sandbox
séparées correspondantes à leurs sites Web
d'origine. Ces fichiers ne sont pas autorisés à
charger des ressources ou fichiers locaux. Les fichiers SWF locaux sont, quant à eux, par
défaut placés dans la sandbox local-with-file-system. Ils sont alors
autorisés à lire des fichiers locaux mais ne
peuvent pas communiquer avec le réseau. Cette politique
de sécurité est mise en place afin
d'éviter qu'un fichier SWF malveillant soit
utilisé pour faire de l'exfiltration de documents. Un chercheur a découvert un moyen contourner cette
restriction en permettant à un fichier, assigné
à la sandbox local-with-file-system, d'envoyer des
données sur le réseau. La prévention de
l'accès au réseau est réalisée par
un mécanisme de liste noire de gestionnaires de
protocoles. En utilisant le gestionnaire de protocole MHTML qui n'est pas dans cette liste la
prévention est contournée et des fichiers peuvent
être envoyés sur le réseau. Ce gestionnaire
de protocole est présent par défaut sous
Windows 7. Le CERTA rappelle que les différentes protections misent en place par cette technologie (blasklist, sandbox...), restent contournables et ne sont que des éléments constitutifs d'une défense en profondeur du SI. 2.1 Documentation
|
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
