S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 11 mars 2011 No CERTA-2011-ACT-010

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2011-10

Gestion du document

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-010.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-010/

1 Réseau privé et RFC 1918

Dans le cadre du traitement des incidents, le CERTA est parfois amené à constater que des réseaux privés ne respectent pas la RFC 1918. Ce document précise quels sont les blocs d'adresse IP qui peuvent être utilisés pour l'adressage des réseaux privés. En particulier, il s'agit :

• de la classe 10/8, qui comporte 16777216 adresses ;
• des classes 172.16/12, ce qui représente 1048576 adresses ;
• des classes 192.168/16, soit 65536 adresses.

Toutefois, de nombreux réseaux utilisent des adresses IP publiques qui, souvent, ne leur appartiennent pas. Une erreur commune est de penser que cela n'a aucune incidence. Pourtant :

• les adresses IP publiques utilisées appartenant à d'autres organismes, celles-ci sont susceptibles d'être attribuées par exemple à des serveurs. Il est probable dans ce cas que ces serveurs ne soient plus visibles (donc plus accessibles) depuis le réseau privé, pour des raisons de routage interne ;
• de la même façon, les véritables propriétaires des adresses IP publiques pourraient être bloqués par des règles de filtrage (ingress filtering) et se verraient ainsi dans l'impossibilité de communiquer avec certains serveurs ;
• enfin, la lecture des journaux, notamment en cas d'incident, devient particulièrement complexe, la traçabilité n'étant pas correctement assurée.

Pour ces raisons, il est fortement recommandé d'avoir recours exclusivement à un adressage conforme à la RFC 1918 pour les réseaux privés.

Documentation

• RFC 1918 :

  http://tools.ietf.org/html/rfc1918
  

2 Mise à jour 4.3 du système IOS d'Apple

Apple a publié la dernière version de son OS pour iPhone 3GS et supérieur, iPod touch troisième génération et supérieur et iPad. Cette mise à jour corrige plusieurs vulnérabilités, dont certaines concernent Webkit et permettent l'exécution de code arbitraire à distance au moyen d'une page Web spécialement conçue.

Commercialisé depuis juillet 2008 l'iPhone 3G ne peut recevoir la version 4.3 d'iOS et aucune correction de vulnérabilités n'est disponible pour le moment. Pour rappel, l'iPhone EDGE (première génération), commercialisé un peu moins d'un an avant le 3G ne reçoit plus de mise à jour depuis la sortie de la version 3.1.3 (février 2010) et est vulnérable à un certains nombre d'attaques.

Le CERTA recommande d'effectuer la mise à jour 4.3 sur les appareils compatibles dès que possible.

Documentation

• Bulletin de sécurité Apple HT4564 du 09 mars 2011 :

  http://support.apple.com/kb/HT4564
  

• Avi CERTA-2011-AVI-151 du 11 mars 2011 :

  http://www.certa.ssi.gouv.fr/site/CERTA-2011-AVI-151/
  

3 Rappel des avis émis

Dans la période du 04 au 10 mars 2011, le CERTA a émis les avis suivants :

• CERTA-2011-AVI-131 : Multiples vulnérabilités dans Moodle
• CERTA-2011-AVI-132 : Vulnérabilités dans syslog-ng
• CERTA-2011-AVI-133 : Vulnérabilité dans PyWebDAV
• CERTA-2011-AVI-134 : Multiples vulnérabilités dans iTunes
• CERTA-2011-AVI-135 : Vulnérabilité dans LibTIFF
• CERTA-2011-AVI-136 : Vulnérabilité dans Apache Subversion
• CERTA-2011-AVI-137 : Vulnérabilité dans Cisco Security Agent
• CERTA-2011-AVI-138 : Vulnérabilité dans Novell Vibe OnPrem
• CERTA-2011-AVI-139 : Vulnérabilité dans EnterpriseDB Postgres Plus Advanced Server
• CERTA-2011-AVI-140 : Vulnérabilités dans Windows Media
• CERTA-2011-AVI-141 : Vulnérabilité dans Microsoft Groove
• CERTA-2011-AVI-142 : Vulnérabilité dans le client Remote Desktop de Windows
• CERTA-2011-AVI-143 : Multiples vulnérabilités dans VMware ESX/ESXi
• CERTA-2011-AVI-144 : Multiples vulnérabilités dans Joomla!
• CERTA-2011-AVI-145 : Vulnérabilité dans Ubuntu
• CERTA-2011-AVI-146 : Vulnérabilité dans Postfix
• CERTA-2011-AVI-147 : Vulnérabilité dans Apache Archiva
• CERTA-2011-AVI-148 : Vulnérabilités dans Google Chrome

Durant la même période, les avis suivants ont été mis à jour :

• CERTA-2010-AVI-555-002 : Vulnérabilité dans OpenSSL (Ajout de la référence au bulletin de sécurité HP-UX)
• CERTA-2010-AVI-590-001 : Vulnérabilités dans OpenSSL (Ajout de la référence au bulletin de sécurité HP-UX)
• CERTA-2011-AVI-093-001 : Multiples vulnérabilités dans Oracle Java (ajout de la mise à jour de Java pour les systèmes Mac OS X)

Gestion détaillée du document

11 mars 2011

version initiale.