Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2006-ACT-002

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 13 janvier 2006
No CERTA-2006-ACT-002

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2006-02


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-002

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-002.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-002/

1 Activité en cours

1.1 Incidents traités

1.1.1 Modifications de page web

Le CERTA a récemment traité deux cas de modifications de page web :

  • Dans le premier cas, la faille exploitée n'est pas connue. Plusieurs pages d'accueil de sites web hébergés sur la même machine ont été modifiées, mais l'attaque ne s'est pas limitée à ces actions puisqu'un intrus a ajouté un proxy pour faire de l'irc (bouncer).
  • Dans le second cas, la faille exploitée est probablement une vulnérabilité d'un forum phpBB qui n'était pas mis à jour.

1.1.2 Mise en liste noire

Un de nos correspondants nous a informés que ses serveurs de messagerie avaient été mis en liste noire (blacklist) par un organisme suite à l'infection de quelques postes par un code malveillant qui émettaient des messages non sollicités (spams). L'organisme gérant la liste noire exige qu'un montant d'au moins 50 dollars soit versé à une association caritative avant de retirer qui que ce soit de cette liste. Le CERTA traite actuellement cet incident. Si vous avez aussi été mis en liste noire, veuillez nous contacter afin que nous vous aidions à en sortir.

1.1.3 Fichier au format WMF malveillant

Un de nos correspondants nous a signalés l'infection de quelques postes sous Windows suite à l'exploitation de la vulnérabilité décrite dans l'alerte CERTA-2005-ALE-019. Il s'agit pour le moment du premier cas porté à notre connaissance. Nous rappelons que Microsoft a mis à disposition un correctif concernant cette vulnérabilité (voir avis CERTA-2006-AVI-011). Toutefois, ce correctif ne résoud pas tous les problèmes liés aux fichiers au format WMF. Il subsiste quelques vulnérabilités qui sont connues et ont été rendues publiques, mais selon Microsoft, l'impact de celles-ci se limitent à des problèmes de stabilité d'application (voir le message posté sur http://blogs.technet.com/msrc/archive/2006/01/09/417198.aspx).

1.1.4 Infections par Sober

Le CERTA a été informé de multiples infections par le ver Sober. L'activité liée à ce ver se caractérise par de nombreuses tentatives vers les sites :

  • people.freenet.de
  • scifi.pages.at
  • free.pages.at
  • home.pages.at
  • home.arcor.de

Recommandation :

L'examen des journaux des éventuels proxies permet de découvrir facilement ces infections. Le but des connexions vers les sites mentionnées ci-dessus est de télécharger des exécutables. Les machines infectées peuvent donc par la suite adopter un comportement imprévisible.

2 Correctifs de Microsoft

En marge du correctif concernant les fichiers WMF, Microsoft a émis deux bulletins ce mois-ci concernant des failles critiques relatives à l'affichage des polices web et au format TNEF dans les messages. Cette dernière (avis CERTA-2006-AVI-018) peut faire l'objet d'un ver. Il est important d'appliquer ces correctifs (conformément à votre politique de sécurité).

3 Rappel des avis et mises à jour émis

Durant la période du 06 au 12 janvier 2006, le CERTA a émis les avis suivants :

  • CERTA-2006-AVI-011 : Disponibilité du correctif sur la vulnérabilité Microsoft diffusée par l'alerte CERTA-2005-ALE-019
  • CERTA-2006-AVI-012 : Vulnérabilité dans ClamAV
  • CERTA-2006-AVI-013 : Vulnérabilité du module mod_ssl dans Apache 2
  • CERTA-2006-AVI-014 : Multiples vulnérabilités dans postgreSQL
  • CERTA-2006-AVI-015 : Vulnérabilité dans auth_ldap pour Apache
  • CERTA-2006-AVI-016 : Vulnérabilité dans uucp et uustat sous Solaris
  • CERTA-2006-AVI-017 : Vulnérabilité dans Microsoft Windows
  • CERTA-2006-AVI-018 : Vulnérabilité dans Microsoft Outlook et Exchange
  • CERTA-2006-AVI-019 : Vulnérabilités dans QuickTime
  • CERTA-2006-AVI-020 : Vulnérabilité dans mod_auth_pgsql pour Apache
  • CERTA-2006-AVI-021 : Vulnérabilité du système de filtrage ipfw de FreeBSD
  • CERTA-2006-AVI-022 : Vulnérabilité de Symantec Norton Protected Recycle Bin
  • CERTA-2006-AVI-023 : Vulnérabilité dans Cisco CS-MARS

Pendant cette même période, les mises à jour suivantes ont été publiées :

  • CERTA-2005-AVI-483-003 : Multiples vulnérabilités dans Xpdf et les bibliothèques dérivées

    (ajout des références aux bulletins de sécurité Mandriva)

  • CERTA-2006-AVI-011-001 : Disponibilité du correctif sur la vulnérabilité

    (ajout de la référence au bulletin de sécurité Avaya)

  • CERTA-2005-AVI-490-002 : Vulnérabilité sur le module mod_imap d'Apache

    (ajout du bulletin de sécurité Mandriva)

  • CERTA-2005-AVI-483-004 : Multiples vulnérabilités dans Xpdf et les bibliothèques dérivées

    (ajout des références aux bulletins de sécurité Debian)

  • CERTA-2005-AVI-483-005 : Multiples vulnérabilités dans Xpdf et les bibliothèques dérivées

    (remplacement de l'avis Fedora FEDORA-2005-1122 par l'avis FEDORA-2005-027 du 11 janvier 2006, remplacement des avis RedHat RHSA-2005-867 et RHSA-2005-878 par respectivement les avis RHSA-2006-0163 et RHSA-2006-0177 du 11 janvier 2006 ; ajout des avis Ubuntu USN-236-1 et USN-236-2, SuSE SUSE-SA:2006:001, Mandriva MDKSA-2006:010 et MDKSA-2006:011, Debian DSA-936 et DSA-937, des références CVE CAN-2005-3624 à CAN-2005-3628 et du bulletin sécurité de Chris Evans)

  • CERTA-2006-AVI-006-001 : Vulnérabilité dans cpio

    (ajout des références aux bulletins de sécurité FreeBSD et Mandriva)


Liste des tableaux

Gestion détaillée du document

13 décembre 2006
version initiale.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-08-17