Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2006-ACT-051

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 22 décembre 2006
No CERTA-2006-ACT-051

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2006-51


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-051

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-051.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-051/

1 Activité en cours

1.1 Captures de frappes au clavier

Cette semaine, le CERTA a été informé d'un incident de sécurité informatique dû au déploiement d'un outil de capture de données au clavier (keylogger) sur les postes des utilisateurs.

Les données sont recueillies par cet outil malveillant lorsque l'internaute remplit des formulaires sur un site Web. À titre d'illustration, voici un aperçu de la nature des captures de consultation de sites Web portées à notre connaissance :

  • des données concernant la consultation de plus de 200 sites Web (dans le domaine .fr) ;
  • depuis plus de 2500 adresses IP différentes.

Parmi les informations collectées, on trouve :

  • des informations de connexion sur des webmails ;
  • des numéros de sécurité sociale utilisés comme identifiants ;
  • des identifiants de connexion pour des sites publics ou commerciaux ;
  • des demandes d'acte d'état civil ;
  • des informations bancaires (RIB, numéros de cartes).

On notera que le fait que les sites soient sécurisés (https) n'a pas empêché la capture dans la mesure où celle-ci s'effectue sur le poste de l'internaute.

Le CERTA dans le cadre de sa démarche de traitement d'incidents informe les responsables sécurité des serveurs.

Recommandations

Le CERTA attire l'attention des internautes sur l'importance de choisir un poste de travail sain pour procéder à la saisie de données sensibles. Si le poste n'est pas sain, alors la transaction ne peut pas être sûre quelle que soit la solidité des mesures de sécurité mises en place sur le serveur ou entre celui-ci et le poste utilisateur.

Seule l'application rigoureuse des consignes habituelles permet de maintenir un poste sain :

  • applications systématiques des mises à jour de sécurité ;
  • mise en œuvre d'un pare-feu ;
  • suppression des services inutiles ;
  • utilisation d'un antivirus à jour ;
  • vigilance de l'utilisateur sur les anomalies de fonctionnement ;
  • etc.

1.2 Filtrage des flux sortants

Le CERTA a traité un incident suite au signalement d'une machine compromise. Cette dernière envoyait des requêtes à destination d'une machine distante, via le port TCP 6667, associé au service IRC. Ce protocole de messagerie sert également de canal de contrôle dans le cadre de réseaux de machines zombi (botnet).

Outre la compromission de la machine, certaines mesures préventives auraient dû être prises, afin d'éviter qu'une machine interne puisse établir des connexions vers n'importe quel port. De manière générale, le CERTA rappelle qu'il est capital de filtrer les tentatives de connexion depuis le réseau interne. Avoir une politique sortante du type

N_importe_quelle_adresse -> N_importe_quelle_adresse

peut être dangereuse. Il faut, notamment, considérer les points suivants :

  • la politique de filtrage par défaut peut être de tout interdire, puis d'ajouter des règles (ports, adresses) en fonction des besoins ; en l'occurrence, le port destination TCP 6667 n'a pas forcément de raison d'être autorisé, sauf dans un contexte bien particulier.
  • les règles utilisées doivent vérifier que les adresses source sortant du domaine interne sont cohérentes avec le plan d'adressage ;
  • la journalisation (log) doit permettre de récupérer le trafic bloqué. L'administrateur peut ainsi voir plus facilement, à partir de cette source d'informations, quelles machines commencent à s'adresser à des ports non légitimes de machines extérieures.

Ces démarches ne protègent pas des codes ouvrant des connexions sur des ports supposés légitimes (cas des tunnels), mais limitent les risques de rebond d'une machine compromise, et offrent une source intéressante de surveillance du réseau pour l'administrateur.

Il est possible d'utiliser les différents types de proxies pour affiner le filtrage sortant et limiter les effets des tunnels.

Le CERTA recommande la lecture de la note d'information CERTA-2006-INF-001 relative au filtrage et aux pare-feux :

http://www.certa.ssi.gouv.fr/site/CERTA-2006-INF-001/

2 Avis Microsoft du mois de décembre 2006

2.1 Les faits

Plusieurs vulnérabilités présentes au moins dans les applications Microsoft Word, Microsoft Works, Microsoft Visionneuse et OpenOffice.org permettent d'exécuter du code arbitraire à distance au moyen d'un fichier au format Word (.doc) spécialement conçu.

Le savoir-faire permettant d'exploiter cette vulnérabilité est largement publié sur l'Internet ainsi que des codes d'exploitation qui sont d'ores et déjà diffusés.

Le CERTA a été informé par l'un de ses correspondants de l'apparition sur ses passerelles de messagerie de documents exploitant cette vulnérabilité. Ces documents ont été détectés et identifiés par les passerelles anti-virales déployées sur ce même réseau. Selon les premières analyses des éditeurs anti-virus ce code d'exploitation tenterait de télécharger et/ou d'exécuter du code malveillant depuis l'Internet.

Le CERTA recommande de porter une attention toute particulière aux journaux d'événements des équipements réseaux (passerelles, parfeux, serveurs mandataires) qui permettraient de déceler toutes anomalies liées à cette vulnérabilité.

Informer le CERTA de tout incident relatif à l'exploitation de cette vulnérabilité.

2.2 Contournement provisoire

  • Utiliser un format de document alternatif tel que le format rtf (Rich Text File).
  • Utiliser un outil alternatif de visualisation et/ou d'édition des documents au format Word (Wordpad sous Microsoft Windows et Abiword sous GNU/Linux).
  • Mettre les bases de signatures d'anti-virus à jour.
  • Filtrer les documents au format Word au niveau des passerelles de périphériques (messagerie, HTTP).
  • Ouvrir uniquement les documents au format Word provenant de sources de confiance.
  • Utiliser un compte n'ayant pas de droit d'administration permet de limiter l'infection au contexte de l'utilisateur.
  • Sensibiliser les utilisateurs à informer leur RSSI (Responsable en Sécurité des Systèmes d'Informations) lorsque une erreur survient à l'ouverture d'un document au format Word.

3 Concernant le filtrage associé au trafic UDP

Il existe plusieurs procédés pour effectuer des traductions d'adresses (ou NAT pour Network Address Translation) permettant à des machines à l'intérieur d'un réseau d'accéder à l'Internet par le biais d'un ensemble d'adresses IP publiques. Les plus courantes font également une traduction au niveau des ports.

Il existe un protocole, décrit dans le RFC 3489, détaillant une méthode pour que deux machines, chacune dans un réseau différent, puissent communiquer entre elles en UDP malgré le NAT. Il s'appelle STUN (Simple Traversal of UDP through NAT), et s'utilise avec des applications comme Google Talk ou Skype.

Cette méthode peut permettre, sous certaines conditions, de contacter directement une machine se trouvant derrière un NAT, et peut donc être une violation à la politique de sécurité. Il est important de vérifier que les règles de filtrage, notamment celles liées à UDP, empêche ce scénario si celui-ci n'est pas autorisé.

En relation avec l'article précédent sur le filtrage, une solution pour contourner ce problème serait, indépendemment du NAT, de filtrer de manière restrictive et rigoureuse les connexions sortantes en UDP.

4 Rappel des avis émis

Durant la période du 15 au 21 décembre 2006, le CERTA a émis les avis suivants :

  • CERTA-2006-AVI-551 : Vulnérabilité dans HP ILO
  • CERTA-2006-AVI-552 : Vulnérabilité dans le client Novell
  • CERTA-2006-AVI-554 : Vulnérabilité de l'antivirus Sophos
  • CERTA-2006-AVI-555 : Vulnérabilités de Symantec Veritas NetBackup
  • CERTA-2006-AVI-556 : Vulnérabilité de GNOME Display Manager (GDM)
  • CERTA-2006-AVI-557 : Vulnérabilités de Websphere
  • CERTA-2006-AVI-558 : Vulnérabilité dans BitDefender
  • CERTA-2006-AVI-559 : Vulnérabilité dan Kerio MailServer
  • CERTA-2006-AVI-560 : Vulnérabilité d'IBM DB2
  • CERTA-2006-AVI-562 : Vulnérabilités dans Ruby
  • CERTA-2006-AVI-563 : Multiples vulnérabilités dans Avaya Predictive Dialing System
  • CERTA-2006-AVI-564 : Vulnérabilité de McAfee
  • CERTA-2006-AVI-565 : Vulnérabilité dans Typo3
  • CERTA-2006-AVI-566 : Vulnérabilités dans MailEnable
  • CERTA-2006-AVI-567 : Vulnérabilité dans Computer Associates CleverPath
  • CERTA-2006-AVI-568 : Multiples vulnérabilités dans les produits Mozilla
  • CERTA-2006-AVI-569 : Vulnérabilité MacOS X Quicktime et Quartz

Pendant cette période, les avis suivants ont été mis à jour :

  • CERTA-2006-AVI-397-002 : Plusieurs vulnérabilités dans Xorg X11 et XFree86 (ajout des références aux bulletins de sécurité Avaya, Red Hat et Gento o.)
  • CERTA-2006-AVI-439-001 : Multiples vulnérabilités dans Microsoft Excel (ajout de la référence de la mise à jour du bulletin de sécurité Micros oft MS06-059)
  • CERTA-2006-AVI-488-001 : Vulnérabilités dans la bibliothèque imlib2 (ajout de la référence au bulletin de sécurité Gentoo)
  • CERTA-2006-AVI-516-001 : Vulnérabilité de GNU tar (ajout des références aux bulletins de sécurité Red Hat, Gentoo, Debian , FreeBSD)
  • CERTA-2006-AVI-553-001 : Vulnérabilité de ClamAV (ajout des références aux bulletins de sécurité Gentoo, SuSE, Debian et Mandriva)
  • CERTA-2006-AVI-561-001 : Vulnérabilité de ProFTPd (ajout de la référence au bulletin de sécurité Mandriva)


Liste des tableaux

Gestion détaillée du document

22 décembre 2006
version initiale.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-04-26