Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2010-ACT-044

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 05 novembre 2010
No CERTA-2010-ACT-044

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2010-44


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-044

Gestion du document

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-044.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2010-ACT-044/

1 Alerte de la semaine

Cette semaine, le CERTA a publié un bulletin d'alerte (CERTA-2010-ALE-019) concernant une vulnérabilité non corrigée dans Microsoft Internet Explorer. Celle-ci permet l'exécution de code arbitraire à distance via une page web spécialement construite, en exploitant une erreur dans certaines séquences CSS où il est possible d'utiliser un objet après son déréférencement.

Du code malveillant exploitant cette faille est d'ores et déjà diffusé sur l'Internet.

Dans l'attente de la publication du correctif par l'éditeur, le CERTA recommande l'application des procédures de contournement provisoire détaillées dans le bulletin d'alerte CERTA-2010-ALE-019.

Documentation

2 Incidents de la semaine

Le CERTA a traité cette semaine plusieurs cas de défiguration pour lesquels le scénario d'attaque était systématiquement le même. L'attaquant a recherché des scripts permettant le dépôt de fichier. Lorsqu'il en trouvait, il l'utilisait pour installer une porte dérobée écrite en PHP (phpshell), cette dernière lui permettant de réaliser, parmi d'autres actions, une défiguration. En particulier, l'attaquant a utilisé FCKeditor pour le dépôt de ses fichiers.

Le logiciel FCKeditor, désormais appelé CKEditor, est un éditeur de texte qui peut être utilisé pour des pages Web. Il est directement intégré dans certains gestionnaires de contenu. Il est doté d'une fonctionnalité de dépôt de fichiers qui peut être détournée par un attaquant en vue d'installer des outils d'attaque.

Le CERTA recommande donc, outre le déploiement des mises à jour, de mettre en place des restrictions d'accès à tout logiciel de dépôt de fichiers.

3 Retour sur les vulnérabilités Adobe

La semaine dernière, le CERTA a publié une alerte concernant Adobe Flash Player, Adobe Reader et Acrobat (CERTA-2010-ALE-018). En effet, une vulnérabilité critique affecte ces produits et permet à une personne malintentionnée d'exécuter du code arbitraire à distance.

Cette semaine, Adobe a annoncé la mise à disposition d'un correctif pour Adobe Flash Player pour Windows, Macintosh, Linux et Solaris (cf. CERTA-2010-AVI-538). Il est donc impératif de mettre à jour Adobe Flash Player à la version 10.1.102.64.

Cependant, nous rappelons qu'Adobe n'a pas publié de correctif concernant les produits suivants :

  • Adobe Reader 9.4 ;
  • Adobe Acrobat 9.4.

De ce fait, la mise en place des actions suivantes est toujours fortement recommandée :

  • supprimer ou interdire l'accès au composant authplay.dll (cette action bloque l'exécution de contenu Flash et provoque une erreur à l'ouverture d'un document PDF contenant du Flash) ;
  • utiliser un logiciel alternatif.

Documentation

4 EMET version 2

Il y a quelques semaines Microsoft a publié la version 2 de son outil EMET. Pour mémoire, cet utilitaire avait fait l'objet d'un article dans le bulletin d'actualité CERTA-2009-ACT-044. Cette nouvelle version reprend le mode de fonctionnement de la précédente et se compose d'une bibliothèque de fonctions et d'un programme en ligne de commande permettant de le configurer. Chose nouvelle, il est désormais possible d'effectuer cette configuration via une interface graphique rendant plus convivial le paramétrage sur de multiples applications différentes. Nous ne détaillerons pas à nouveau les fonctionnalités déjà présentes dans la version 1 mais nous pourrons nous attarder sur celles apparues dans cette deuxième mouture :

  • le Mandatory ASLR donne la possibilité de forcer l'allocation de mémoire de façon non-linéaire (randomization) quelles que soient les options de compilation initiale du programme ;
  • l'Export Address Table Access Filtering ou EAF permet d'empêcher un code malveillant d'utiliser facilement l'API (Application Programming Interface) de Windows afin de s'exécuter correctement.

Comme pour la première version, il conviendra de bien tester l'impact d'EMET sur une application donnée avant de le déployer en production. De plus, en fonction de la version de Microsoft Windows utilisée, les fonctionnalités proposées ne seront pas forcement effectives. Typiquement, l'activation de l'ASLR sera impossible sous Windows XP SP3.


5 Rappel des avis émis

Dans la période du 29 octobre au 04 novembre 2010, le CERTA a émis les avis suivants :

  • CERTA-2010-AVI-522 : Vulnérabilité dans IBM WebSphere
  • CERTA-2010-AVI-523 : Multiples vulnérabilités dans Adobe Shockwave Player
  • CERTA-2010-AVI-524 : Vulnérabilité dans PAM
  • CERTA-2010-AVI-525 : Vulnérabilités dans Symantec IM Manager
  • CERTA-2010-AVI-526 : Multiples vulnérabilités dans IBM HTTP Server
  • CERTA-2010-AVI-527 : Vulnérabilité dans les copieurs Xerox
  • CERTA-2010-AVI-528 : Vulnérabilité dans SonicWALL SSL-VPN
  • CERTA-2010-AVI-529 : Vulnérabilité dans IBM Tivoli Directory Proxy Server
  • CERTA-2010-AVI-530 : Multiples vulnérabilités dans Linux PAM
  • CERTA-2010-AVI-531 : Vulnérabilités dans ProFTPD
  • CERTA-2010-AVI-532 : Vulnérabilité dans ISC DHCP
  • CERTA-2010-AVI-533 : Multiples vulnérabilités dans Bugzilla

Durant la même période, les avis suivants ont été mis à jour :

  • CERTA-2010-AVI-499-001 : Multiples vulnérabilités dans les produits Oracle (mise à jour des CVE)


Liste des tableaux

Gestion détaillée du document

05 novembre 2010
version initiale.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-04-28