Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2011-ACT-002

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 14 janvier 2011
No CERTA-2011-ACT-002

Affaire suivie par :

CERTA

Objet : Bulletin d'actualité 2011-02


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-002

Gestion du document

Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-002.pdf

Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante :

http://www.certa.ssi.gouv.fr/site/CERTA-2011-ACT-002/

1 Compromission d'un serveur Web

Cette semaine, le CERTA a traité le cas d'un serveur Web compromis, impliqué dans une attaque en déni de service. L'analyse de cette machine a permis de mettre en évidence l'exploitation d'une faille de phpMyAdmin connue depuis mars 2009 (voir avis CERTA-2010-AVI-117). Le principe de cette faille consiste à effectuer une opération de sauvegarde de nouvelle configuration, cette dernière correspondant en réalité à du code PHP exécutable. Une telle attaque laisse des traces significatives dans les journaux, par exemple :

<IP attaquant> - - [13/01/2011:20:18:51 +0100] "POST /phpmyadmin/scripts/setup.php 
HTTP/1.1" 200 284789 "Opera"

L'attaquant a par la suite installé divers outils dans le répertoire /var/tmp/" " (le nom du sous-répertoire n'est composé que d'un seul « espace »).

Le serveur ainsi compromis a été utilisé comme robot IRC. Il recevait des instructions d'attaque (déni de service ou exploitation de vulnérabilités) au travers d'un canal IRC.

La lecture des journaux du serveur indique que celui-ci était régulièrement compromis par cette faille de phpMyAdmin.

Les incidents de ce type ne sont pas isolés. C'est la raison pour laquelle le CERTA recommande d'entreprendre les actions suivantes :

  • mettre à jour systématiquement les logiciels utilisés. L'application du correctif de phpMyAdmin dès sa publication aurait empêché la compromission du serveur ;
  • filtrer les connexions sortantes du serveur. Dans notre cas, un filtrage des connexions vers des serveurs IRC aurait fortement limité l'impact de la compromission ;
  • lire les journaux, et rechercher notamment les requêtes POST réussies sur le fichier setup.php ;
  • vérifier régulièrement le contenu du répertoire /var/tmp car les intrus y déposent souvent une partie de leurs outils (ce n'est pas systématique).

Documentation :

2 Mises à jour Microsoft du mois de janvier

Cette semaine, Microsoft a publié deux bulletins de sécurité dans le cadre de ses mises à jour mensuelles.

Le premier bulletin concerne une vulnérabilité dans le gestionnaire de sauvegarde de Windows Vista et permet à une personne malveillante d'exécuter du code arbitraire à distance. Le deuxième bulletin concerne deux vulnérabilités et tous les systèmes Microsoft Windows. Leur exploitation permet l'exécution de code arbitraire au moyen d'une page web spécialement conçue.

Cette semaine, le CERTA a également mis à jour l'alerte CERTA-2010-ALE-021 sur Internet Explorer qui n'a pas été corrigée par le lot de correctifs de janvier. Un contournement provisoire a en revanche été publié par Microsoft. Celui-ci modifie la bibliothèque MSHTML.DLL et il est impératif d'avoir auparavant installé la mise à jour MS10-090 du 14 décembre 2010. L'application de ce contournement est fortement recommandée, toutefois la prudence s'impose quant aux éventuels effets de bord.


3 Rappel des avis émis

Dans la période du 07 au 13 janvier 2011, le CERTA a émis les avis suivants :

  • CERTA-2011-AVI-003 : Vulnérabilité dans PHP
  • CERTA-2011-AVI-004 : Vulnérabilités dans les paquetages tiers pour VMware
  • CERTA-2011-AVI-005 : Multiples vulnérabilités dans evince
  • CERTA-2011-AVI-006 : Vulnérabilité dans Mac OS X
  • CERTA-2011-AVI-007 : Vulnérabilité dans Mono
  • CERTA-2011-AVI-008 : Vulnérabilité dans Novell Identity Manager
  • CERTA-2011-AVI-009 : Vulnérabilité dans Windows Vista
  • CERTA-2011-AVI-010 : Vulnérabilités dans Microsoft Data Access Components
  • CERTA-2011-AVI-011 : Vulnérabilité dans Struts
  • CERTA-2011-AVI-012 : Vulnérabilité dans Symantec Web Gateway

Durant la même période, les avis suivants ont été mis à jour :

  • CERTA-2010-AVI-635-001 : Vulnérabilités dans Django (ajout des références au bulletin Ubuntu et aux CVE)
  • CERTA-2011-AVI-005-001 : Multiples vulnérabilités dans evince (ajout du correctif Fedora)


Liste des tableaux

Gestion détaillée du document

14 janvier 2011
version initiale.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-08-16