Rechercher Contactez-nous

Suivez-nous sur Twitter

Les événements

30 avril Toulouse : Thales Roadshow 2024 : « Unlock your Cyber ! »

Abonnez-vous gratuitement à notre NEWSLETTER

Vulnérabilités

CERT-XMCO : avis d’expert, semaine du 2 au 8 mai

mai 2011 par CERT-XMCO

- Date : 11 Mai 2011

- Gravité : Moyenne

- Description :

Chaque semaine, les consultants du service de veille synthétisent et analysent les faits marquants de la semaine :

* Avis d’expert :

Suite à la mort du terroriste international Ben Laden [1], le CERT-XMCO alerte les internautes de l’utilisation de cet événement par les pirates. De nombreux pourriels au sujet se rapportant à cette information ont ainsi été envoyés.

Le CERT-XMCO porte à votre attention la date du 10 mai prochain. Microsoft publiera à cette date deux correctifs dans le cadre de son Patch Tuesday [2] mensuel.

* Résumé des évènements majeurs :

- Vulnérabilités :

Plusieurs failles de sécurité ont été découvertes cette semaine. Parmi les logiciels vulnérables, VLC [3] et Wordpress [4] peuvent être exploités afin de prendre le contrôle d’un système à distance. Asterisk [5] est victime d’une fuite d’information. Enfin, plusieurs vulnérabilités permettant de provoquer un déni de service ont été corrigées au sein de l’IOS de Cisco [6].

- Correctifs :

Oracle a publié cette semaine de nombreux correctifs pour Solaris (ThunderBird [7], APR-Util [8], CGI.pm [9], OpenSSL [10] et Apache [11]).
De nombreux autres logiciels ont été mis à jour, parmi lesquels Photoshop CS5 [12], Horde [13], OpenView Storage Data Protector [14], l’iPhone OS [15], plusieurs produits VMware [16] (VMSA-2011-0008), et enfin le serveur DNS Bind [17].

- Exploits :

Deux codes d’exploitation permettant de prendre le contrôle d’un serveur à distance via une injection de code SQL ont été publiés. Ces codes exploitent deux vulnérabilités au sein du CMS Joolma ! [18] et Cisco Unified Communications Manager [19].

Un autre code d’exploitation ciblant Oracle AS Portal [20] a aussi été publié. Celui-ci permet de mener une attaque du type "Cross-Site Scripting" (XSS).

- Conférence / Recherche :

Cisco a publié cette semaine un outil très utile lors d’un audit de sécurité : Cisco IOS Software Checker [21]. Cet outil en ligne permet de lister l’ensemble des avis de sécurité publiés par Cisco relatifs à une version particulière du logiciel.

- Cybercriminalité / Attaques :

La mort d’Oussama Ben Laden [1] est un sujet brulant. Celui-ci a donc naturellement été repris par les auteurs de malwares afin de propager leurs logiciels malveillants. Spams ou encore (black) SEO sont utilisés par les pirates afin de compromettre les ordinateurs des victimes ayant succombé à la curiosité...

Après avoir été longtemps silencieuse, la société Japonaise Sony [22] a reconnu cette semaine avoir été victime d’attaque de grande ampleur contre ses services PlayStation Network (PSN), Qriocity, Sony Online Entertainement (SOE). Les attaques auraient permis au(x) pirate(s) de dérober les informations personnelles associées à environ 100 millions de comptes utilisateurs. Dans ces informations se trouvaient, entre autres, des données bancaires... Peu d’informations sur l’attaque en elle-même ont été diffusées. Il semblerait que l’utilisation d’une version particulièrement ancienne du serveur Apache soit à l’origine de l’intrusion [23]. Selon le géant nippon, les "Anonymous" [24] pourraient être liés à cette attaque...

Les systèmes d’exploitation d’Apple sont de plus en plus pris pour cible. Un faux antivirus [25] ainsi qu’un "crimekit" [26] tout deux dédiés à cette plateforme ont ainsi fait leur apparition cette semaine...

- Entreprises :

Microsoft a annoncé cette semaine la date du prochain "Patch Tuesday" [2]. Le 10 mai prochain seront publiés deux correctifs pour Windows et Office corrigeant respectivement une faille de sécurité jugée critique ainsi qu’une autre faille jugée importante.
Dans le même temps, l’éditeur a annoncé la mise à jour de son "Exploitability Index" [27]. Celui-ci datait de 2008, et ne s’adaptait plus aux dernières versions des logiciels de Microsoft.

HP [28] a été victime des réseaux sociaux. En effet, l’un de ses hauts cadres dirigeants, responsable d’un projet de R&D sensible, a révélé des informations confidentielles en mettant simplement à jour son profil LinkedIn. Celui-ci étant public, l’ensemble des concurrents d’HP a ainsi pu obtenir les grandes lignes directrices de ce projet jusqu’alors gardé quasi secret...

Finalement, Oracle a publié l’Update 25 de Java 6 [29]. Cette mise à jour n’apporte aucun correctif de sécurité.

Enfin, nous vous rappelons que vous pouvez suivre l’actualité de la sécurité en retrouvant le CERT-XMCO sur Twitter :
http://twitter.com/certxmco

- Référence :

[1]
https://cert.xmco.fr/veille/client/index.xmco?nv=CXA-2011-0691

http://nakedsecurity.sophos.com/2011/05/02/osama-bin-laden-dead-so-watch-for-the-spams-and-scams/

[2]
https://cert.xmco.fr/veille/client/index.xmco?nv=CXA-2011-0724

http://www.microsoft.com/technet/security/bulletin/ms11-may.mspx

[3]
https://cert.xmco.fr/veille/client/index.xmco?nv=CXA-2011-0710

http://secunia.com/advisories/44412/

http://secunia.com/advisories/44388/

[4]
https://cert.xmco.fr/veille/client/index.xmco?nv=CXA-2011-0713

http://websecurity.com.ua/5108/