Actu
Wolfgang Kandek, CTO de Qualys. commente le CPU Oracle d’octobre 2013
octobre 2013 par Wolfgang Kandek, CTO de Qualys
Commençons par nous pencher sur le patch pour Java, un logiciel largement installé et massivement attaqué. Ce patch pourrait figurer en tête de votre liste de patchs. La mise à jour traite 51 vulnérabilités, dont 12 avec le score le plus élevé pour CVSSv2, soit 10, ces vulnérabilités permettant de prendre le contrôle d’une machine attaquée via le réseau et sans authentification requise. La majorité des vulnérabilités sont concentrées du côté du client Java, c’est-à-dire sur les postes de travail et ordinateurs portables, les vecteurs d’attaque les plus courants étant la navigation sur le Web et les pages Web malveillantes. Mais deux vulnérabilités hautement critiques concernent aussi les installations sur les serveurs : CVE-2013-5782 et CVE-2013-5830. La nouvelle version est Java 7 avec la mise à jour 45, que vous devriez déployer le plus vite possible sur vos postes de travail et ordinateurs portables.Java 6 est également sensible à 11 des 12 vulnérabilités hautement critiques, mais il n’existe plus de patch public pour Java 6. Il est donc recommandé de passer à Java 7 dans la mesure du possible.
Si vous ne pouvez pas, je vous recommande d’isoler la machine qui doit exécuter Java 6 et de ne pas l’utiliser pour une quelconque activité exigeant une connexion à Internet, notamment la messagerie ou la navigation sur Internet.
Le reste de la mise à jour CPU de ce mois-ci comprend 76 mises à jour concernant la plupart des gammes de produits Oracle. De nombreuses vulnérabilités traitées fournissent un accès à distance et non authentifié au pirate et doivent faire partie de vos priorités de remédiation, en particulier pour les applications exposées sur Internet.
Voici notre liste de priorités pour cette mise à jour :
Ce trimestre, le SGBDR d’Oracle bénéficie de 4 mises à jour pour des vulnérabilités toutes exploitables à distance. La vulnérabilité au sein de l’analyseur XML affiche le score CVSS le plus élevé, soit 6 sur une échelle de 10. Avec un facteur de mitigation cependant, à savoir que les bases de données Oracle sont généralement non exposées sur Internet.
8 nouvelles vulnérabilités ont été traitées sur la base de données MySQL d’Oracle, le score le plus élevé de 8,5 étant attribué au composant de supervision MySQL. Cependant, toutes les vulnérabilités accessibles via le réseau exigent une authentification, notamment deux qui sont accessibles à distance et dont le score CVSS est de 6,8. MySQL est souvent exposé sur Internet, même si ce n’est pas la meilleure pratique recommandée. Si votre entreprise utilise MySQL, il est conseillé d’effectuer une analyse périmétrique pour collecter des informations sur l’ensemble des bases de données exposées de manière externe.
La gamme de produits Sun fait l’objet de 12 mises à jour, avec un score élevé de 6,9 sur un module d’administration de serveur SPARC (ILOM). En règle générale, l’accès à ces modules doit être étroitement contrôlé. En effet, ces derniers fournissent de très puissantes fonctions d’administration telles que la mise sous et hors tension. Cependant, des travaux de recherche tout récents démontrent que ces interfaces critiques se retrouvent souvent sur Internet. Si votre entreprise utilise des serveurs Sun Solaris, appliquez ces patchs en commençant par les machines installées dans votre périmètre et sur la DMZ.
Au total, Fusion Middleware d’Oracle présente 17 vulnérabilités, dont 12 accessibles à distance, et affiche un score CVSS maximum de 7,5. ll peut être utile d’avoir une carte des produits Oracle Fusion Middleware (notamment Identity Manager, GlassFish ou Oracle Weblogic) installés dans votre entreprise pour décider des patchs à appliquer en priorité.
Fusion comprend également le produit Outside-In utilisé dans Microsoft Exchange (ainsi que d’autres solutions logicielles) et qui est dédié à la consultation de documents. Microsoft a traité les vulnérabilités CVE-2013-2393, CVE-2013-3776 et CVE-2013-3781 dans son bulletin Patch Tuesday d’août MS13-061. Il faut donc s’attendre à ce que les nouvelles vulnérabilités CVE-2013-5791 et CVE-2013-3624 entraînent la diffusion d’une nouvelle version d’Exchange de la part de Microsoft.
Parmi les autres gammes de produits faisant l’objet de mises à jour de sécurité figurent notamment Peoplesoft, E-Business et Virtualization.
Afin de gérer efficacement une diffusion de patchs aussi importante et qui concerne plus de 120 vulnérabilités, nous vous invitons à procéder dans l’ordre suivant : commencez par Java qui est le logiciel le plus concerné dans cette CPU, puis enchaînez avec les vulnérabilités affectant les services exposés sur Internet, notamment Weblogic, HTTP, etc. Si vos bases de données ne sont pas directement exposées sur Internet, et c’est tant mieux, vous aurez davantage de temps pour leur appliquer les tout derniers niveaux de patch.
