* Avis d’expert :
Microsoft et Adobe ont publié 16 bulletins dans le cadre de leur cycle de sécurité. Le CERT-XMCO recommande l’installation en priorité des correctifs correspondant aux bulletins MS11-003, MS11-006, MS11-007, APSB11-02 et APSB11-03.
* Résumé des évènements majeurs :
– Vulnérabilités :
De nombreuses failles de sécurité ont été publiées par ZDI après que différents éditeurs n’aient pas réagi avant la date limite de prise en compte. Plusieurs failles liées à Office (ZDI-11-040, ZDI-11-042, ZDI-11-043, ZDI-11-044), à Novell eDirectory (ZDI-11-060) et à CA Gateway Security (ZDI-11-059) ont ainsi été révélées publiquement.
– Correctifs :
Dans le cadre de son Patch Tuesday, Microsoft a publié 12 correctifs pour les différentes versions de Windows, Internet Explorer, Visio, l’Active Directory et le serveur FTP de IIS. Le CERT-XMCO recommande l’installation des correctifs MS11-003, MS11-006 et MS11-007 respectivement relatifs à Internet Explorer et à Windows. Des exploits existaient pour plusieurs de ces vulnérabilités.
Adobe a de son côté publié 4 bulletins APSB11-01 (Shockwave), APSB11-02 (Flash), APSB11-03 (Adobe Reader et Acrobat) et enfin APSB11-04 (Coldfusion). Le CERT-XMCO recommande l’installation des correctifs disponibles pour Flash et Reader.
De nombreux autres correctifs ont été publiés cette semaine pour les logiciels suivants : VMware ESX(i) , Cisco Nexus, CheckPoint Endpoint Security et Integrity Server, Tomcat, OpenSSH, OpenSSL, Kerberos, WordPress, Django, ProFTPd, Google Chrome, Real Player et enfin PHPMyAdmin.
– Exploits :
Un code d’exploitation permettant de contourner les restrictions de sécurité mise en place au sein de la machine virtuelle Java a été publié. En incitant un utilisateur à exécuter un applet non signé, un pirate est en mesure de manipuler certains fichiers, pouvant ainsi mener à la compromission d’un système.
– Cybercriminalité / Attaques :
D’après les résultats préliminaires d’une enquête en cours, le système d’information du NASDAQ aurait été piraté. Peu d’informations sur ce sujet sont actuellement disponibles.
Selon une étude de l’institut Eurostat, un tiers des ordinateurs européen aurait été ciblé par des malwares au cours de l’année 2010.
– Conférence / Recherche :
Un chercheur aurait empoché plus de 13 000 dollars en rapportant 22 failles découvertes sur le portail « google.com » à Google.
Un chercheur a présenté une technique permettant à un pirate de récupérer simplement et rapidement la majorité des mots de passe stockés dans un iPhone. Le chercheur utiliserait pour cela les API Apple pour accéder au trousseau dont le contenu n’est pas protégé…
– XMCO :
L’ActuSécu est maintenant disponible en anglais !
https://www.xmco.fr/actualite-securite-vulnerabilite-fr.html
Enfin, nous vous rappelons que vous pouvez suivre l’actualité de la sécurité en retrouvant le CERT-XMCO sur Twitter :
http://twitter.com/certxmco
