Le CERT-XMCO recommande l’installation des « fix it » publiés par Microsoft. Ces outils permettent de mettre en place automatiquement des solutions de contournement aux failles de sécurité présentes dans Internet Explorer (import CSS : fix it n°50591) et Windows (prévisualisation : fix it n°50590). Aucun correctif n’est actuellement disponible.
Le CERT-XMCO recommande aussi l’installation des correctifs de sécurité MS11-001 et MS11-002 publiés par Microsoft dans le cadre de son « Patch Tuesday » du mois de janvier.
* Résumé des évènements majeurs :
– Vulnérabilités :
Plusieurs vulnérabilités critiques ont été corrigées au sein du navigateur Google Chrome.
Microsoft n’a toujours pas publié de correctifs pour les failles de sécurité liées aux imports CSS (Internet Explorer) ainsi qu’à la fonction de prévisualisation de Windows. Néanmoins, l’éditeur a publié des « fix it » (import CSS : fix it n°50591 ainsi que la prévisualisation : fix it n°50590) qui permettent de mettre en place automatiquement une solution de contournement temporaire.
– Correctifs :
Le concours « Pirate-moi » du mois de janvier aura permis de découvrir une faille de sécurité au sein du CMS SPIP en moins de cinq heures. Celle-ci a rapidement été corrigée.
Microsoft a publié les correctifs MS11-001 et MS11-002 dans le cadre de son « Patch Tuesday » du mois de janvier.
– Exploits :
Plusieurs codes d’exploitations ciblant les produits Microsoft ont été publiés cette semaine.
Le premier cible une faille de sécurité liée à la gestion du format SVG au sein d’Internet Explorer qui avait été corrigée par Microsoft dans son bulletin MS10-081. Son exploitation permet à un pirate de prendre le contrôle d’un système distant en incitant un internaute à visiter une page spécialement conçue.
Le second cible le système d’exploitation Windows et permet à un utilisateur local d’élever ses privilèges. Cette faille est actuellement exploitée par Stuxnet. Elle a été corrigée par Microsoft dans le bulletin MS10-073.
Enfin, une récente mise à jour du code du serveur ProFTPD a permis aux chercheurs qui travaillent sur le projet Metasploit de développer un code d’exploitation tirant parti d’une ancienne faille de sécurité découverte en 2006. Cette faille a été corrigée par les développeurs dans les versions 1.3.1 ainsi que dans les versions ultérieures.
– Cybercriminalité / Attaques :
Les données personnelles de près de 4 millions de clients australiens de Vodafone ont été dérobées par des pirates. Parmi les informations volées figureraient les noms, les adresses, les numéros de permis de conduire, et les numéros de carte de crédit des clients de l’opérateur. La faille de sécurité serait « humaine ». Un des revendeurs aurait partagé ses identifiants, permettant ainsi aux pirates d’accéder à ces informations sensibles.
– Conférence / Recherche :
Des chercheurs ont réussi à contourner l’une des protections introduites par Microsoft pour protéger le noyau de son système d’exploitation. Les « GS Cookie » empêchent les pirates de compromettre un système via une corruption de mémoire en introduisant un marqueur, aussi appelé « canari ». Si ce dernier est modifié, le programme s’arrête et empêche le pirate d’exécuter un code malveillant. Néanmoins, les deux chercheurs ont réussi à découvrir plusieurs techniques qui permettent de prédire la valeur de ce cookie, et qui, par conséquent, réduisent l’efficacité de cette mesure de protection. Grâce à cette découverte, des failles de sécurité trouvées au niveau du noyau, et qui étaient jusqu’alors considérées comme des dénis de service par Microsoft, deviennent exploitables afin de prendre le contrôle complet d’un système vulnérable.
Une clef WPA a été cassée en moins de 20 minutes par un chercheur à l’aide du « Cloud ». D’après lui, l’algorithme pourrait être amélioré pour effectuer le même travail en 6 min. De plus, cette attaque ne lui aura couté que quelques dollars (5,6) …
– Entreprises :
Après l’Inde et les Émirats Arabes Unis, c’est au tour de l’Indonésie de menacer RIM et son système BlackBerry. L’impossibilité d’accéder au contenu des messages échangés est, une nouvelle fois, à l’origine de ces menaces.
– International :
La saga WikiLeaks continue son chemin. Cette semaine, c’est au tour de Twitter de se faire remarquer en refusant de fournir des informations personnelles, appartenant entre autres à Julian Assange, au gouvernement américain sans en avoir informé ses utilisateurs. Pour cela, la société a contesté avec succès la demande du juge devant une cour de justice avant de l’exécuter. Twitter a donc pu respecter sa politique de confidentialité vis-à-vis de ses utilisateurs.
– XMCO :
L’ActuSécu est maintenant disponible en anglais !
https://www.xmco.fr/actualite-securite-vulnerabilite-fr.html
Enfin, nous vous rappelons que vous pouvez suivre l’actualité de la sécurité en retrouvant le CERT-XMCO sur Twitter :
http://twitter.com/certxmco
