Adobe a publié une alerte à la suite de la découverte par Lockheed Martin d’une attaque exploitant une faille de sécurité au sein de son lecteur de fichier PDF Abode Reader. Selon plusieurs sources, les pirates exploiteraient actuellement cette faille. Le CERT-XMCO recommande aux internautes de ne pas ouvrir les fichiers PDF provenant de sources douteuses.
Par ailleurs, une autre faille de sécurité au sein de Flash a été révélée, sans qu’Adobe n’en fasse part.
Résumé des évènements majeurs
Vulnérabilités :
Une vulnérabilité de type « 0day » a été découverte par Adobe et Lockheed Martin au sein des logiciels Adobe Acrobat et Adobe Reader (APSA11-04). L’exploitation de celle-ci permet à un attaquant de prendre le contrôle d’un système à distance en incitant un internaute à ouvrir un document spécialement conçu. Un premier correctif Adobe pour Windows est attendu dans la semaine.
De nombreuses autres vulnérabilités ont été rendues publiques cette semaine. Parmi les logiciels concernés figurent l’application Web RoundCube, Adobe Flash Player, et enfin le framework Struts.
Correctifs :
Plusieurs correctifs ont été publiés. Ceux-ci concernent Bluecoat ProxyAV, Apache MyFaces, les firmwares Intel Trusted Execution Technology, Opera, Solaris (WireShark et Flash), Kerberos, le lecteur PDF Foxit Reader, BlackBerry Tablet OS, Novell ZenWorks Assets Management, Trend Micro Control Manager, le serveur DHCP de l’ISC, et enfin CA SiteMinder.
Microsoft a annoncé la publication de 14 bulletins de sécurité le mardi 13 décembre dans le cadre de son « Patch Tuesday » du mois de décembre. Parmi ceux-ci, 3 sont jugés « critiques », les autres étant considérés comme « importants ». Ils concerneront Windows, Internet Explorer et Office.
Conférence / Recherche :
Selon les résultats d’une étude réalisée par des chercheurs néerlandais de l’Université de Delft, près d’un million d’ordinateurs personnels anglais seraient compromis par des pirates et intégrés au sein de réseaux internationaux de bots. Ce chiffre représenterait environ 6 % des 19 millions de foyers anglais connectés à Internet. Mais d’après les analyses des chercheurs, ce chiffre pourrait être sous-estimé quant à l’étendue réelle des dégâts. Dans tous les cas, cela placerait le Royaume-Uni à la 19e place du classement peu glorieux des pays les plus affectés par les botnets.
Cybercriminalité / Attaques :
À la suite de la publication par Adobe de l’alerte APSA11-04, Symantec a publié différentes informations quant à l’étendue de l’attaque. À part Loackheed Martin, plusieurs autres entreprises américaines ou anglaises auraient aussi été ciblées par les pirates. Ceux-ci auraient cherché à installer un cheval de Troie baptisé Sykipot sur les systèmes compromis.
Des pirates australiens auraient réussi à contourner un mécanisme d’authentification à deux facteurs reposant sur l’envoi de code à usage unique par SMS afin de dérober de l’argent sur le compte en banque d’un internaute. Pour cela, ils auraient simplement tiré parti de la portabilité du numéro, leur permettant ainsi de recevoir pendant quelques heures les communications destinées à la victime. Il semblerait que les banques avaient été alertées sur ce risque dès 2009, sans que rien n’ait été fait depuis.
Entreprise :
L’ENISA a publié son analyse sur l’affaire DigiNotar. Selon l’agence, les causes de cette faillite seraient le manque de communication autour de l’incident, et le non-respect des bonnes pratiques en matière de sécurité. Pour éviter que ce type d’incident ne survienne de nouveau, l’ENISA propose par ailleurs plusieurs recommandations.
Internationnal :
L’U.S. CyberCom, le centre de commandement dédié à la cyber-défense des États-Unis, a organisé cette année son premier cyber-exercice de grande ampleur : Cyberflag.
L’Inde milite depuis longtemps pour la mise en place d’outils qui permettraient aux états de réguler Internet. Cette fois-ci pourtant, le pays pourrait réellement franchir le pas de la censure. En effet, après avoir proposé différentes idées rejetées par la communauté internationale, l’Inde a annoncé vouloir mettre en place un système de « validation » des contenus publiés sur Internet. Contrairement à d’autres systèmes qui existent dans d’autres pays, celui-ci ne permettrait pas d’agir après publication, mais il permettrait de valider/censurer les contenus avant que ceux-ci ne soient mis en ligne.
Juridique :
Le Ministère du Budget a porté plainte contre X dans une affaire de phishing ciblant les contribuables français.
Vie Privée :
Selon les informations obtenues par le Financial Times, l’Europe, et plus particulièrement la Commission Européenne, pourrait proposer le mois prochain la mise en place de sanction pour les sociétés qui ne respecteraient pas la législation européenne en matière de protection de la vie privée. Ces sanctions, qui prendraient la forme d’amende, pourraient s’élever jusqu’à 5 % du chiffre d’affaires de la société.
XMCO a récemment publié un nouvel article sur son blog :
Enfin, l’application iCERT-XMCO est disponible pour iPhone et Android aux adresses suivantes :
- https://market.android.com/details?id=com.certxmco
- http://itunes.apple.com/fr/app/icert-xmco/id365470210
Enfin, nous vous rappelons que vous pouvez suivre l’actualité de la sécurité en retrouvant le CERT-XMCO sur Twitter : @CERTXMCO
