Le CERT-XMCO recommande de ne pas utiliser le mode d’affichage « miniature » de l’explorateur Windows. Un code d’exploitation a été publié cette semaine pour Windows 2000 et XP. Celui-ci permet de prendre le contrôle d’un système distant en incitant un utilisateur à ouvrir un dossier et à sélectionner ce mode d’affichage. La faille est liée à l’affichage de la miniature correspondant à un document. Aucun correctif n’est actuellement disponible.
* Résumé des évènements majeurs :
– Vulnérabilités :
Microsoft a demandé au chercheur Michal Zalewski de ne pas publier son outil baptisé « cross_fuzz« . Ce fuzzer, développé par l’employé de Google sur son temps libre au cours des deux dernières années, permet de découvrir de nombreuses failles de sécurité au sein des navigateurs web. Il semblerait que Microsoft, qui possédait le code de l’outil en question, n’ait pas pris le temps de le tester. Après deux ans d’échanges, lorsque le chercheur a prévenu en décembre l’éditeur qu’il souhaitait le rendre public au début de l’année 2011, Microsoft s’est soudainement rendu compte de la criticité de certaines failles. Zalewski a, entre temps, obtenu la certitude que des pirates connaissaient l’existence d’une faille particulièrement critique découverte à l’aide de son outil. Comme le chercheur pense que les cybercriminels possèdent un code d’exploitation, il a préféré rendre son outil public afin de forcer Microsoft à réagir rapidement sans attendre deux années supplémentaires…
– Correctifs :
Une mise à jour du lecteur de fichiers multimédia VLC a été publiée cette semaine. La faille de sécurité corrigée était liée au traitement des fichiers Real Media.
VMware a publié, de son côté, un correctif pour son serveur ESX. Plusieurs failles de sécurité impactant le système (Glibc, Sudo, et openLDAP) ont été corrigées.
Deux vulnérabilités au sein de la console d’administration de SAP ont été corrigées.
Apple a mis à jour son système d’exploitation Mac OS X afin de corriger une faille présente au sein du composant PackageKit.
Enfin, plusieurs failles de type « XSS » ont été corrigées au sein de Novell Identity Manager.
Le CERT-XMCO recommande l’installation de l’ensemble de ces mises à jour.
– Exploits :
Un code d’exploitation ciblant le système d’exploitation Windows de Microsoft a été publié. Il permet de compromettre un système via l’affichage des vignettes de prévisualisation correspondant aux fichiers contenus dans les dossiers. L’exploitation de cette faille de sécurité requiert qu’un utilisateur ait sélectionné le mode d’affichage « prévisualisation ».
– Cybercriminalité / Attaques :
Le botnet Zeus fait de nouveau parler de lui. Une campagne d’envoi massif de pourriels prenant la forme de carte de voeux aurait été utilisée afin de compromettre le système des employés d’agences gouvernementales américaines. Des documents à usage interne auraient ainsi été exfiltrés par des pirates et seraient accessibles à tous sur un serveur tiers.
– Conférence / Recherche :
Le spécialiste Billy Rios a publié des détails sur une solution permettant à un pirate de s’échapper du bac à sable (sandbox) utilisé par Flash Player. Cette solution permettrait à un pirate de récupérer des informations personnelles stockées sur le système d’une victime et de les transmettre à un serveur distant en abusant le système de gestion des URLs.
Dans le cadre de la récente conférence du Chaos Communication Congress (27C3), un chercheur a présenté une utilisation abusive du protocole DHT utilisé par Bittorrent pour se passer de « tracker ». Il serait ainsi possible de forcer des internautes à réaliser une attaque de DDoS sur une cible choisie par un pirate.
– Entreprises :
Microsoft a annoncé la date de son prochain « Patch Tuesday« . Le 11 janvier prochain, l’éditeur publiera deux bulletins corrigeant 3 vulnérabilités. Le premier affecte seulement Windows Vista et est considéré comme « Important ». Le second affecte l’ensemble des versions de Windows et est jugé « critique ». Les vulnérabilités récemment découvertes affectant Internet Explorer (import CSS), ainsi que le moteur de rendu des graphiques (prévisualisation d’images) ne seront pas corrigées ce mois-ci.
L’éditeur de solution de sécurité Sourcefire a annoncé le rachat d’Immunent, spécialiste de la sécurité dans le Cloud, pendant que Dell cherche à acquérir la société SecureWorks.
– International :
Les autorités américaines et allemandes ont réalisé des perquisitions chez plusieurs fournisseurs d’accès à Internet dans le but de remonter aux « hacktivists » ayant participé aux attaques de déni de service distribué (DDoS) contre des sites tels que Visa.com, Paypal.com ou encore Mastercard le mois dernier.
– XMCO :
L’ActuSécu est maintenant disponible en anglais !
https://www.xmco.fr/actualite-securite-vulnerabilite-fr.html
