Oracle a publié des mises à jour pour de nombreux logiciels vulnérables dans le cadre de son cycle de publication de correctif de sécurité. Le CERT-XMCO recommande leur installation. Certaines failles permettent de prendre le contrôle d’un système à distance sans authentification préalable.
* Résumé des évènements majeurs :
– Correctifs :
Dans le cadre de son cycle de sécurité, Oracle a publié son bulletin « cpujan2011 » ainsi que les nombreux correctifs associés. Pas moins de 28 logiciels sont vulnérables. Le CERT-XMCO recommande l’installation des correctifs.
Une nouvelle faille de sécurité critique a été publiée au sein du CMS SPIP. Il est conseillé d’installer la version mise à jour.
D’autres correctifs pour CISCO IOS, CISCO ASA et Citrix Provisioning Service ont aussi été publiés.
– Exploits :
Plusieurs exploits ont été publiés cette semaine.
Un exploit permettant d’élever localement ses privilèges à partir de la faille de sécurité corrigée dans le bulletin MS10-073 a été publié. Contrairement à la première preuve de concept publiée la semaine dernière, ce code permet simplement d’obtenir les privilèges « SYSTEM » sur un système Windows.
Androïd est également concerné par un exploit qui permet de dérober des fichiers arbitraires stockés sur un smartphone.
Enfin, le dernier code d’exploitation permet de prendre le contrôle d’un système Windows sur lequel est installé Novell iPrint. En incitant un internaute à visiter une page spécialement conçue tirant parti d’une faille présente au sein du contrôle ActiveX, un attaquant est en mesure de compromettre la machine de sa victime.
– Cybercriminalité / Attaques :
Quelque temps après l’affaire Gawker, plus de 10 millions de mots de passe ont été volés au site web Trapster. Des mesures auraient été prises afin de prévenir d’autres attaques.
Une faille de sécurité a été découverte au sein de Koobface, un malware multiplateforme. L’exploitation de cette vulnérabilité permettrait à des groupes rivaux de compromettre un système infecté par Koobface afin de prendre, à leur tour, le contrôle de la machine.
Un ver circulant sur le réseau social Twitter a été observé cette semaine. Ce dernier était utilisé pour diriger les internautes vers un site malveillant afin de les forcer à télécharger puis à installer un faux antivirus.
– Conférence / Recherche :
Le top 10 des attaques web découvertes par les chercheurs a été publié. Ce classement départage plus de 69 techniques initialement en lice pour ce top 10.
– Entreprises :
L’ENISA, le CSIRT européen a publié un guide intitulé « Security and Resilience in Governmental Clouds » sur les différents avantages et inconvénients de l’utilisation du « Cloud » à destination des organismes publics. Une autre étude intitulée « Data Breach Notifications in Europe » examine la manière dont les opérateurs de télécommunication gèrent actuellement les fuites de données.
– International :
Stuxnet a continué à faire parler de lui cette semaine. Un article publié par le New York Times a présenté de façon officielle une théorie relative aux origines du malware. D’après les journalistes, les États Unis, aidés par Israël, auraient développé le malware. Ils l’auraient ensuite testé au sein du centre de recherche israélien Dimona. L’article retrace l’origine de ce programme au dernier mois de la présidence de Bush, mais ne se base sur aucun fait nouveau. Des journalistes concurrents du Forbes ont publié deux jours après un article qui se moquait du travail accompli, et qui mettait en avant une autre théorie déjà proposée au mois de décembre selon laquelle la Finlande et la Chine seraient derrière Stuxnet. Dans les faits, rien n’accuse officiellement qui que ce soit, mais la chronologie présentée par les journalistes du NY Times reste pour le moins étonnante. De plus, les journalistes ont le mérite d’avancer des noms sur les acteurs de cette histoire.
– XMCO :
L’ActuSécu est maintenant disponible en anglais !
https://www.xmco.fr/actualite-securite-vulnerabilite-fr.html
Enfin, nous vous rappelons que vous pouvez suivre l’actualité de la sécurité en retrouvant le CERT-XMCO sur Twitter :
http://twitter.com/certxmco ///
