Chaque semaine, les consultants du service de veille synthétisent et analysent les faits marquants de la semaine écoulée.
Correctifs
Cette semaine, le CERT-XMCO recommande en priorité l’installation des correctifs publiés par SAP [1] et Microsoft [2] dans le cadre de leur mise à jour mensuelle.
Par ailleurs, il est également recommandé d’installer les correctifs publiés par FoxitSoftware [3] et par Cisco [4]. Les vulnérabilités corrigées pouvaient provoquer des dommages allant du déni de service à la prise de contrôle du système.
Code d’exploitation
Cette semaine, un code d’exploitation a été publié.
Celui-ci concerne HP Integrated Lights-Out (iLO), et permet à un attaquant de dérober des informations sensibles et de prendre le contrôle du système [5]. Il peut être utilisé afin de lire des fichiers sur le système et d’accéder de manière directe à la mémoire. Un correctif est disponible [6].
Informations
Vie privée
La presse internationale a récemment mis en avant la publication massive de documents confidentiels et personnels de personnalités allemandes [7]. Ces personnalités sont principalement reliées au monde politique, mais aussi à celui des médias ou de la culture. À l’exception du parti d’extrême droite AfD, toutes les formations politiques allemandes ont été victimes. Le contenu de ces documents laisse à penser que leurs sources sont diverses. L’enquête est toujours en cours.
La société BlankMediaGames a révélé avoir été victime d’une fuite de données [8]. Les données de 7,6 millions de joueurs du jeu Town of Salem auraient été dérobées. Parmi ces données, on retrouve notamment les noms d’utilisateurs et les mots de passe (hachés avec l’algorithme MD5) des joueurs. Des fichiers malveillants ont été découverts sur les serveurs de l’entreprise, qui a contacté un prestataire externe pour mener un audit de sécurité.
Publication
Un chercheur en sécurité a publié une vulnérabilité au sein de l’application Skype pour Android [9]. Lorsqu’un utilisateur répondait à un appel, l’application ne vérifie pas ses droits, et lui permettait d’accéder au téléphone comme s’il était authentifié. Les équipes de Microsoft avaient été notifiées de la vulnérabilité courant octobre et celle-ci a été corrigée en décembre, pendant le processus de mise à jour mensuelle de l’éditeur.
Annonce
Google a annoncé sur son blog que son service DNS public supportait désormais TLS 1.3 [10]. En plus de sécuriser la connexion des utilisateurs aux serveurs DNS de Google, cette technologie permet également d’assurer l’authentification entre les parties communicantes et l’intégrité des messages.
La plateforme Zerodium, qui achète des vulnérabilités de type 0-day, a annoncé que les sommes versées pour les vulnérabilités augmentaient à compter du 7 janvier [11]. Ces sommes peuvent désormais atteindre jusqu’à 2 millions de dollars pour des vulnérabilités affectant des plateformes mobiles et 1 million de dollars pour celles affectant les postes de travail et les serveurs.
Attaque
Des chercheurs de l’université de Purdue et de l’Iowa ont publié un rapport de recherche étudiant une exploitation potentielle du processus de téléavertissement des systèmes 4G et 5G [12]. Deux attaques sont présentées : la première permettrait de réaliser un déni de service ciblé, la seconde permettrait de récupérer l’IMSI de l’appareil visé.
Enfin, nous vous rappelons que vous pouvez suivre l’actualité de la sécurité en retrouvant le CERT-XMCO sur Twitter : http://twitter.com/certxmco.
Références portail XMCO
[1] CXA-2019-0157
[2] CXA-2019-0121
[3] CXA-2019-0082
[4] CXA-2019-0139
[5] CXA-2019-0149
[6] CXA-2019-0141
[7] CXN-2019-0069
[8] CXN-2019-0089
[9] CXN-2019-0066
[10] CXN-2019-0155
[11] CXN-2019-0133
[12] CXN-2019-0059
