War on the Network

Il fallait bien que je finisse par m’excuser d’avoir subitement arrêté d’alimenter ce blog, je le fais donc avec ce message.
Comme vous vous en doutez, c’est avant tout le manque de temps qui m’a poussé à ne plus poster. S’ajoute à cela que ce n’est pas comme si le sujet de la sécurité était confidentiel ; on en parle partout. L’utilité de mes messages devenait donc bien trop faible comparé au temps que cela me demandait pour les écrire.

Néanmoins je ne regrette pas de m’être essayé à la rédaction de ces quelques billets, ce fut parfois harassant mais toujours fait avec le sourire et dans l’optique d’une lecture agréable et utile

Je vous avouerai volontiers que les "au menu de ce second mardi du mois" me manqueront, mais aujourd’hui, c’est d’autres projets et de l’espoir plein la tête que je vous souhaite une bonne continuation et remercie chaleureusement ceux qui m’ont lu (et même ceux qui passent aujourd’hui par hasard, il n’y a pas de raison de ne pas leur faire de gros bisous à eux aussi )

Portez-vous bien

Une vulnérabilité de niveau critique a été reportée dans Microsoft Excel.
Celle-ci concerne Excel 2000, 2002, 2003 SP2 ou inférieur et 2004 pour Mac, et permet l'exécution de code arbitraire à l'ouverture d'un fichier .xls spécialement malformé.
Les versions 2007 et 2008 pour Mac ne sont pas concernées par ce problème.

Microsoft a confirmé le problème et prévoit la publication d'un correctif prochainement.
En attendant, les utilisateurs vulnérables doivent être particulièrement prudents vis à vis des fichiers .xls non sûrs ou appliquer le SP3 si ils utilisent Excel 2003.

Consulter le bulltin d'alerte de Secunia

C'est en cet harassant mardi 8 Janvier que Microsoft publie comme prévu ses correctifs mensuels.
Et le menu est assez surprenant puisque la vulnérabilité critique prévue dans le bulletin avancé de notification de jeudi n'est finalement pas la faille du WPAD.
En effet, malgré toute vraisemblance, c'est une autre vulnérabilité critique qui s'est vue affabulée d'un patch laissant notre vulnérabilité du Web Proxy Autodiscovery Protocol à nu depuis déjà plus d'un mois.

Mais passons à table :

• 2 vulnérabilités (MS08-001) dont une critique et une de niveau modérée concernant l'implantation du protocole TCP/IP dans Windows.
  
  La première vulnérabilité touche Windows XP et Vista où elle est qualifiée de critique et Server 2003 où elle tombe au niveau important.
  Celle-ci se situe dans la gestion des requêtes IGMPv3 et MLPv2 par le noyau Windows et peut permettre l'exécution de code arbitraire à la réception de requête de ce type spécialement malformée.
  
  La seconde faille affecte toutes les éditions supportées de Windows, mis à part Vista, et permet un dénial of service à la réception d'une requête ICMP spécialement fragmentée.
• 1 vulnérabilité importante (MS08-002) présente sous Windows 2000, XP et Server 2003 permet l'élévation des privilèges d'un utilisateur local via l'exécution d'un programme lançant une requête Local Procedure Call (LPC) spécialement malformée.

Et ... c'est tout. Rien de plus à se mettre sous la dent ce soir, mais nous nous reverrons le 7 février pour le prochain bulletin avancé de notification et le 12 pour la livraison des rustines avec, on l'espère, une qui comblera la vulnérabilité du WPAD.

Consulter le synthèse des bulletins de Microsoft du mois de Janvier

Adobe a confirmé il y a quelques jours un défaut de sécurité affectant de nombreux fichiers Flash (.swf) pré-générés par des logiciels tels que Dreamweaver CS3 ou Adobe Acrobat Connect.
Mais pas seulement, puisqu'un grand nombre de programme présents sur le web permettent de créer des animations Flash très simplement en s'occupant d'en auto-générer une partie.

Cette vulnérabilité permet l'injection de code dans une animation légitime publiée sur un site tout aussi légitime.
Ce code malveillant pourrait alors exécuter des attaques par Cross-site scripting qui permettent de recueillir des informations tirées d'un autre site ouvert (un site bancaire par exemple) par l'internaute victime du fichier swf piégé.

Aucun correctif n'est pour le moment disponible mais l'éditeur assure qu'il fournira en Janvier prochain une mise à jour pour ses propres logiciels créant des fichiers vulnérables et peu après une pour son lecteur Flash qui rendra inopérantes ces attaques.
En attendant les webmasters et développeurs tirant parti d'animation flash sur leurs sites peuvent utiliser cet outil pour vérifier si elles sont correctement construites et donc protégées contre une injection de code malveillant.
Adobe ne précise aucune façon pour les utilisateurs finaux de se protéger contre une éventuelle attaque, il convient donc de ne pas visiter de site renfermant des informations confidentielles en même temps qu'une page contenant une animation Flash.

Consulter le bulletin de sécurité d'Adobe

Édit au 17/01/08 : Adobe a publié un correctif pour ses logiciels Dreamweaver et Connect. Une mise à jour du Flash Player devrait, elle, voir le jour dans peu de temps.

Quatre vulnérabilités dont 3 critiques ont été reportées dans le navigateur Opera.

Deux concernent un problème de cross site scripting imputant à la gestion des plug-ins et de l'édition de texte avec mise en forme, une, due à un problème dans la gestion des certificats TLS, permet l'exécution de code arbitraire à l'ouverture d'un site web malveillant, et enfin la dernière se situe au niveau de la gestion des fichiers bitmaps qui permet la lecture arbitraire d'adresses mémoires choisies aléatoirement.

Les utilisateurs concernés doivent migrer vers la version 9.25 du navigateur qui corrige toutes ces failles.

Consulter le bulletin d'alerte de Secunia