Veille Technologique Sécurité

Transcription

APOGEE Communications
R
Raap
pp
poorrtt d
dee
V
Veeiillllee T
Teecch
hn
no
ollo
og
giiq
qu
uee S
Sééccu
urriittéé
N
N°°1
10
02
2
Janvier 2007
Les informations fournies dans ce document ont été collectées et compilées à partir de
sources d'origines diverses et publiquement accessibles: listes de diffusion, newsgroups,
sites Web, ...
Ces informations sont fournies pour ce qu'elles valent sans garantie d'aucune sorte vis à vis
de l'exactitude, de la précision ou de la qualité de l'information. Les URL associées à certains
thèmes sont validées à la date de la rédaction du document.
Les symboles d’avertissement suivants seront éventuellement utilisés:
!
"
Site dont la consultation est susceptible de générer directement ou indirectement,
une attaque sur l’équipement de consultation, voire de faire encourir un risque sur
le système d’information associé.
Site susceptible d’héberger des informations ou des programmes dont l’utilisation
est répréhensible au titre de la Loi Française.
Aucune garantie ne peut être apportée sur l'innocuité de ces sites, et en particulier, sur la
qualité des applets et autres ressources présentées au navigateur WEB.
LLaa ddiiffffuussiioonn ddee ccee ddooccuum
meenntt eesstt rreessttrreeiinnttee aauuxx
cclliieennttss ddeess sseerrvviicceess
V
VTTS
S--R
RA
APPPPO
OR
RTT eett V
VTTS
S--EEN
NTTR
REEPPR
RIIS
SEE
Les marques et les produits cités dans ce rapport sont la propriété des dépositaires respectifs.
APOGEE Communications – Groupe DEVOTEAM
15, Avenue du Cap Horn
ZA de Courtaboeuf
91940 Les ULIS
Pour tous renseignements
Offre de veille: http://www.devoteam.fr/
Informations:
[email protected]
©DEVOTEAM Solutions - Tous droits réservés
C
O
N
N
E
C
T
I
N
G
B
U
S
I
N
E
S
S
&
T
E
C
H
N
O
L
O
G
Y
Janvier 2007
Au sommaire de ce rapport …
PRODUITS ET TECHNOLOGIES
LES PRODUITS
7
7
AUDIT
7
IMMUNITY – SILICA
7
INFORMATIONS ET LEGISLATION
LES INFORMATIONS
8
8
AUDIT
8
CYLAB – DETECTION DISTANTE DE LA PRESENCE D’ENVIRONNEMENTS VIRTUALISES
SYSTEMES
MICROSOFT – LE SYSTEME DE FICHIER EFS ET LA RECUPERATION DES DONNEES
MICROSOFT – DES CHOIX STRATEGIQUES CONCERNANT LES MECANISMES UAC ET DEP
VEILLE
NISCC – UNE PRESENTATION DE LA NORMALISATION DE LA SECURITE DES SI
ENISA - LA REVUE
TENDANCES
SANS – TOP20 – LISTE FINALE
8
8
8
9
11
11
11
13
13
REFERENCES
14
NSA - CATALOGUE DES GUIDES DE SECURITE
DISA – GUIDES ET CHECKLISTS DE SECURISATION
MODELISATION
CERT-CC - COMPARING INSIDER IT SABOTAGE AND ESPIONAGE: A MODEL-BASED ANALYSIS
NIST – ETAT DES GUIDES DE LA SERIE SP800
14
15
16
16
18
LOGICIELS LIBRES
LES SERVICES DE BASE
LES OUTILS
21
21
21
NORMES ET STANDARDS
LES PUBLICATIONS DE L’IETF
23
23
LES
LES
RFC
DRAFTS
NOS COMMENTAIRES
LES RFC
RFC4732
RFC4772
23
23
26
26
26
27
ALERTES ET ATTAQUES
ALERTES
28
28
AVIS OFFICIELS
30
GUIDE DE LECTURE
FORMAT DE LA PRESENTATION
SYNTHESE MENSUELLE
ALERTES DETAILLEES
ADOBE
ARCSOFT
BEA
CA
CISCO
CITRIX
DAZUKO
DRUPAL
FETCHMAIL
FREEBSD
GNOME
GNU
GTK/GTK+
HITACHI
HP
IBM
INGATE
ISC
KASPERSKY LAB
KDE
Veille Technologique Sécurité N°102
© DEVOTEAM SOLUTIONS - Tous droits réservés
28
29
29
30
30
30
30
30
31
31
31
32
32
32
32
32
32
32
33
33
33
33
33
33
Page 2/61
Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE
Janvier 2007
LINUX
MICROSOFT
MIT
NETFILTER
NETRIK
NOVELL
OPENBSD
OPERA
ORACLE
SMB4K
SUN
SYMANTEC
X WINDOW
33
34
34
34
34
34
35
35
35
35
35
36
36
ALERTES NON CONFIRMEES
ADOBE
AGNITUM
APACHE
APPLE
ATMEL
AVAHI
BEA
BLUETOOTH
BLUEZ
BMC SOFTWARE
CA
CACTI
CHECKPOINT
CHMLIB
EIQ NETWORKS
ELOG
F5 NETWORKS
FILEZILLA
FREERADIUS
GFORGE
GRSECURITY
HORDE
HOSTINGCONTROL
HP
IBM
IPSWITCH
KASPERSKY LAB
KDE
LINUX
MICROSOFT
NEON
OMNIGROUP
OPEN1X
OPENOFFICE
ORACLE
PACKETEER
PGP
PHP
PHPMYADMIN
POWERARCHIVER
QUALCOMM
REALNETWORK
SLOCATE
SNORT
SOFTWIN
SQUID
SUN
SUNBELT
TREND MICRO
VIDEOLAN
WINZIP
WORDPRESS
WZDFTPD
XINE
YAHOO!
36
36
37
37
37
39
39
39
39
39
39
39
40
40
40
40
40
40
40
40
41
41
41
41
41
41
41
42
42
42
42
43
43
43
43
43
43
44
44
44
44
44
44
44
45
45
45
45
45
45
45
46
46
46
46
46
AUTRES INFORMATIONS
46
REPRISES D’AVIS
46
ET
ACER
ADOBE
APPLE
CA
CACTI
CIAC
CISCO
FREEBSD
HITACHI
CORRECTIFS
46
47
47
47
47
47
49
49
49
Page 3/61
Janvier 2007
HP
IBM
IPCOP
KDE
LINUX DEBIAN
LINUX FEDORA
LINUX MANDRIVA
LINUX REDHAT
LINUX SUSE
MCAFEE
PHPMYADMIN
SGI
SUN
US-CERT
VANDYKE SOFTWARE
VMWARE
50
50
50
50
50
50
51
51
51
52
52
52
52
54
54
54
CODES D’EXPLOITATION
54
BULLETINS ET NOTES
55
MICROSOFT
SUN
54
55
ADOBE
LINUX
55
55
ATTAQUES
56
ADTOOL
ENUMIAX
56
57
OUTILS
56
TECHNIQUES
58
RAINBOW TABLES, MOTS DE PASSE ORACLE ET ACCES SYS AS SYSDBA
58
Page 4/61
Janvier 2007
Le mot de la rédaction …
Deux informations auront marqué de notre point de vue cette toute nouvelle
année:
Fin décembre, Peter Gutmann – bien connu de nos lecteurs – publie un
pamphlet intitulé ‘A Cost Analysis of Windows Vista Content Protection’
démontrant l’absurdité technique et économique des mécanismes de protection
des contenus mise en place dans le système Vista. Une analyse qu’il faut
absolument lire et méditer pour se faire une idée de ce qui nous attend dans
les prochaines années si nous laissons faire sans rien dire.
http://www.cs.auckland.ac.nz/~pgut001/pubs/vista_cost.html
Début janvier, la société NetCraft publiait son rapport d’analyse pour l’année
écoulée. Le constat est proprement effrayant, et ce n’est pas peu dire. La seule
augmentation du nombre de sites bloqués par la barre d’outils éponyme
suffirait à provoquer les pires inquiétudes.
Ce sont plus de 609000 sites qui auront
été bloqués en 2006 contre ‘seulement’
41000 en 2005. Mais le phénomène qui
dépasse l’entendement reste celui de
l’impensable augmentation constatée
sur les deux derniers mois de l’année:
277000 sites ont été bloqués sur le seul
mois de décembre et plus de 457000
sur le dernier trimestre.
Si quelques efforts ont bien été engagés çà et là par certains ISP pour réduire
le problème du SPAM sans lequel les attaques de Phishing ne seraient pas aussi
nombreuses, force est de constater que la majorité d’entres eux continue de
considérer comme optionnels des services pourtant devenus vitaux. A quand
une obligation de fourniture gratuite d’un service anti-spam, voire d’un service
anti-virus, comme cela est déjà le cas avec le contrôle parental ...
http://news.netcraft.com/archives/2007/01/15/phishing_by_the_numbers_609000_block
ed_sites_in_2006.html
Nous parlions des problèmes de conception des machines à voter dans un
précédent rapport et des impensables vulnérabilités découvertes par des équipes
indépendantes aussi bien aux Pays-bas qu’aux Etats-Unis. Il apparaît qu’au
Page 5/61
Janvier 2007
moins une des sociétés chargées de certifier ce type de machines aux Etats-Unis
fait l’objet d’une enquête approfondie, les procédures de certification n’ayant pas
été respectées.
http://www.libertypost.org/cgi-bin/readart.cgi?ArtNum=171610
Bertrand VELLE
Page 6/61
Janvier 2007
P
PR
RO
TEECCH
OD
DU
HN
UIIT
NO
OL
TS
LO
SE
OG
GIIE
ET
TT
ES
S
LES
PRODUITS
AUDIT
IMMUNITY – SILICA
# Description
La société américaine de conseil et d’édition de logiciels d’analyse ImmuniSec vient de dévoiler
son nouveau produit d’audit dont la mise sur le marché est prévue pour février prochain.
Dénommé ‘SILICA’ et distribué sous la forme d’un paquetage comprenant le logiciel préinstallé sur le terminal Internet Nokia 770, cette application s’appuie sur l’environnement
automatisé d’attaque CANVAS - développé en langage Python par cette même société –
en proposant à l’usager une interface simple d’utilisation.
Avant tout conçu pour s’interfacer avec le SI cible de l’audit par le biais d’accès Wifi ou
Bluetooth, ‘SILICA’ devrait répondre aux besoins des équipes d’audit à la recherche d’un
environnement de test intégré et performant.
Un prix de $3600 est annoncé pour un paquetage comprenant la tablette Nokia, le logiciel et les mises à jour pour
une durée d’un an. On notera que le successeur de cette tablette vient tout juste d’être annoncé par Nokia sous la
référence N800.
# Complément d’information
http://www.immunityinc.com/products-silica.shtml
http://www.nokia.fr/index.php?content_id=6533
http://europe.nokia.com/phones/n800/
- Annonce de presse
- Tablette NOKIA 770
- Tablette NOKIA 800
Page 7/61
Janvier 2007
IIN
NF
LEEG
FO
GIIS
OR
RM
SL
MA
LA
AT
AT
TIIO
TIIO
ON
ON
NS
N
SE
ET
TL
LES
INFORMATIONS
AUDIT
CYLAB – DETECTION DISTANTE DE LA PRESENCE D’ENVIRONNEMENTS VIRTUALISES
# Description
Le laboratoire de recherche avancée de l’université de Carnegie-Mellon, dit CyLab, vient de
publier les résultats de ses travaux de recherche dans le domaine de la détection à distance
de la présence de machines virtuelles actives sur des systèmes connus.
Les environnements de virtualisation sont désormais chose commune, la tendance étant aujourd’hui d’intégrer au plus
bas niveau dans le processeur des fonctionnalités jusqu’alors rendues au niveau du système d’exploitation. De tels
environnements s’ils sont majoritairement utilisés pour optimiser les ressources matérielles en faisant coexister en
toute sécurité plusieurs applications peuvent aussi rendre de grands services aux concepteurs de logiciels malveillants
en leur permettant de dissimuler au regard de tous leurs créations.
La dernière approche à la mode consiste même à renverser les rôles en s’arrangeant pour que le code malveillant
prenne le contrôle des fonctionnalités de virtualisation, l’environnement licite étant alors contraint à s’exécuter dans
une machine virtuelle. Il y a moins de 6 mois à l’occasion de la conférence BlackHat, Joanna Rutkowska a réussi le
tour de force de contraindre Windows Vista dans sa version 64bits à s’exécuter dans une machine virtuelle tirant partie
de la technologie embarquée dans les derniers processeurs AMD par le biais d’un code dénommé ‘The Blue Pill’
(Rapport N°97 – Août 2006). Ainsi nichés au cœur du matériel de tels codes peuvent accéder à toutes les ressources
du système sans pouvoir être aisément détectés.
On comprend alors tout l’intérêt de l’étude menée par l’équipe du CyLab en permettant la détection de la présence,
voire l’identification, d’environnements virtuels sur des systèmes pour lesquels cette fonctionnalité n’est pas censée
être active, l’idéal étant de pouvoir procéder à cette identification à distance sans avoir à devoir inspecter localement
le système.
Nous ne rentrerons pas dans le détail de preuve de la viabilité de l’approche retenue – l’utilisation de la logique floue
appliquée à l’analyse des temps d’exécution d’un jeu de tests spécialement conçu – ni sur le protocole de test mis en
place. Nos lecteurs trouveront toutes les informations utiles dans la publication accessible sur le site du CyLab.
On en retiendra simplement que l’approche a été démontrée viable, l’utilisation de la logique floue étant parfaitement
adaptée à une situation pour laquelle de nombreuses inconnues demeurent dont le type de matériel et la technologie
de virtualisation susceptible d’avoir été activée. La présence d’une couche de virtualisation provoque l’augmentation de
certains délais d’exécution, augmentation susceptible d’être mesurée à distance à travers un réseau induisant pourtant
des perturbations sur la mesure.
Les jeux de tests mis au point par l’équipe de recherche et appliqués à trois environnements de virtualisation
(VMWare, Xen et SVM X) s’exécutant ‘en aveugle’ sur des processeurs INTEL ont permis de confirmer la présence
d’une couche VMM (Virtual Machine Monitor).
Si ces résultats encourageant s’avèrent tenir leurs promesses, l’approche développée par le CyLab trouvera à n’en pas
douter des retombées chez les éditeurs d’anti-virus et les fournisseurs de services d’audit à distance.
http://www.cylab.cmu.edu/files/cmucylab07001.pdf
- le rapport d’étude du CyLAB
SYSTEMES
MICROSOFT – LE SYSTEME DE FICHIER EFS ET LA RECUPERATION DES DONNEES
# Description
Publié mi-décembre sur le site Microsoft ‘TechNet’, l’article intitulé ‘Data Recovery and Encrypting
File System’ a attiré notre attention. Il aborde en effet un problème bien trop souvent oublié et
redécouvert quand il est trop tard: celui de la récupération des données enregistrées sur un système de
fichiers chiffrant.
L’auteur traite exclusivement le cas du système EFS
Policies and Procedures
(Encrypting File System) intégré à l’environnement
Preparing to Succeed
Windows depuis la version Windows 2000. En moins
Getting keyed up
de six pages sont résumées les actions qu’il conviendra
Data recovery agents
d’engager avant toute activation du système EFS sauf à
Exporting and deleting a private key
accepter de risquer de ne plus pouvoir accéder aux
Giving additional users access to an encrypted file
données en cas de perte du certificat associé au
Changing your EFS policy
propriétaire de celle-ci ou de celui de l’agent de
Backup and Restore
récupération dit ‘recovery agent’.
Summary
Page 8/61
Janvier 2007
Pour mémoire, les procédures couramment employées pour reprendre le contrôle d’un système Windows quand les
mots de passe ont été perdus conduisent bien souvent à la réinitialisation des paramètres du compte et par
conséquent à la perte des certificats.
Il pourra être intéressant de compléter la lecture de cette synthèse par l’article de fond ‘Encrypting File System in
Windows XP and Windows Server 2003’ publié en août 2002.
Aucun des articles cités par l’auteur ne traite cependant le problème du recouvrement des données chiffrées sur un
support ayant subi une avarie. On peut se poser la question de la capacité des sociétés spécialisées dans le domaine à
récupérer des données exploitables sur des supports chiffrés. Celles-ci s’appuient bien souvent sur la structure et la
cohérence des données pour réorganiser et reconstituer le tout à partir des morceaux, cohérence qui sera d’autant
plus difficile à exploiter si les données ont été chiffrées au niveau de l’encodage même du support.
Citons l’exemple des disques sécurisés ‘DriveTrust’ de Seagate en notant cependant que cette même société ouvre
un centre de récupération en Europe. Peut-on imaginer que ce centre ne puisse réellement récupérer les données sur
un disque de sa propre fabrication … Nous sommes en accord avec le commentaire d’un lecteur des billets de Bruce
Schneier qui considère que l’utilisateur négligeant perdra la clef d’accès, et les données avec, quand l’utilisateur
sérieux considéra que porte dérobée il peut y avoir et n’emploiera pas la technologie. Et de considérer que l’utilitaire
TrueCrypt répond parfaitement à son besoin (Rapport N°91 – Février 2006).
La documentation de ce dernier annonce d’ailleurs clairement la couleur: aucune procédure de récupération n’est
prévue, aucune clef de séquestre n’existe. La perte de la clef entraîne irrémédiablement la perte du volume de
données chiffré.
http://www.microsoft.com/technet/community/columns/secmvp/sv1206.mspx?pf=true
http://www.microsoft.com/technet/prodtechnol/winxppro/deploy/cryptfs.mspx
MICROSOFT – DES CHOIX STRATEGIQUES CONCERNANT
LES MECANISMES
UAC ET DEP
# Description
Les journaux WEB des développeurs de la société Microsoft sont une inépuisable source d’informations très
souvent inédites et de très grande qualité. Combien fois nous est-il arrivé de trouver la solution d’un
problème non pas dans la base de connaissances ou dans la littérature officielle mais dans un article publié
ça ou là par l’un des membres de l’équipe de développement du composant logiciel posant problème.
Depuis quelques années ces nouveaux supports d’information, bien qu’informels et officieux, ont réussi à supplanter
les sources plus classiques: magazines et revues dont la remarquable mais défunte revue MSJ. La plupart des articles
techniques de fond publiés sur le portail MSDN sont le fait d’auteurs talentueux qui disposent par ailleurs de leurs
propres sites sur lesquels sont développés les thèmes abordés dans leurs articles sans plus aucune des contraintes
imposées par la ligne éditoriale en vigueur sur le portail officiel. De plus en plus d’éditeurs - dont Microsoft,
Kaspersky ou encore F-Secure - semblent d’ailleurs avoir pris la mesure de l’intérêt de ces publications non
contrôlées mais aussi des risques associés et proposent désormais un espace dédié aux personnels.
Encore faut-il connaître les bonnes adresses. Fort heureusement, la propension à se référencer mutuellement conduit
à créer un maillage facilitant la navigation entre journaux WEB et l’inventaire des sources les plus pertinentes. C’est
ainsi que nous sommes tombés sur un billet qui a attiré notre attention car abordant un sujet épineux: celui des choix
que le concepteur est amené à faire entre convivialité et sécurité.
Intitulé ‘Security Features vs. Convenience’ et rédigé par Jim Allchin, le responsable du département ‘Plateformes
et Services’ chez Microsoft, ce (long) billet détaille par le menu les choix qui ont dû être opérés durant la phase de
spécification de certaines fonctionnalités de sécurité dans l’environnement VISTA dont le mécanisme dit ‘User
Account Control’.
Ce mécanisme a été conçu pour tenter de résoudre un problème classique dans un système offrant un mécanisme de
gestion des privilèges: celui de l’affectation optimale des privilèges. Le cas de l’environnement Windows apparaît être
particulièrement intéressant car celui-ci découle d’une longue succession d’évolutions menées à partir d’un système
graphique et mono utilisateur. La version NT 3.1 a vu la mise en place des mécanismes de sécurité fondamentaux, les
fonctionnalités offertes à l’utilisateur ayant été améliorées dans les versions suivantes pour atteindre un premier vrai
palier de stabilité avec Windows 2000.
S’il n’y rien à redire quant au modèle de sécurité retenu, certains choix d’implémentation pratique de la politique de
sécurité posent de réels problèmes dans une utilisation quotidienne du système conduisant bien trop souvent à devoir
accorder plus de privilèges que requis à l’utilisateur pour que celui-ci puisse mener à bien son travail quotidien.
L’auteur cite à titre d’exemple une erreur fondamentale dans la politique de sécurité appliquée à la gestion de
l’horodatage. S’il est judicieux de restreindre le changement de l’heure système aux seules personnes disposant des
privilèges accordés à l’administrateur, cette même politique appliquée au changement du fuseau horaire, comme cela
est actuellement le cas, conduira tôt où tard à un problème de sécurité. Nombreux sont en effet les utilisateurs
traversant régulièrement plusieurs fuseaux horaires, et ayant à ce titre nécessité de changer le paramétrage de leur
système.
Ces derniers se trouvent alors confrontés à un véritable dilemme: travailler en conformité avec les principes
élémentaires de sécurité sans disposer d’aucun privilège administrateur, une politique bien souvent mise en place dans
l’entreprise, ou ne pas respecter cette règle et finir par s’octroyer, quand cela est possible, les privilèges requis pour
une opération banale et n’ayant aucun impact sur la sécurité. Il suffit pour résoudre ce dilemme de repenser la
politique d’autorisation pour dissocier les deux opérations et autoriser le changement du fuseau horaire avec un niveau
moindre de privilèges. C’est chose faite en environnement VISTA.
Un travail d’analyse conséquent a donc été mené pour identifier, parmi toutes les tâches d’exploitation et
Page 9/61
Janvier 2007
d’administration du système, celles qui pouvaient être engagées sans privilèges spécifiques bien qu’étant considérées
jusqu’alors comme sensibles car impactant le système dans sa globalité et non pas seulement l’environnement de
l’utilisateur.
Les actions suivantes sont ainsi désormais autorisées sans avoir à disposer des privilèges de l’administrateur.
- Visualiser l’horloge système et le calendrier
- Modifier le fuseau horaire
- Installer WEP pour se connecter à un réseau sécurisé,
- Modifier les paramètres de gestion de l’énergie,
- Ajouter des imprimantes et autres périphériques pour lesquels les gestionnaires sont déjà présents,
- Installer des contrôles Active/X à partir d’un site préalablement autorisé par l’administrateur,
- Créer et configurer des connexions VPN,
- Installer les mises à jour Windows critiques.
La mise en place d’un nouveau mécanisme de protection doit par ailleurs permettre de limiter les risques lorsqu’une
opération nécessitant les privilèges attribués à l’administrateur doit être engagée.
Dénommé ‘User Account Control’ ou ‘UAC’, ce mécanisme
permet de demander à l’utilisateur une confirmation explicite
avant d’engager toute opération nécessitant un privilège
administrateur. Pour poursuivre l’opération, l’utilisateur devra
s’authentifier avec un compte disposant de ce privilège.
S’il n’y a rien à redire sur le principe même de ce mécanisme,
et l’intérêt qu’il y a à remplacer la commande ‘RunAs’, son
implémentation pratique n’est pas aussi simple qu’il y parait.
Se pose en effet le problème de l’authenticité de l’origine de
cette demande, des informations pour le moins sensibles devant être saisies. On imagine parfaitement l’intérêt que
pourraient tirer certains codes malicieux d’une quelconque vulnérabilité dans la conception de ce mécanisme.
Les concepteurs ont donc imaginé faire précéder la saisie de l’identifiant et du mot de passe par l’appel à la fameuse
séquence ‘CTRL-ALT-DEL’ laquelle, difficilement contournable, permet d’amener à l’écran l’environnement protégé dit
‘Secure Desktop’ dans lequel la saisie peut s’effectuer sans risque. Mais à plus y réfléchir, la question du possible
rejet de cette contrainte par les utilisateurs se pose et ce d’autant que pour certains d’entres eux cette séquence n’a
d’autre signification que l’appel du gestionnaire de tâche.
Imposer l’utilisation de cette séquence sans la rendre optionnelle pourrait avoir pour conséquence d’amener ces
utilisateurs à utiliser un compte administrateur à tout bout de champ, un résultat contraire à l’effet escompté. Dès
lors, ils n’ont trouvé d’autres solutions que de rendre optionnelle cette protection et de la désactiver par défaut, un
compromis étonnant mais pourtant nécessaire.
Dans son billet, Jim Allchin cite d’autres exemples de compromis dont celui de ne pas activer le mécanisme de
protection contre l’exécution des données en pile dit ‘Data Execution Prevention’ ou ‘DEP’ dans le cas de
l’application Internet Explorer 7 pourtant en première ligne. Cette décision est justifiée par l’existence de problèmes
de compatibilité avec divers modules additionnels déjà développés par des tiers.
On restera étonné de ce choix d’autant que l’auteur indique qu’il existe un procédé simple permettant à du code
dynamiquement généré d’être pourtant compatible avec le mécanisme de protection. Et de citer l’exemple de la rapide
mise à jour des modules Acrobat et Flash Player. Mais le marketing à ses raisons que la raison ignore, et il aurait
probablement été assez difficile pour Microsoft d’expliquer que les dysfonctionnements constatés dans son tout dernier
navigateur ont pour origine la présence d’un mécanisme de sécurité activé par défaut.
Peut être vaut-il mieux en effet communiquer en parallèle et laissez certains ‘évangélistes’ expliquer à ceux qui sont
convaincus de la nécessité de renforcer le niveau de sécurité comment activer proprement le mécanisme DEP sur
Internet Explorer 7, au risque de ne pas pouvoir utiliser - du moins pour quelques temps – certaines fonctionnalités.
http://windowsvistablog.com/blogs/windowsvista/archive/2007/01/23/security-features-vs-convenience.aspx
http://blogs.msdn.com/michael_howard/archive/2006/12/12/update-on-internet-explorer-7-dep-and-adobe-software.aspx
http://technet.microsoft.com/en-us/windowsvista/aa906021.aspx
- Présentation détaillée de la fonctionnalité UAC
Page 10/61
Janvier 2007
VEILLE
NISCC – UNE PRESENTATION DE LA NORMALISATION DE LA SECURITE DES SI
# Description
Le dernier numéro du rapport trimestriel du NISCC, ‘TheQuartely’, contient un très court mais très
intéressant article intitulé ‘What use are Standards ?’ consacré aux normes traitant du sujet de la
sécurité des systèmes d’information.
Le propos de l’auteur n’est pas ici de justifier l’utilisation, voire même l’intérêt de la normalisation dans ce
vaste domaine mais plutôt
d’aider tout un chacun à
comprendre comment les
différentes normes publiées ou en
cours de validation s’articulent entreelles: 13335, 17799, 18043, 1802
8 et autres 27000 ...
Force est de constater que rien n’est
actuellement fait pour aider le béotien
à s’y retrouver. Le seul point de
repère usuel – la numérotation –
apparaît au premier abord illogique et
semble avoir été attribuée au gré de
l’humeur du normalisateur.
Rajoutons à cela les changements de
référence dus à la réintégration de
normes nationales, le BS7799 anglais
en est un exemple, ou à la volonté
récente de réordonnancer l’ensemble
de l’ouvrage.
Comme bien souvent, un dessin vaut
tous les discours, et le synoptique
accompagnant l’article, dont nous ne
savons s’il est original ou non, mérite
d’être reproduit et placé à portée de
main.
http://www.niscc.gov.uk/niscc/docs/re-20061229-00887.pdf?lang=en
ENISA - LA REVUE
# Description
Le nouveau numéro de la revue ‘ENISA Quarterly’ est paru. Au sommaire de ce numéro, on
trouvera notamment:
# Un très intéressant article intitulé ‘Security and Dependability - Strategic Research Agenda for
Europe’ dans lequel est présenté le projet européen ‘SecurIST’ responsable de la définition du plan de
recherche stratégique Européen – le Strategic Research Agenda - pour ce qui concerne le thème de la
sécurité et la fiabilité des technologies de l’information et des communications. Pour atteindre ses
objectifs, ce projet s’est doté de deux structures complémentaires:
- la European Security and Dependability Task Force, ou
‘STF’, un groupe de travail dans lequel quelques 180
intervenants apportent leur contribution dans l’un des treize
domaines de recherche fondamentaux. Ces domaines, ainsi
que leurs interactions, sont présentés sur le diagramme
reproduit ci-contre.
- le SecurIST Advisory Board, constitué d’experts
européens dans le domaine et chargé de surveiller, de
valider et de promouvoir les résultats des travaux du ‘STF’.
En juin 2006, le SecurIST Advisory Board, se basant sur les
informations fournies par le groupe de travail, a publié ses
premières recommandations concernant les programmes de
recherche pour les 6 années à venir (2007 à 2013). On notera
qu’à la même période, l’ENISA publiait son rapport ‘PSG
Vision for ENISA’ portant sur les tendances en matière de
menaces et de risques courants et à venir (Rapport N°95 Juin 2006).
Neuf domaines de recherche prioritaires ont ainsi été identifiés
allant de l’appropriation par les acteurs (‘Empowerment of the
Page 11/61
Janvier 2007
Stakeholders’) à la sécurité et la fiabilité des architectures orientées ‘service’ (‘Security and Dependability of SOA’).
Quatre «grands challenges» pour les 10 à 20 ans à venir ont par ailleurs été présentés.
http://www.securitytaskforce.eu
# La justification de la nécessité de disposer d’un langage formel
et standardisé apte à décrire les méthodes d’authentification
par le biais d’un article intitulé ‘ENISA Authentication
Language Workshop and Interest Group’.
La mise à disposition d’un tel langage est une condition
fondamentale pour l’établissement de la confiance dans les
transactions électroniques et ceci pour l’ensemble des acteurs:
citoyens, entreprises et gouvernements. Divers travaux dans
ce domaine ont déjà été recensés par l’ENISA mais il reste
encore à fédérer ceux-ci autour d’un objectif commun, faute de
quoi l’effort engagé ne pourra aboutir.
Un groupe de travail oeuvre actuellement pour fournir le cahier
des charges et les critères de validation de ce langage. Après
une qualification des spécifications sur un premier jeu de tests,
le travail sera organisé pour prendre en compte trois besoins fondamentaux, à savoir disposer: d’un langage de haut
niveau humainement lisible permettant de produire des descriptions accessibles à tous, d’un langage de bas niveau
autorisant une description détaillée des mécanismes d’authentification exploitable à des fins d’évaluation de ces
derniers et enfin des moyens permettant de certifier les descriptions. Nous avons particulièrement apprécié
l’illustration de l’article par la superbe représentation de la tour de Babel de Breughel l’ancien.
http://www.enisa.europa.eu/pages/authentication/
# La présentation de la stratégie mise en oeuvre par la Suède pour assurer la sécurité de son infrastructure à travers
un article intitulé ‘Strategy to Improve Internet Security in Sweden’. En janvier 2006, le gouvernement Suédois
demandait à son opérateur national des Postes et Télécommunications, ‘PTS’, de définir une stratégie permettant de
sécuriser les fonctions critiques de son architecture Internet afin de prévenir toute interruption majeure des services
rendus à la communauté. Remises en juillet dernier, les propositions de l’opérateur ont été adoptées en décembre
pour une mise en oeuvre sur 2007.
Deux actions impactant le coeur du réseau ont déjà été engagées qui consistent pour l’une à sécuriser le routage
inter domaines et pour l’autre à déployer les extensions de sécurité du DNS sur l’ensemble de la zone ‘.se’. Ce TLD
est ainsi devenu le premier à bénéficier des mécanismes de sécurité dits ‘DNSSEC’.
La sécurisation du routage inter domaines a été effectuée en se basant sur les résultats d’expériences menées en
laboratoire et de simulations d’attaques menées en s’appuyant sur plusieurs scénarios représentatifs. Ces résultats
ont démontré que les attaques contre le protocole BGP visant à casser ou à modifier les échanges de ‘peering’ étaient
plus difficiles à mettre en oeuvre que la littérature ne le laissait penser. La mise en place d’une politique de filtrage
défensive devrait permettre de réduire l’impact d’attaques BGP en provenance des domaines de routage des clients.
Il n’en est pas de même avec les attaques lancées à partir des domaines de routage d’autres fournisseurs d’accès
Suédois, attaques qui pourraient affecter jusqu’à 70% des utilisateurs finaux. La probabilité que de telles attaques
puissent réussir dans le contexte étudié reste faible et le pire des scénarios conduirait à n’impacter que 10% des
utilisateurs. Les Postes et Télécommunications Suédoises publieront un rapport détaillant les conditions
d’expérimentation et les résultats sous peu sur leur site institutionnel.
En matière de sécurisation du DNS, les conclusions font mention d’une mise en oeuvre plus simple qu’il n’y parait.
Malgré diverses imperfections dont l’absence d’outils permettant une automatisation efficace de l’administration
(déploiement des clefs et signature des zones en particulier), le mécanisme DNSSEC apparaît être le bon choix pour
améliorer le niveau de confiance et donc de sécurité. Il conviendra de le déployer en premier lieu au niveau des
opérateurs et en priorité au plus haut niveau de la hiérarchie DNS.
De notre point de vue, le plan d’action engagé par la Suéde force d’autant plus le respect que le délai écoulé entre la
définition de la stratégie et l’engagement des premières actions est relativement court. Peut-être est ce dû au fait
que le principal opérateur soit un opérateur public. Quoi qu’il en soit, l’exemple est à méditer, et la lecture du plan
d’action stratégique en 6 points est recommandée.
http://www.pts.se/Archive/Documents/EN/Strategy_Internet_security_2006_12_July_2006.pdf
Le sommaire du dernier numéro de la lettre de l’ENISA est reproduit ci-dessous:
A Word from the Executive Director
A Word from the Editor
A Word from the Experts
Information Security and Externalities
Enabling User Confidence
Computer Viruses
Security and Dependability
From our own Experts
What can we achieve with Information Security Certification ?
ENISA’s Roadmap for Contemporary and Emerging Risks
ENISA Authentication Language Workshop and Interest Group
From the Member States
Strategy to Improve Internet Security in Sweden
e-discussion on e-security in Poland
ENISA Short News
Page 12/61
Janvier 2007
Les numéros de cette revue peuvent être reçus par messagerie électronique en s’abonnant à l’adresse mentionnée sur
le site institutionnel de l’ENISA.
http://www.enisa.europa.eu/doc/pdf/publications/enisa_quarterly_01_07.pdf
TENDANCES
SANS – TOP20 – LISTE FINALE
# Description
En novembre dernier le Sans Institute, en collaboration avec le NIPC, publiait la version définitive de
sa fameuse liste ‘Sans TOP20 Internet Security Vulnerabilities’ pour 2006.
Cette liste est établie de manière consensuelle par une équipe d’experts qui considèrent que les
vulnérabilités qui y sont inscrites doivent faire l’objet d’une attention toute particulière. Elle est
régulièrement mise à jour pour refléter l’évolution de la situation (Rapport N°94 – Mai 2006).
Le tableau suivant propose un récapitulatif du tout dernier classement
en précisant pour chaque thème, le nombre d’identifiants CVE associés.
Top Vulnerabilities in Operating systems
W1 Internet Explorer
W2 Windows Libraries
W3 Microsoft Office
W4 Windows Services
W5 Windows Configuration Weaknesses
U1
M1
UNIX Configuration Weaknesses
Mac OS X
Top Vulnerabilities in Cross-Platform Applications
C1
Web Applications
C2
Database Software
C3
P2P File Sharing Applications
C4
Instant Messaging Applications
C5
Media Players
C6
DNS Servers
C7
Backup Software
C8
Security, Enterprise and Directory Management Servers
Top Vulnerabilities in Networking Devices
N1
VoIP Servers and Phones
N2
Network & Other Devices Common Configuration Weaknesses
Top Vulnerabilities in Security Policy and Personnel
H1
Excessive User Rights and Unauthorized Devices
H2
Users (Phishing/Spear Phishing)
2006
Références citées
7
8
11
4
CVE
vulnérabilités
vulnérabilités
vulnérabilités
vulnérabilités
21
10
10
5
6 vulnérabilités
21
5 attaques types
7 plateformes
46
4
6
2
3
4
risques
produits
attaques types
produits
contextes
3 produits
5 risques
3
30
8
9
13
7
2005
Références
W2
W3
W4
W1
W5
U1
U2
C4
C5
C8
C7
C6
C1
N1,2,3
-
Special Section
Z1
Zero Day Attacks and Prevention Strategies
11 produits
20
Cette liste diffère très fortement de la liste intermédiaire publiée en mai dernier. Ainsi, les catégories ‘Windows’ et
‘Unix’ sont regroupées en une catégorie unique dite ‘Operating Systems’ dans laquelle l’environnement Mac OS/X se
voit désormais affecté un identifiant dédié.
La catégorie ‘Cross-Platform Application’ est remaniée: les thèmes ‘Antivirus’, ‘Mozilla and Firefox Browsers’, ‘PHPbased Applications’ et ‘Other Cross-platform Applications’ disparaissent au profit des thèmes ‘Web Applications’ et
‘Security, Enterprise & Directory Management Servers’. La catégorie ‘Network Products’ est renommée ‘Network
Devices’. Tous les produits réseaux sont regroupés en un seul thème contre 3 en mai dernier et le thème ‘VoIP and
Phones’ voit le jour.
Le communiqué de presse officiel met en exergue les six tendances suivantes:
1. les attaques et vulnérabilités de type ‘0-days’ qui ne touchent plus seulement Internet Explorer mais aussi d’autres
applications Microsoft,
2. la croissance rapide des attaques exploitant des vulnérabilités dans les produits Microsoft Office partout présents
tels Excel et PowerPoint,
3. l’augmentation continuelle des attaques ciblées,
4. le ciblage de sites militaires ou gouvernementaux par le biais d’attaques de phishing ciblées,
5. l’arrivée d’attaques VoIP visant à revendre du trafic téléphonique,
6. l’exploitation massive de vulnérabilités dans les applications et services WEB.
# Complément d'information
http://www.sans.org/top20/
Page 13/61
Janvier 2007
REFERENCES
NSA - CATALOGUE DES GUIDES DE SECURITE
# Description
La NSA vient de diffuser un addendum aux guides de sécurité des systèmes ‘Windows XP’ et ‘Windows
2003’, ce dernier guide étant d’origine Microsoft. Une mise à jour du guide ‘Securing Microsoft Windows
2000 Group Policy: Security Configuration Tool’ est par ailleurs disponible.
I
G
R
P
Document d’information et/ou de synthèse
Guide de mise en œuvre et/ou manuel d’utilisation
Recommandations et principes élémentaires
Procédures et mise en application
M
N
O
Document récemment mis à jour
Document nouvellement publié
Document obsolète
Windows 2003
R
N R
R
R
R
G
G
The Windows Server 2003 - Security Guide
NSA Windows Server 2003 Security Guide Addendum
Testing the Windows Server 2003 - Security Guide
Supporting the Windows Server 2003 - Security Guide
Delivering the Windows Server 2003 - Security Guide
Systems Management Server 2003 Security Guide
Exchange Server 2003 Benchmark
V2.1
V1.0
V2.1
V2.1
V2.1
V1.0
V1.0
26/04/2006
12/09/2006
26/04/2006
26/04/2006
26/04/2006
01/04/2005
-
MIC
NSA
MIC
MIC
MIC
NSA
CIS
V1.1
V1.0
01/12/2003
12/09/2006
NSA
NSA
V1.0
V1.08
19/04/2001
02/03/2001
NSA
NSA
V1.1
V1.22
V1.01
V1.0
V1.0
V1.1
V1.02
V1.02
13/10/2001
12/09/2006
26/11/2002
09/04/2001
01/01/2001
27/06/2001
01/05/2001
23/01/2001
NSA
NSA
NSA
NSA
NSA
NSA
NSA
NSA
V1.0
V1.0
06/03/2001
01/12/2000
NSA
NSA
V2.11
V2.02
V4.0
10/10/2001
10/10/2001
08/04/2002
NSA
NSA
NSA
V1.5
V1.3
V1.0
V1.0
V1.2
08/08/2002
19/07/2002
02/07/2001
13/08/2001
24/11/2003
NSA
NSA
NSA
NSA
NSA
Guide to Securing Microsoft Windows NT Networks
V4.2
18/09/2001
NSA
Guide to the Secure Configuration of Solaris 8
Guide to the Secure Configuration of Solaris 9
Apple Mac OS X v10.3.x Security configuration guide
Apple Mac OS X Server v10.3.x Security configuration guide
V1.0
V1.0
V1.1
V1.0
09/09/2003
16/07/2004
21/12/2004
08/07/2005
NSA
NSA
NSA
NSA
Router Security Configuration Guide - Executive Summary
Router Security Configuration Guide
Router Security Configuration Guide – Security for IPV6 Routers
Cisco IOS Switch Security Configuration Guide
V1.1
V1.1c
V1.0
V1.0
03/03/2006
15/12/2005
23/05/2006
21/06/2004
NSA
NSA
NSA
NSA
V1.1
-
01/10/2005
23/09/2005
NSA
NSA
V3.0
V3.0
V1.1
ND
ND
14/11/2003
07/01/2002
20/12/1999
08/02/2002
05/02/2004
NSA
NSA
NSA
NSA
NSA
Windows XP
Système
G Guide to Securing Microsoft Windows XP
N R NSA Windows XP Security Guide Addendum
Windows 2000
Références
I
I
Microsoft Windows 2000 Network Architecture Guide
Group Policy Reference
Systèmes
G
M I
P
P
P
P
P
R
Guide to Securing Microsoft Windows 2000 Group Policy
Guide to Securing Microsoft Windows 2000 Group Policy: Security Configuration Tool
Guide to Securing Microsoft Windows 2000 File and Disk Resources
Guide to Securing Microsoft Windows 2000 DNS
Guide to Securing Microsoft Windows 2000 Encrypting File System
Guide to Windows 2000 Kerberos Settings
Microsoft Windows 2000 Router Configuration Guide
Guide to Securing Windows NT/9x Clients in a Windows 2000 Network
Annuaire
I
I
Guide to Securing Microsoft Windows 2000 Schema
Guide to Securing Microsoft Windows 2000 Active Directory
Certificats
R
R
R
Guide to the Secure Config. & Admin. of Microsoft Windows 2000 Certificate Services
Guide to the Secure Config. & Admin. of Microsoft Windows 2000 Certificate Services (check)
Guide to Using DoD PKI Certificates in Outlook 2000
Services annexes
I
P
P
P
P
Guide to Secure Configuration & Administration of Microsoft ISA Server 2000
Guide to Securing Microsoft Windows 2000 DHCP
Guide to Securing Microsoft Windows 2000 Terminal Services
Microsoft Windows 2000 IPsec Guide
Guide to the Secure Configuration and Administration of Microsoft Exchange 2000
Windows NT
P
Unix
P
P
P
P
Cisco
R
P
P
P
Sans-Fils
G
G
Guidelines for the Development and Evaluation of IEEE 802.11 IDS
Recommended 802.11 Wireless Local Area Network Architecture
Contenus exécutables
O
O
O
R
R
Outlook E-mail Security in the Wake of Recent Malicious Code Incidents
Guide to the Secure Configuration and Administration of Microsoft Exchange 5
Microsoft Office 97 Executable Content Security Risks and Countermeasures
Page 14/61
Janvier 2007
Base de données
R
R
R
Web
R
P
R
R
Guide to the Secure Configuration and Administration of Microsoft SQL Server 2000
Guide to the Secure Configuration and Administration of Oracle9i
Benchmark for Oracle 9i/10g
V1.5
V1.2
V2.0
15/01/2003
30/10/2003
-
NSA
NSA
CIS
BEA WebLogic Platform Security Guide
Guide to the Secure Configuration & Administration of Microsoft IIS 5.0
Guide to Securing Microsoft Internet Explorer 5.5 Using Group Policy
Guide to Securing Netscape Navigator 7.02
V1.4
V1.0
V1.1
V1.0
04/04/2005
16/01/2004
07/2002
04/2003
NSA
NSA
NSA
NSA
Defense in Depth
Guide to the Secure Configuration & Administration of iPlanet Web Serv Ent. Ed. 4.1
Guide to the Secure Conf. and Admin. of Microsoft IIS 4.0
Guide to the Secure Conf. and Admin. of Microsoft IIS 4.0 (Checklist Format)
Secure Config. of the Apache Web Server, Apache Server V1.3.3 on Red Hat Linux 5.1
Microsoft NetMeeting 3.0 Security Assessment and Configuration Guide
The 60 Minute Network Security Guide
Guide to Sun Microsystems Java Plug-in Security
Guide to Microsoft .NET Framework Security
Enterprise Firewall Types
Desktop or Enterprise Firewall ?
Enterprise Firewalls in Encrypted Environments
ND
V1.73
V1.33
V1.33
V1.12
V1.14
V2.1
V1.0
V1.5
-
ND
03/07/2001
04/03/2002
04/03/2002
24/04/2001
05/10/2001
15/03/2006
01/04/2004
11/11/2005
01/08/2006
01/08/2006
01/08/2006
NSA
NSA
NSA
NSA
NSA
NSA
NSA
NSA
NSA
NSA
NSA
Security Guidance for Deploying IP Telephony Systems
Recommended IP Telephony Architecture
V1.0
14/02/2006
01/05/2006
NSA
NSA
Documents de Support
I
O
O
O
O
R
R
R
$R
I
I
I
VoIP
R
R
# Complément d'information
http://www.nsa.gov/snac/
- Portail d’accès aux guides
DISA – GUIDES ET CHECKLISTS DE SECURISATION
# Description
La DISA a publié la mise à jour du guide générique ‘Web Servers’ et des listes de contrôles liées
aux environnements UNIX, Windows XP, 2000, 2003 et ‘Web Servers’. Une version de la liste
de contrôles ‘BackBone Transport’ est annoncée mais non accessible au grand public.
[8 Mise(s) à jour, 1 Nouveau(x) document(s)]
STIG
Checklist
APPLICATIONS
Applications
(Services)
1.1
17/01/06 PDF 2.1.9
21/11/06 PDF
ESM
1.1
05/06/06 PDF
ERP
(PeopleSoft, SAP)
1.0
23/06/06 PDF 1.0
01/06/06 DOC
Database
(Générique + Oracle, SQL Server)
7.2
30/11/05 PDF 7.2.1
30/06/06 ZIP
VoIP
2.2
21/04/06 PDF 2.2.2
19/05/06 PDF
ENVIRONNEMENTS
Access Control
1.1
05/06/06 PDF
Active Directory Service
1.1
10/03/06 PDF 1.1.3
21/11/06 PDF
Desktop
3.0
01/02/06 PDF 2.1.7
26/01/07 ZIP
M
Enclave
(Périmètre)
3.1
28/07/05 PDF 3.1.6
09/07/06 PDF
.NET
(Draft)
1.2
28/04/06 DOC
Secure Remote Computing
1.2
10/08/05 DOC
PERIPHERIQUES RESEAUX
Sharing peripheral across the network
1.1
29/07/05 PDF
- Multi-Function Device (MFD) and Printer Checklist
1.1.2
14/04/06 PDF
- Keyboard, Video, and Mouse (KVM) Switch Checklist
1.1.2
14/04/06 PDF
- Storage Area Network (SAN) Checklist
1.1.3
19/05/06 PDF
- Universal Serial Bus (USB) Checklist
1.1.2
06/04/06 PDF
RESEAU
Network
6.4
16/12/05 PDF 6.4.4
21/07/06 PDF
Cisco
(Supplément)
6.1
02/12/05 PDF
Juniper
(Supplément)
6.4
02/12/05 PDF
IP WAN
2.3
12/08/04 PDF
Wireless
(Liste de contôle générique)
4.2
25/08/06 PDF 4.2.1
25/08/06 DOC
(Liste de contôle dédiée BlackBerry)
4.2.1
25/08/06 DOC
Wireless LAN Security Framework Addendum
2.1
31/10/05 PDF
Wireless LAN Site Survey Addendum
1.1
31/10/05 PDF
Wireless LAN Secure Remote Access Addendum
1.1
31/10/05 PDF
Wireless Mobile Computing Addendum
1.1
31/10/05 PDF
SERVICES
DNS
3.1
19/09/06 PDF 3.1
08/12/06 PDF
Web Servers
(Générique + IIS, Netscape, Apache) 6.1
11/12/06 PDF 6.1.1
01/07 ZIP
M
SYSTEMES
Page 15/61
Janvier 2007
OS/390 & z/OS
OS/390 Logical Partition
OS/390 RACF
OS/390 ACF2
OS/390 TSS
MacOS X
TANDEM
UNISYS
UNIX
VM IBM
SOLARIS
(2.6 à 2.9)
VMS VAX
Windows 2000
Windows 2003
Windows XP
Windows NT
Windows NT/2000/XP Addendum
TECHNOLOGIES
Biométrie
SPECIFIQUE DoD
Backbone transport
Defense switch network
Secure telecommunication Red switch network
DODI 8500.2 IA
N Nouveau
M Mis à jour
http://iase.disa.mil/stigs/index.html
http://iase.disa.mil/stigs/stig/index.html
http://iase.disa.mil/stigs/checklist/index.html
5.2
2.2
19/09/06 PDF
04/03/05 PDF
1.1
2.2
7.2
5.1
2.2
15/06/04
04/03/05
28/08/06
28/03/06
04/03/05
PDF
PDF
PDF
PDF
PDF
5.1.1
2.1.4
5.2.1
5.2.1
5.2.1
1.1.3
2.1.2
7.1.2
5.1
2.1.2
2.2.3
5.1.8
5.1.8
5.1.8
4.1.21
04/06
04/06
21/11/06
21/11/06
21/11/06
28/04/06
17/04/06
17/04/06
15/01/07
04/06
20/01/04
17/04/06
26/01/07
26/01/07
26/01/07
28/07/06
DOC
DOC
DOC
DOC
DOC
DOC
DOC
PDF
DOC
DOC
DOC
DOC
ZIP
ZIP
ZIP
DOC
1.8
3.1
5.1
12/01/03 PDF
26/12/02 DOC
21/09/05 PDF
1.3
10/11/05 PDF
1.3.1
31/10/05 DOC
1.1
2.3
1.1
05/06/06 PDF
30/04/06 PDF
26/03/06 PDF
1.1.1
2.3.2
18/01/07 PDF
01/05/06
1.1.1
18/01/07 PDF
M
M
M
M
R
R
R
R
R Accès restreint
- Pages d’accueil
- STIG
- Checklists
MODELISATION
CERT-CC - COMPARING INSIDER IT SABOTAGE AND ESPIONAGE: A MODEL-BASED ANALYSIS
# Description
Le CERT-CC vient de publier les résultats d’une remarquable étude menée par une
équipe constituée de personnels du CERT mais aussi d’experts dans le domaine du
contre-espionnage, de la psychologie et de la sécurité du personnel.
Il faut avouer que le sujet traité est peu banal: il s’agit en effet d’étudier les facteurs psychologiques, techniques et
organisationnels susceptibles d’influencer sur le comportement des personnels d’une organisation en matière d’éthique
et de morale, et plus précisément sur le niveau de confiance que l’on peut leur accorder.
A l’origine de cette étude se trouve la question de savoir s’il ne serait pas possible de traiter les problèmes du
sabotage informatique et de l’espionnage de la même manière quand bien souvent ces problèmes sont gérés de
manières distinctes par les spécialistes. L’hypothèse de départ est que les comportements spécifiques à ces deux
formes de forfaiture, et les actes qui en découlent, pourraient bien être détectés et contrés avec des mesures
communes aussi bien administratives que techniques. Mais encore faut-il disposer de modèles réalistes permettant de
décrire les relations complexes entre toutes les variables du problème.
L’équipe du CERT a ainsi développé trois modèles abstraits: un pour l’espionnage, un pour le sabotage et le dernier
décrivant les points communs entre les deux premiers et par conséquent dénommé ‘modèle abstrait commun. La
validité de ces modèles élaborés sur des bases fortement empiriques a été confirmée par une mise en situation sur un
ensemble de scénarios représentant des cas réels d’espionnage et de sabotage interne.
Il est intéressant de noter que les responsables de cette étude considèrent qu’il aurait été possible de déterminer des
modèles prédictifs en tenant compte de l’impact des contre-mesures mises en œuvre sur la menace. On retrouve ici
les prémisses d’une théorie parfaitement applicable dans ce contexte: la théorie des jeux et sa règle fondamentale qui
conduit à considérer à tout instant les gains de part et d’autre. La situation s’inverse en faveur de l’un ou de l’autre
des adversaires quant le risque de perdre dévient prédominant et que ‘le jeu n’en vaut plus la chandelle’.
L’analyse des scénarios a conduit les auteurs à émettre les six observations suivantes:
1- La majorité des saboteurs et espions avaient des prédispositions communes qui ont contribué à leur faire sauter le
pas pour commettre leur forfait,
2- Dans la plupart des cas, des événements stressants ont été un facteur d’augmentation du risque d’un passage à
l’acte,
3- Des comportements typiques ont bien souvent été observés avant, et durant, une action d’espionnage ou de
sabotage,
4- Les manipulations techniques effectuées par des personnels internes auraient pu alerter l’organisation quant à la
planification ou l’engagement d’un acte délictueux,
5- Dans bien des cas, les organisations ont ignoré, ou ont été dans l’incapacité de détecter, les manquements aux
Page 16/61
Janvier 2007
consignes,
6- L’absence de contrôles d’accès physiques ou électroniques a facilité aussi bien le sabotage informatique que
l’espionnage.
Bien qu’à l’origine il ne soit pas prévu que l’étude puisse déboucher sur des actions concrètes, les éléments découverts
durant l’analyse ont conduit à pouvoir émettre sept recommandations à l’attention de futurs projets de recherche dans
ce domaine.
Le modèle commun représentatif des comportements d’un espion ou d’un saboteur établi par cette étude est reproduit
ci-dessous. On notera la présence de nombreuses boucles de rétroaction qui font de ce modèle un système
dynamique. Le lecteur intéressé trouvera l’explication de l’existence de ces boucles en Annexe A (page 6) du rapport
et les modèles spécifiques à l’espionnage et au sabotage respectivement en Annexe B et en Annexe C.
Les arcs annotés par la lettre ‘S’ (Same) indiquent que la valeur des variables source et destination évoluent dans la
même direction. Ceux annotés par la lettre ‘O’ (Opposite) indiquent que la variation a lieu en sens opposé. Les boucles
préfixées de la lettre ‘B’ (Balancing) interviennent en contre-réaction (elles tendent à s’opposer à toute modification de
l’équilibre du système), celles préfixées par la lettre ‘R’ (Reinforcing) interviennent en amplification.
Avec ces trois modèles, l’équipe du recherche du CERT-CC nous propose un modèle non seulement original car
prennant en compte la dynamique régissant les interactions du sujet – l’agresseur interne – avec son environnement –
par définition fermé, celui de l’entreprise – mais aussi remarquablement précis: neuf boucles de rétroaction dont cinq
positionnées en contre-réaction.
Nos lecteurs férus de systémique pourront peut-être nous aider à déterminer l’ordre d’un tel système et les conditions
conduisant à une stabilité inconditionnelle. Quant à nos lecteurs assidus de programmation, peut-être pourront-ils
intégrer ce modèle comportemental dans un futur volet de la saga des SIMS…
Page 17/61
Janvier 2007
Le sommaire de ce rapport de 108 pages est reproduit ci-dessous:
Executive Summary
1 Introduction
1.1 Background
1.2 PERSEREC Research
1.3 CERT Research
2 Methodology
2.1 Modeling Technique
2.2 Modeling Process
2.3 Modeling Notation
3 Observations
3.1 Observation #1
3.2 Observation #2
3.3 Observation #3
3.4 Observation #4
3.5 Observation #5
3.6 Observation #6
4 Possible Policy Implications of This Research
4.1 Case Data Management
4.2 Management Training
4.3 Security Awareness Training
4.4 Employee Auditing and Monitoring
4.5 Human Resources Policies
4.6 Access Controls
4.7 Technical Practices for Prevention or Detection of Espionage and Insider IT Sabotage
4.8 Termination Policies
5 Directions for Immediate Future Research
5.1 Recommendation #1
6 Conclusion
6.1 Summary of Results
6.2 Value of Modeling Efforts
6.3 Recommendations for Follow-on Work
7 References
Appendix A: Abstracted Common Model
Appendix B: Insider IT Sabotage Model
Appendix C: Espionage Model
Appendix D: Technical Observables
Appendix E: Mapping IT Sabotage Cases to Observations
Appendix F: Mapping Espionage Cases to Observations
Appendix G: Criteria for Personal Predispositions
Appendix H: Espionage Case Summaries
Appendix I: Glossary
http://www.cert.org/archive/pdf/06tr026.pdf
NIST – ETAT DES GUIDES DE LA SERIE SP800
# Description
Le NIST a publié, pour commentaires, le guide SP800-104 intitulé ‘A Scheme for PIV Visual Card
Topography’. Nous mettons en conséquence à jour la liste des documents de la série SP800.
SP800-12
SP800-18.1
SP800-21.1
SP800-26
SP800-26.1
SP800-27a
SP800-28
SP800-29
SP800-30
SP800-31
An Introduction to Computer Security: The NIST Handbook
Guide for Developing Security Plans for Federal Information Systems
Guideline for Implementing Cryptography in the Federal Government
Security Self-Assessment Guide for Information Technology Systems
Guide for Inform. Security Program Assessments & System Reporting Form
Engineering Principles for Information Technology Security – Rev A
Guidelines on Active Content and Mobile Code
Comparison of Security Reqs for Cryptographic Modules in FIPS 140-1 & 140-2
Underlying Technical Models for Information Technology Security – Rev A
Intrusion Detection Systems
[R]
[R]
[D]
[F]
[R]
[F]
[F]
[F]
[F]
[F]
10/1995
08/2005
09/2005
11/2001
08/2005
06/2004
10/2001
10/2001
01/2004
11/2001
Page 18/61
Janvier 2007
SP800-32
SP800-33
SP800-34
SP800-35
SP800-36
SP800-37
SP800-38A
SP800-38B
SP800-38C
SP800-38D
SP800-40
SP800-40-2
SP800-41
SP800-42
SP800-43
SP800-44
SP800-45A
SP800-46
SP800-47
SP800-48
SP800-49
SP800-50
SP800-51
SP800-52
SP800-53-1
SP800-53A
SP800-54
SP800-55
SP800-56A
SP800-57
Introduction to Public Key Technology and the Federal PKI Infrastructure
Underlying Technical Models for Information Technology Security
Contingency Planning Guide for Information Technology Systems
Guide to Selecting IT Security Products
Guide to IT Security Services
Guidelines for the Security C&A of Federal Information Technology Systems
Recommendation for Block Cipher Modes of Operation – Method and Techniques
Recommendation for Block Cipher Modes of Operation – RMAC
Recommendation for Block Cipher Modes of Operation – CCM
Recommendation for Block Cipher Modes of Operation – GCM
Applying Security Patches
Creating a Patch and Vulnerability Management Program
Guidelines on Firewalls and Firewall Policy
Guidelines on Network Security testing
System Administration Guidance for Windows2000
Guidelines on Securing Public Web Servers
Guide On Electronic Mail Security
Security for Telecommuting and Broadband Communications
Security Guide for Interconnecting Information Technology Systems
Wireless Network Security: 802.11, Bluetooth™ and Handheld Devices
Federal S/MIME V3 Client Profile
Building an Information Technology Security Awareness & Training Program
Use of the Common Vulnerabilities and Exposures Vulnerability Naming Scheme
Guidelines on the Selection and Use of Transport Layer Security
Recommended Security Controls for Federal Information Systems
Guide for Assessing the Security Controls in Federal Information Systems
Border Gateway Protocol Security
Security Metrics Guide for Information Technology Systems
Pair-Wise Key Establishment Schemes Using Discrete Logarithm Cryptography
Recommendation for Key Management, Part 1: General Guideline
Recommendation for Key Management, Part 2: Best Practices
SP800-58
Security Considerations for Voice Over IP Systems
SP800-59
Guideline for Identifying an Information System as a National Security System
SP800-60
Guide for Mapping Types of Information & Information Systems to Security Categories
SP800-61
Computer Security Incident Handling Guide
SP800-63
Recommendation for Electronic Authentication
SP800-64
Security Considerations in the Information System Development Life Cycle
SP800-65
Recommended Common Criteria Assurance Levels
SP800-66
An Introductory Resource Guide for Implementing the HIPAA Security Rule
SP800-67
Recommendation for the Triple Data Encryption Algorithm (TDEA) Block Cipher
SP800-68
Guidance for Securing Microsoft Windows XP Systems for IT Professionals
SP800-69
Guidance for Securing Microsoft Windows XP Home Edition
SP800-70
The NIST Security Configuration Checklists Program
SP800-72
Guidelines on PDA Forensics
SP800-73
Integrated Circuit Card for Personal Identity Verification
SP800-73-1 Interfaces to Personal Identity Verification
SP800-76-1 Biometric Data Specification for Personal Identity Verification
SP800-77
Guide to Ipsec VPNs
SP800-78-1 Cryptographic Algorithms and Key Sizes for Personal Identity Verification
SP800-79
Guidelines for Certification & Accreditation of PIV Card Issuing Organizations
SP800-80
Guide for Developing Performance Metrics for Information Security
SP800-81
Secure Domain Name System (DNS) Deployment Guide
SP800-82
Guide to SCADA and Industrial Control Systems Security
SP800-83
Guide to Malware Incident Prevention and Handling
SP800-84
Guide to Single-Organization IT Exercises
SP800-85B PIV Middleware and PIV Card Application Conformance Test Guidelines
SP800-86
Computer, Network Data Analysis: Forensic Techniques to Incident Response
SP800-87
Codes for the Identification of Federal and Federally-Assisted Organizations
SP800-88
Guidelines for Media Sanitization
SP800-89
Recommendation for Obtaining Assurances for Digital Signature Applications
SP800-90
Random Number Generation Using Deterministic Random Bit Generators
[F]
[F]
[F]
[F]
[F]
[F]
[F]
[D]
[F]
[D]
[F]
[F]
[F]
[F]
[F]
[F]
[R]
[F]
[F]
[F]
[F]
[F]
[F]
[D]
[M]
[R]
[R]
[F]
[M]
[F]
[F]
[F]
[F]
[F]
[F]
[M]
[F]
[F]
[F]
[F]
[F]
[R]
[F]
[F]
[R]
[R]
[M]
[F]
[R]
[F]
[R]
[D]
[R]
[F]
[R]
[F]
[F]
[F]
[M]
[F]
[F]
02/2001
12/2001
06/2002
10/2003
10/2003
04/2004
12/2001
12/2001
05/2004
04/2006
09/2002
11/2005
01/2002
10/2003
11/2002
09/2002
09/2006
09/2002
09/2002
11/2002
11/2002
03/2003
09/2002
09/2004
12/2006
04/2006
09/2006
07/2003
05/2006
08/2005
08/2005
03/2005
08/2003
06/2004
01/2004
04/2006
07/2004
01/2005
03/2005
05/2004
10/2005
08/2006
05/2005
11/2004
01/2005
03/2006
09/2006
12/2005
07/2006
07/2005
05/2006
05/2006
09/2006
11/2005
08/2005
07/2006
08/2006
01/2006
08/2006
11/2006
06/2006
Page 19/61
Janvier 2007
SP800-92
SP800-94
SP800-95
SP800-96
SP800-97
SP800-98
SP800-100
SP800-101
SP800-103
SP800-104
Guide to Computer Security Log Management
Guide to Intrusion Detection and Prevention (IDP) Systems
Guide to Secure Web Services
PIV Card / Reader Interoperability Guidelines
Guide to IEEE 802.11i: Robust Security Networks
Guidance for Securing Radio Frequency Identification (RFID) Systems
Information Security Handbook: A Guide for Managers
Guidelines on Cell Phone Forensics
An Ontology of Identity Credentials, Part I: Background and Formulation
A Scheme for PIV Visual Card Topography
[F] Finalisé
[R] Pour commentaire et relecture
[*] Récemment finalisé
[D] En cours de développement
[R]
[R]
[R]
[M]
[R]
[R]
[F]
[R]
[R]
[R]
04/2006
09/2006
09/2006
07/2006
06/2006
09/2006
10/2006
09/2006
09/2006
01/2007
[M] Mise à jour
http://csrc.nist.gov/publications/nistpubs/index.html
http://csrc.nist.gov/publications/drafts/800-104/Draft-SP-800-104_Color-coding.pdf
- Catalogue
- SP800-104
Page 20/61
Janvier 2007
L
LO
OG
LIIB
GIIC
BR
RE
CIIE
ES
S
EL
LS
SL
LES
SERVICES DE BASE
Les dernières versions des services de base sont rappelées dans les tableaux suivants. Nous conseillons
d’assurer rapidement la mise à jour de ces versions, après qualification préalable sur une plate-forme
dédiée.
RESEAU
Nom
% BIND
DHCP
NTP4
OpenNTPD
Fonction
Ver.
Gestion de Nom (DNS) 9.3.4
8.4.7
Serveur d’adresse
3.0.4
Serveur de temps
4.2.2
Serveur de temps
3.9
Date
Source
01/07
21/12/05
05/05/06
08/06/06
15/05/06
http://www.isc.org/
http://www.isc.org/
http://ntp.isc.org/bin/view/Main/SoftwareDownloads
http://www.openntpd.org/
MESSAGERIE
Nom
% IMAP4
POP3
POPA3D
SENDMAIL
Fonction
Ver.
Relevé courrier
Relevé courrier
Relevé courrier
Serveur de courrier
2006e
4.0.9
1.0.2
8.13.8
Fonction
Ver.
Date
Source
25/01/07
21/03/06
23/05/06
09/08/06
ftp://ftp.cac.washington.edu/imap/
ftp://ftp.qualcomm.com/eudora/servers/unix/popper/
http://www.openwall.com/popa3d/
ftp://ftp.sendmail.org/pub/sendmail/
WEB
Nom
% APACHE
ModSSL
MySQL
% SQUID
Serveur WEB
1.3.37
2.0.59
2.2.4
API SSL Apache 1.3.36 2.8.28
Base SQL
5.1.14
Cache WEB
2.6s9
Date
Source
27/07/06
27/07/06
06/01/07
28/08/06
05/12/06
24/01/07
http://httpd.apache.org/dist
http://www.modssl.org
http://dev.mysql.com/doc/refman/5.1/en/news.html
http://www.squid-cache.org
AUTRE
Nom
INN
OpenCA
% OpenLDAP
Samba
Tor
LES
Fonction
Ver.
Gestion des news
Gestion de certificats
Gestion de l’annuaire
Gestion de fichiers
Anonymat
2.4.3
0.9.3
2.3.33
3.0.23d
0.1.1.26
Date
Source
22/03/06
10/10/06
17/01/07
15/11/06
17/12/06
http://www.isc.org/
http://pki.openca.org/projects/openca/downloads.shtml
ftp://ftp.openldap.org/pub/OpenLDAP/openldap-release/
http://us1.samba.org/samba/
http://tor.eff.org/download.html
OUTILS
Une liste, non exhaustive, des produits et logiciels de sécurité du domaine public est proposée dans les
tableaux suivants.
LANGAGES
Nom
Perl
Python
% Ruby
PHP
Fonction
Ver.
Scripting
Scripting
Scripting
WEB Dynamique
5.8.8
2.5
1.8.5p12
4.4.4
5.2.0
Date
Source
10/02/06
19/09/06
25/12/06
17/08/06
02/11/06
http://www.cpan.org/src/README.html
http://www.python.org/download/
http://www.ruby-lang.org/en/downloads/
http://www.php.net/downloads.php
ANALYSE RESEAU
Nom
Dsniff
EtterCap
Ethereal
Nstreams
SamSpade
TcpDump
Libpcap
TcpFlow
% WinPCap
Fonction
Ver.
Boîte à outils
Analyse & Modification
Analyse multiprotocole
Générateur de règles
Boîte à outils
Analyse multiprotocole
Acquisition Trame
Collecte données
Acquisition Trame
2.3
0.7.3
0.99.4
1.0.3
1.14
3.9.5
0.9.5
0.21
4.0
Date
Source
17/12/00
29/05/05
31/10/06
06/08/02
10/12/99
19/09/06
19/09/06
07/08/03
30/01/07
http://www.monkey.org/~dugsong/dsniff
http://ettercap.sourceforge.net/index.php?s=history
http://www.wireshark.org/
http://www.ethereal.com/
http://www.hsc.fr/ressources/outils/nstreams/download/
http://www.samspade.org/ssw/
http://www.tcpdump.org/
http://www.tcpdump.org/
http://www.circlemud.org/~jelson/software/tcpflow/
http://www.winpcap.org/news.htm
Page 21/61
Janvier 2007
ANALYSE DE JOURNAUX
Nom
Fonction
Ver.
Analog
fwLogWatch
OSSIM
SnortSnarf
WebAlizer
Journaux serveur http
Analyse log
Console de gestion
Analyse Snort
Journaux serveur http
6.00
1.1
0.9.9rc3
050314.1
2.01-10
Date
Source
19/12/04
17/04/06
22/09/06
05/03/05
24/04/02
http://www.analog.cx
http://cert.uni-stuttgart.de/projects/fwlogwatch/
http://www.ossim.net/
http://www.snort.org/dl/contrib/data_analysis/snortsnarf/
http://www.mrunix.net/webalizer/download.html
ANALYSE DE SECURITE
Nom
Fonction
Ver.
BackTrack
% curl
FIRE
% Nessus
Boîte à outils
Analyse http et https
Boîte à outils
Vulnérabilité réseau
Helix
Nikto
nmap
% Saint
Sara
Wikto
Whisker
Boîte à outils
LibWhisker
1.0
7.16.1
0.4a
2.2.9
3.0.5
1.8
1.35
4.20
6.3.6
7.0.4a
1.63.1
2.3
Date
Source
26/05/06
30/01/07
14/05/03
30/10/06
17/01/07
06/10/06
20/05/05
11/12/06
26/01/07
22/12/06
29/03/06
22/08/05
http://www.remote-exploit.org/backtrack_download.html
http://curl.haxx.se/
http://sourceforge.net/projects/biatchux/
http://www.nessus.org
http://www.nessus.org
http://www.e-fense.com/helix/
http://www.cirt.net/nikto/
http://www.insecure.org/nmap/nmap_changelog.html
http://www.saintcorporation.com/resources/updates.html
http://www.www-arc.com/sara/downloads/
http://www.sensepost.com/research/wikto/
http://www.wiretrip.net/rfp/lw.asp
CONFIDENTIALITE
Nom
Fonction
Ver.
GPG
GPG4Win
GPG S/MIME
LibGCrypt
Signature/Chiffrement
2.0.1
1.0.6
1.9.20
1.2.3
Date
Source
06/12/06
29/08/06
20/12/05
29/08/06
http://www.gnupg.org/(fr)/news.html
CENT D’ACCES RESEAU
Nom
Fonction
Ver.
Date
Xinetd
Inetd amélioré
2.3.14
24/10/05 http://www.xinetd.org/
Source
Date
CENT D’INTEGRITE
Nom
Fonction
Ver.
RootKit hunt
ChkRootKit
RKRevealer
Compromission UNIX
Compromission UNIX
Compromission WIN
1.2.7
0.47
1.71
Source
24/05/05 http://www.rootkit.nl
10/10/06 http://www.chkrootkit.org/
01/11/06 http://www.microsoft.com/technet/sysinternals/default.mspx
DETECTION D’INTRUSION
Nom
Fonction
Ver.
P0f
Snort
Shadow
Identification passive
IDS Réseau
IDS Réseau
2.0.8
2.6.1.2
1.8
Date
Source
06/09/06 http://lcamtuf.coredump.cx/p0f.shtml
07/12/06 http://www.snort.org/dl/
30/04/03 http://www.nswc.navy.mil/ISSEC/CID/
GENERATEURS DE TEST
Nom
Fonction
Ver.
NetDude &all
Scapy
Rejeu de paquets
Génération de paquet
0.4.7
1.0.5.20
Fonction
Ver.
PareFeu FreeBsd
Filtre datagramme
Pare-Feu IpTables
4.0
4.1.17
1.3.7
Date
Source
16/11/06 http://netdude.sourceforge.net/download.html
12/12/06 http://www.secdev.org/projects/scapy/files/scapy.py
PARE-FEUX
Nom
DrawBridge
% IpFilter
NetFilter
Date
Source
23/04/04 http://drawbridge.tamu.edu
01/07 http://coombs.anu.edu.au/ipfilter/ip-filter.html
04/12/06 http://www.netfilter.org/projects/iptables/downloads.html
TUNNELS
Nom
CIPE
http-tunnel
OpenSSL
OpenSSH
OpenSwan
% PuTTY
Stunnel
Zebedee
Fonction
Ver.
Pile Crypto IP (CIPE)
Encapsulation http
Pile SSL
Pile SSH 1 et 2
Pile IPSec
Terminal SSH2
Proxy https
Tunnel TCP/UDP
1.6
3.0.5
0.9.8d
4.5
2.4.7
0.59
4.20
2.4.1a
Date
Source
04/08/04
06/12/00
28/09/06
07/11/06
14/11/06
24/01/07
30/11/06
06/09/05
http://sites.inka.de/sites/bigred/devel/cipe.html
http://www.nocrew.org/software/httptunnel.html
http://www.openssl.org/
http://www.openssh.com/
http://www.openswan.org/code/
http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html
http://www.stunnel.org
http://www.winton.org.uk/zebedee/
Page 22/61
Janvier 2007
N
NO
OR
STTA
RM
AN
ME
ND
ES
DA
SE
AR
RD
ET
DS
TS
S
LES
LES
PUBLICATIONS DE L’IETF
RFC
Du 28/12/2006 au 29/01/2007, 15 RFC ont été publiés dont 4 RFC ayant trait à la sécurité.
RFC TRAITANT DE LA SECURITE
Thème
IKE
EAP
SRTP
Num Date Etat Titre
4753
4754
4764
4771
01/07
01/07
01/07
01/07
Inf
Pst
Exp
Pst
ECP Groups For IKE and IKEv2
IKE and IKEv2 Authentication Using the Elliptic Curve Digital Signature Algorithm (ECDSA)
The EAP-PSK Protocol: A Pre-Shared Key Extensible Authentication Protocol (EAP) Method
Integrity Transform Carrying Roll-Over Counter for the Secure Real-time Transport Protocol (SRTP)
RFC TRAITANT DE DOMAINES CONNEXES A LA SECURITE
Thème
VPLS
Num Date Etat Titre
4761
4762
01/07 Pst
01/07 Pst
Virtual Private LAN Service (VPLS) Using BGP for Auto-Discovery and Signaling
Virtual Private LAN Service (VPLS) Using Label Distribution Protocol (LDP) Signaling
AUTRES RFC
Thème
BGP
GRE
GSER
IPV6
LLMNR
RTP
vCard
LES
Num Date Etat Titre
4724
4760
4781
4797
4792
4779
4795
4788
4770
01/07
01/07
01/07
01/07
01/07
01/07
01/07
01/07
01/07
Pst
Dft
Pst
Inf
Pst
Inf
Inf
Pst
Pst
Graceful Restart Mechanism for BGP
Multiprotocol Extensions for BGP-4
Graceful Restart Mechanism for BGP with MPLS
Use of PE-PE Generic Routing Encapsulation (GRE) or IP in BGP/MPLS IP Virtual Private Networks
Encoding Instructions for the Generic String Encoding Rules (GSER)
ISP IPv6 Deployment Scenarios in Broadband Access Networks
Link-local Multicast Name Resolution (LLMNR)
Enhancements to RTP Payload Formats for EVRC Family Codecs
vCard Extensions for Instant Messaging (IM)
DRAFTS
Du 28/12/2006au 29/01/2007, 108 drafts ont été publiés : 78 drafts mis à jour, 30
nouveaux drafts, dont 7 drafts ayant directement trait à la sécurité.
NOUVEAUX DRAFTS TRAITANT DE LA SECURITE
Thème
Nom du Draft
Date Titre
AAA
DNS
HOKEY
MIPV6
MOBILEIP
TLS
TOKENS
draft-vanderveen-aaa-roaming-00
draft-larson-dnsop-trust-anchor-00
draft-ietf-hokey-reauth-ps-00
draft-nakhjiri-dime-mip6-nsi-00
draft-mun-mobileip-bwa-aaa-00
draft-rescorla-tls-extractor-00
draft-rescorla-stateless-tokens-00
19/01
12/01
17/01
19/01
28/12
15/01
15/01
AAA Separation for Roaming
DNSSEC Trust Anchor Configuration and Maintenance
Handover Key Mgmt and Re-authentication Problem Statement
Net. Svc Ident. for separation of MIPv6 service authorization
Local Auth Scheme Based on AAA Architecture in IEEE 802.16e
Keying Material Extractors for Transport Layer Security (TLS)
How to Implement Secure (Mostly) Stateless Tokens
MISE A JOUR DE DRAFTS TRAITANT DE LA SECURITE
Thème
Nom du Draft
Date Titre
CRYPTO
EAP-FAST
HOKEY
IPSEC
draft-solinas-ui-suites-01
draft-cam-winget-eap-fast-06
draft-nakhjiri-hokey-hierarchy-03
draft-manral-ipsec-rfc4305-bis-errata-03
draft-ietf-v6ops-ipsec-tunnels-05
draft-ietf-pkix-scvp-31
draft-ietf-pkix-rfc3280bis-07
draft-siemborski-rfc1734bis-08
draft-savola-rtgwg-backbone-attacks-03
draft-riikonen-silc-ke-auth-09
12/01
15/01
16/01
17/01
17/01
15/01
28/12
12/01
16/01
19/01
PKIX
RFC1734
RTGWG
SILC
Suite B Cryptographic Suites for IPsec
The Flexible Authentication via Secure Tunneling EAP-FAST
A Keying hierarchy for managing Wireless Handover security
Cryptographic Algorithm Implementation Req. for ESP and AH
Using IPsec to Secure IPv6-in-IPv4 Tunnels
Server-based Certificate Validation Protocol (SCVP)
Internet X.509 PKI Certificate and CRL Profile
POP3 SASL Authentication Mechanism
Backbone Infrastructure Attacks and Protections
SILC Key Exchange and Authentication Protocols
DRAFTS TRAITANT DE DOMAINES CONNEXES A LA SECURITE
Thème
Nom du Draft
DIAMETER draft-asveren-dime-cong-01
ICE
draft-ietf-mmusic-ice-13
Date Titre
12/01 Diameter Congestion Signaling
17/01 ICE: A Methodology for NAT Traversal for Offer/Answer Protocols
Page 23/61
Janvier 2007
IPV4
NAT
SYSLOG
VPN
draft-leung-mip4-proxy-mode-02
draft-ietf-behave-tcp-04
draft-ietf-syslog-device-mib-13
draft-halpern-forces-lfblibrary-vpn-00
11/01
17/01
18/01
18/01
Mobility Management using Proxy Mobile IPv4
NAT Behavioral Requirements for TCP
Syslog Management Information Base
A VPN Library for use with the ForCES Protocol and Model
AUTRES DRAFTS
Thème
Nom du Draft
Date Titre
802.21
ASAP
CIDR
DCCP
DHCP
DKIM
DNS
EAP-FAST
ECRIT
EDIINT
ENUM
EPP
draft-ohba-802dot21-basic-schema-00
draft-ietf-rserpool-asap-15
draft-terrell-cidr-net-descrpt-...-add-spc-13
draft-fairhurst-dccp-serv-codes-01
draft-ietf-dhc-dhcvp6-leasequery-01
draft-ietf-dkim-base-08
draft-ietf-dnsext-forgery-resilience-00
draft-cam-winget-eap-fast-provisioning-03
draft-ietf-ecrit-lost-03
draft-ietf-ediint-compression-06
draft-ietf-enum-unused-00
draft-hollenbeck-epp-rfc3733bis-06
draft-hollenbeck-epp-rfc3734bis-05
draft-ietf-ieprep-domain-frame-08
draft-ma-forces-proxy-framework-02
draft-srinivasan-fr-pid-comp-00
draft-rosenau-ftp-single-port-00
draft-iab-iwout-report-01
draft-lynch-execd-tasks-00
draft-davey-iialp-07
draft-ietf-lemonade-search-within-03
draft-ietf-lemonade-compress-07
draft-ietf-ipfix-biflow-01
draft-ietf-mip4-rfc2006bis-03
draft-ietf-mip4-message-string-ext-02
draft-ietf-mip4-dsmipv4-01
draft-ietf-16ng-ipv6-link-model-analysis-02
draft-ietf-16ng-ipv6-over-ipv6cs-06
draft-ietf-6lowpan-format-09
draft-ietf-mip6-vsm-00
draft-ietf-radext-filter-08
draft-ietf-v6ops-nap-06
draft-ietf-v6ops-802-16-deployment-...-02
draft-ietf-crisp-iris-common-transport-04
draft-ietf-crisp-iris-xpc-05
draft-ietf-l1vpn-framework-05
draft-ietf-ltru-4645bis-01
draft-terrell-math-quant-... -sys-04
draft-ietf-mipshop-mis-ps-00
draft-ietf-ccamp-crankback-06
draft-ietf-ccamp-rsvp-restart-ext-07
draft-cui-ccamp-te-loose-reopt-local-00
draft-ietf-simple-msrp-relays-10
draft-ietf-nea-requirements-00
draft-trevino-netconf-notification-transport-00
draft-ietf-ntp-ntpv4-proto-04
draft-ietf-ospf-lls-02
draft-ietf-pce-pcep-05
draft-ietf-pce-pcecp-interarea-reqs-05
draft-ietf-pce-brpc-03
draft-riikonen-presence-attrs-04
draft-ietf-pwe3-sonet-14
draft-ietf-pwe3-ms-pw-requirements-04
draft-harper-inband-signalling-requ...-00
draft-ietf-trill-rbridge-protocol-02
draft-iab-rfc-editor-03
draft-ietf-calsify-rfc2445bis-04
draft-xu-avt-subrtcp-00
draft-ietf-avt-ulp-20
draft-ietf-avt-rtp-svc-00
draft-irtf-sam-hybrid-overlay-framework-00
draft-stewart-sctp-pktdrprep-06
draft-ladha-sctp-nonce-06
draft-stewart-sctpstrrst-04
draft-schierl-mmusic-layered-codec-02
draft-riikonen-silc-pp-09
draft-riikonen-silc-commands-07
draft-riikonen-silc-multimedia-session-00
draft-stafford-simple-dmdn-00
16/01
11/01
28/12
12/01
28/12
19/01
12/01
12/01
18/01
17/01
11/01
10/01
10/01
28/12
18/01
29/12
29/12
11/01
18/01
10/01
28/12
18/01
17/01
19/01
16/01
29/12
11/01
17/01
18/01
20/12
17/01
11/01
17/01
10/01
10/01
10/01
15/01
28/12
10/01
18/01
17/01
18/01
29/12
10/01
28/12
18/01
12/01
12/01
29/12
17/01
19/01
28/12
15/01
16/01
17/01
11/01
17/01
29/12
17/01
29/12
16/01
12/01
12/01
12/01
29/12
19/01
19/01
19/01
19/01
ETS
FORCES
FR
FTP
IAB
IETF
IIALP
IMAP
IPFIX
IPV4
IPV6
IRIS
L1VPN
LTRU
MATH
MIP
MPLS
MSRP
NEA
NETCONF
NTP
OSPF
PCE
PRESENC
PWE3
QoS
RBRIDGE
RFC
RTCP
RTP
SAM
SCTP
SDP
SILC
SIMPLE
IEEE 802.21 Basic Schema
Aggregate Server Access Protocol (ASAP)
The CIDR ND expands the size of the IPtX Address Space .....
The DCCP Service Code
DHCPv6 Leasequery
DomainKeys Identified Mail (DKIM) Signatures
Measures for making DNS more resilient against forged answers
Dynamic Provisioning using EAP-FAST
LoST: A Location-to-Service Translation Protocol
Compressed Data for EDIINT
IANA Registration for Enumservice UNUSED
Extensible Provisioning Protocol (EPP) Contact Mapping
Extensible Provisioning Protocol (EPP) Transport Over TCP
Framework for Supporting ETS Within a Single Adm. Domain
A Framework Migrating Legacy Routers to ForCES Architecture
Compressing Protocol Identifiers for Frame Relay
FTP EXTENSION ALLOWING IP FORWARDING (NATs)
IAB workshop on Unwanted Traffic March 9-10, 2006
Tasks previously assigned to the IETF Executive Director
IIALP pronounced E'-alp
WITHIN Search extension to the IMAP Protocol
The IMAP COMPRESS Extension
Bidirectional Flow Export using IPFIX
Definitions of MO for IP Mobility Support using SMIv2, revised
Mobile IPv4 Message String Extension
Dual Stack Mobile IPv4
Analysis of IPv6 Link Models for 802.16 based Networks
IPv6 Over the IP Specific part of the Packet Convergence sublayer
Transmission of IPv6 Packets over IEEE 802.15.4 Networks
Mobile IPv6 Vendor Specific Option
IPv6 Deployment Scenarios in 802.16(e) Networks
Local Network Protection for IPv6
IPv6 Deployment Scenarios in 802.16(e) Networks
A Common Schema for IRIS Transfer Protocols
XML Pipelining with Chunks for IRIS
Framework and Requirements for Layer 1 Virtual Private Networks
Update to the Language Subtag Registry
The Mathematics of Quantification, and the Rudiments Of the ....
Mobility Independent Services: Problem Statement
Crankback Signaling Extensions for MPLS and GMPLS RSVP-TE
Extensions to GMPLS RSVP Graceful Restart
Reoptimization of MPLS TE loosely routed LSP Locally
Relay Extensions for the Message Sessions Relay Protocol (MSRP)
Requirements for Network Endpoint Assessment (NEA)
NETCONF Event Notifications
NTP Version 4 Protocol And Algorithms Specification
OSPF Link-local Signaling
PCE communication Protocol (PCEP) - Version 1
PCECP Specific Requirements for Inter-Area MPLS and GMPLS TE
BRPC procedure to compute shortest inter-domain TE LSP
User Online Presence and Information Attributes
SONET/SDH Circuit Emulation over Packet (CEP)
Requirements for Multi-Segment PWE3
Requirements for In-Band QoS Signalling
Rbridges: Base Protocol Specification
The RFC Series and RFC Editor
Internet Calendaring and Scheduling Core Object Specification
SubRTCP:RTCP Extension for Internal Monitoring of RTP Sessions.
RTP Payload Format for Generic Forward Error Correction
RTP Payload Format for SVC Video
Hybrid Overlay Multicast Framework
Stream Control Transmission Protocol Packet Drop Reporting
ECN Nonces for Stream Control Transmission Protocol (SCTP)
Stream Control Transmission Protocol (SCTP) Stream Reset
Signaling media decoding dependency in SDP
SILC Packet Protocol
SILC Commands
Multimedia Sessions in SILC protocol
Disposition Notification Requirements for Deferred Messaging
Page 24/61
Janvier 2007
SIP
SMB
SMIME
SMTP
TGREP
UDP
ULE
UNICODE
URI
URN
XCON
XML
XMPP
draft-johnston-sipping-cc-uui-01
draft-niccolini-sipping-spitstop-00
draft-stolz-centop-00
draft-ietf-sip-connected-identity-04
draft-crhertel-smb-url-12
draft-ietf-smime-escertid-04
draft-levine-smtp-batv-00
draft-ietf-iptel-tgrep-08
draft-ietf-crisp-iris-lwz-07
draft-fairhurst-ipdvb-ule-ext-01
draft-klensin-unicode-escapes-00
draft-wilde-text-fragment-06
draft-rissen-bbc-urn-00
draft-ietf-xcon-bfcp-connection-03
draft-levin-mmusic-xml-media-control-08
draft-saintandre-xmpp-urn-02
28/12
11/01
17/01
17/01
16/01
17/01
11/01
11/01
10/01
11/01
18/01
17/01
12/01
12/01
15/01
16/01
Transporting User to User Information for Call Centers using SIP
Signaling TO Prevent SPIT (SPITSTOP) Reference Scenario
Centralized Operator Call Control Framework for SIP
Connected Identity in the Session Initiation Protocol (SIP)
SMB File Sharing URI Scheme
ESS Update: Adding CertID Algorithm Agility
Bounce Address Tag Validation (BATV)
A Telephony Gateway REgistration Protocol (TGREP)
Lightweight UDP Transfer Protocol for IRIS
Extension Formats for ULE and the GSE
ASCII Escaping of Unicode Characters
URI Fragment Identifiers for the text/plain Media Type
A URN Formal Namespace for the British Broadcasting Corporation
Connection Establishment in the Binary Floor Control Protocol
XML Schema for Media Control
A URN Namespace for Extensions to the XMPP
Page 25/61
Janvier 2007
NOS COMMENTAIRES
LES RFC
RFC4732
Internet Denial-of-Service Considerations
Intitulé ‘Internet Denial-of-Service Considerations’, le RFC4732 est publié dans la catégorie Information par
Mark J. Handley (Université de Cambridge) et Eric Rescorla (Network Resonance). Il propose un état de l’art des
différentes attaques de type ‘Déni de Service’ qu peuvent être perpétrées sur des systèmes connectés à l’Internet.
Son objectif est d’aider les concepteurs de protocoles et de réseaux à concevoir des architectures plus robustes.
Remarquablement complet, et couvrant parfaitement le sujet, ce document de référence souffre hélas du format de
présentation bien trop dépouillé usuel aux publications de l’IETF et du manque d’illustrations. Sa lecture n’en est pas
facilitée, et cela est d’autant plus dommageable que le sujet abordé est d’une importance capitale pour la stabilité et
l’évolution de l’Internet.
La table des matières de ce document de plus de 38 pages est reproduite ci-après :
1. Introduction
2. An Overview of Denial-of-Service Threats
2.1 DoS Attacks on End-Systems
2.1.1
Exploiting Poor Software Quality
2.1.2
Application Resource Exhaustion
2.1.3
Operating System Resource Exhaustion
2.1.4
Triggered Lockouts and Quota Exhaustion
2.2 DoS Attacks on Routers
2.2.1
Attacks on Routers through Routing Protocols
2.2.2
IP Multicast-based DoS Attacks
2.2.3
Attacks on Router Forwarding Engines
2.3 Attacks on Ongoing Communications
2.4 Attacks Using the Victim's Own Resources
2.5 DoS Attacks on Local Hosts or Infrastructure
2.6 DoS Attacks on Sites through DNS
2.7 DoS Attacks on Links
2.8 DoS Attacks on Firewalls
2.9 DoS Attacks on IDS Systems
2.10 DoS Attacks on or via NTP
2.11 Physical DoS
2.12 Social Engineering DoS
2.13 Legal DoS
2.14 Spam and Black-Hole Lists
3. Attack Amplifiers
3.1 Methods of Attack Amplification
3.2 Strategies to Mitigate Attack Amplification
4. DoS Mitigation Strategies
4.1 Protocol Design
4.1.1
Don't Hold State for Unverified Hosts
4.1.2
Make It Hard to Simulate a Legitimate User
4.1.3
Graceful Routing Degradation
4.1.4
Autoconfiguration and Authentication
4.2 Network Design and Configuration
4.2.1
Redundancy and Distributed Service
4.2.2
Authenticate Routing Adjacencies
4.2.3
Isolate Router-to-Router Traffic
4.3 Router Implementation Issues
4.3.1
Checking Protocol Syntax and Semantics
4.3.2
Consistency Checks
4.3.3
Enhance Router Robustness through Operational Adjustments
4.3.4
Proper Handling of Router Resource Exhaustion
4.4 End-System Implementation Issues
4.4.1. State Lookup Complexity
4.4.2
Operational Issues
5. Conclusions
6. Security Considerations
7. Acknowledgements
8. Normative References
Page 26/61
Janvier 2007
9. Informative References
Appendix A IAB Members at the Time of This Writing
ftp://ftp.isi.edu/in-notes/rfc4732.txt
RFC4772
Security Implications of Using the Data Encryption Standard (DES)
Avec ce RFC publié dans la catégorie Information S.Kelly, de la société Aruba Networks, s’attaque à un problème
de fond, celui de la poursuite de l’utilisation de l’algorithme DES dans nombres de spécifications ou implémentations
pourtant antérieures à l’annonce de la déclassification de cet algorithme.
Force est de constater que l’impressionnante durée de vie mais aussi et surtout la simplicité d’utilisation de cet
algorithme ont forgées des habitudes voire des réflexes difficiles à oublier. Il serait pourtant temps d’éliminer une
bonne fois pour toute le DES, et dans la foulée tous les autres algorithmes ayant failli: SHA-0, SHA-1, MD4, MD5,..
Intitulé ‘Security Implications of Using the Data Encryption Standard’, ce document de moins de 28 pages
fournit aux concepteurs et développeurs toutes les informations requises pour que ces derniers prennent conscience
de la relative faiblesse de l’algorithme et fassent le ‘bon’ choix, ou du moins, prennent une décision éclairée et
justifiée.
Après un rapide historique et une mise en situation de l’utilisation de la cryptographie dans le contexte des systèmes
d’information du 21ième siècle, l’auteur aborde le problème de la robustesse d’un algorithme symétrique conçu autour
d’une taille de clef fixe et non extensible, 56 bits dans le cas du DES. Bien qu’aucune attaque réellement efficace
n’ait pu être mise en évidence dans la conception de l’algorithme, et que sa plus grande vulnérabilité résidera –
comme pour tous les autres algorithmes – dans l’implémentation pratique qui en sera faite, le DES est la victime
d’un phénomène externe non contrôlable: l’évolution technologique.
Quand en 1980, le parcours exhaustif des 72 quadrillions de clefs possibles aurait demandé plusieurs semaines de
calcul au plus puissant des calculateurs, il n’en coûtait plus que 9 jours au pire et un investissement de $250 000 en
1998. Avec les derniers progrès en matière de logique reprogrammable et de mise en parallèle de calculateurs, cette
barrière est désormais tombée à moins d’une journée pour un budget matériel identique.
Est-il besoin d’en dire plus pour convaincre les plus irréductibles concepteurs qu’un tel algorithme ne peut plus être
considéré comme apte à protéger des données sensibles, sauf peut être et encore, lorsque la durée de vie - au sens
confidentialité - de celles-ci est inférieure à l’heure. Déclassé depuis plusieurs années pour la protection des données
classées, l’algorithme DES ne pourra plus être employé au-delà du 19 mai prochain pour protéger les données
gouvernementales dites ‘non classifiées’.
On notera toutefois, et le sujet est abordé en annexe, que les modules logiciels et processeurs de chiffrement DES
spécialisés ont encore de beaux jours s’ils implémentent l’une des variantes désignées par le terme commun ‘3DES’.
Le chaînage de trois opérations DES successives augmente en effet la longueur effective de la clef sans modifier
cependant la taille du bloc élémentaire de données qui reste de 64bits.
La table des matières de ce RFC est reproduite ci-après :
1. Introduction
2. Why Use Encryption?
3. Real-World Applications and Threats
4. Attacking DES
4.1. Brute-Force Attacks
4.2. Cryptanalytic Attacks
4.3. Practical Considerations
5. The EFF DES Cracker
6. Other DES-Cracking Projects
7. Building a DES Cracker Today
7.1. FPGAs
7.2. ASICs
7.3. Distributed PCs: Willing Participants, Spyware and Viruses and Botnets (oh my!)
8. Why is DES Still Used ?
9. Security Considerations
10. Acknowledgements
Appendix A. What About 3DES ?
A.1. Brute-Force Attacks on 3DES
A.2. Cryptanalytic Attacks Against 3DES
A.2.1. Meet-In-The-Middle (MITM) Attacks
A.2.2. Related Key Attacks
A.3. 3DES Block Size
Informative References
http://www.ietf.org/rfc/rfc4772.txt
http://www.commentcamarche.net/crypto/des.php3
- Le RFC 4772
- Le DES en détail
Page 27/61
Janvier 2007
A
ALLEER
ATTTTA
RT
AQ
TE
QU
ES
UE
SE
ES
S
ET
TA
ALERTES
GUIDE DE LECTURE
La lecture des avis publiés par les différents organismes de surveillance ou par les constructeurs n’est pas
toujours aisée. En effet, les informations publiées peuvent être non seulement redondantes mais aussi
transmises avec un retard conséquent par certains organismes. Dès lors, deux alternatives de mise en
forme de ces informations peuvent être envisagées :
o Publier une synthèse des avis transmis durant la période de veille, en classant ceux-ci en fonction de
l’origine de l’avis,
o Publier une synthèse des avis transmis en classant ceux-ci en fonction des cibles.
La seconde alternative, pour séduisante quelle soit, ne peut être raisonnablement mise en œuvre étant
donné l’actuelle diversité des systèmes impactés. En conséquence, nous nous proposons de maintenir une
synthèse des avis classée par organisme émetteur de l’avis.
Afin de faciliter la lecture de ceux-ci, nous proposons un guide de lecture sous la forme d’un synoptique
résumant les caractéristiques de chacune des sources d’information ainsi que les relations existant entre
ces sources. Seules les organismes, constructeurs ou éditeurs, disposant d’un service de notification officiel
et publiquement accessible sont représentés.
Avis Spécifiques
Constructeurs
Réseaux
Systèmes
Avis Généraux
Editeurs
Systèmes
Indépendants
Editeurs
Hackers
Editeurs
Organismes
Autres
US
Autres
Cisco
Apple
Linux
Microsoft
K-Otik
ISS
BugTraq
USCERT
Juniper
HP
FreeBSD
Netscape
3aPaPa
Symantec
@Stake
CIAC
Nortel
IBM
NetBSD
SGI
OpenBSD
SUN
SCO
Aus-CERT
Typologies des informations publiées
Publication de techniques et de programmes d’attaques
Détails des alertes, techniques et programmes
Synthèses générales, pointeurs sur les sites spécifiques
Notifications détaillées et correctifs techniques
L’analyse des avis peut être ainsi menée selon les trois stratégies suivantes :
o Recherche d’informations générales et de tendances :
Lecture des avis du CERT et du CIAC
o Maintenance des systèmes :
Lecture des avis constructeurs associés
o Compréhension et anticipation des menaces :
Lecture des avis des groupes indépendants
Aus-CERT
US-CERT
Cisco
Apple
Microsoft
BugTraq
K-Otik
ISS
NetBSD
Juniper
HP
Netscape
@Stake
3aРaPa
Symantec
OpenBSD
IBM
Xfree86
SGI
Linux
SUN
FreeBSD
CIAC
Page 28/61
Janvier 2007
FORMAT DE LA PRESENTATION
Les alertes et informations sont présentées classées par sources puis par niveau de gravité sous la forme
de tableaux récapitulatifs constitués comme suit :
Présentation des Alertes
EDITEUR
TITRE
Description sommaire
Informations concernant la plate-forme impactée
Gravité
Date
Produit visé par la vulnérabilité
Description rapide de la source du problème
Correction
URL pointant sur la source la plus pertinente
Référence
Référence(s) CVE si définie(s)
Présentation des Informations
SOURCE
TITRE
Description sommaire
URL pointant sur la source d’information
Référence(s) CVE si définie(s)
SYNTHESE MENSUELLE
Le tableau suivant propose un récapitulatif du nombre d’avis publiés pour la période courante, l’année en
cours et l’année précédente. Ces informations sont mises à jour à la fin de chaque période de veille.
L’attention du lecteur est attirée sur le fait que certains avis sont repris et rediffusés par les différents
organismes. Ces chiffres ne sont donc représentatifs qu’en terme de tendance et d’évolution.
Période du 28/12/2006 au 29/01/2007
Organisme
US-CERT TA
US-CERT ST
CIAC
Constructeurs
Cisco
HP
IBM
SGI
Sun
Editeurs
BEA
Oracle
Macromedia
Microsoft
Novell
Unix libres
Linux RedHat
Linux Fedora
Linux Debian
Linux Mandr.
Linux SuSE
FreeBSD
Autres
iDefense
eEye
NGS Soft.
Période
24
6
1
17
41
8
4
2
1
26
40
28
1
4
4
3
99
11
25
15
31
16
1
16
12
0
4
Cumul
2007 2006
24
251
6
39
1
9
17
203
41
324
8
34
4
49
2
38
1
22
26
181
40
162
28
32
1
4
4
24
4
78
3
24
99
994
11
151
25
207
15
311
31
225
16
74
1
26
16
111
12
80
0
21
4
10
Cumul 2007 - Constructeurs
Cisco
20%
Sun
63%
HP
10%
SGI
2%
Cumul 2006 - Constructeurs
IBM
5%
Novell
8%
HP
15%
SGI
7%
IBM
12%
Cumul 2006 - Editeurs
Cumul 2007 - Editeurs
Macromedia Microsoft
10%
10%
Cisco
10%
Sun
56%
Novell
15%
BEA
20%
Oracle
3%
BEA
69%
Microsoft
48%
Oracle
2%
Macromedia
15%
Page 29/61
Janvier 2007
ALERTES DETAILLEES
AVIS OFFICIELS
Les tables suivantes présentent une synthèse des principales alertes de sécurité émises par un organisme
fiable, par l’éditeur du produit ou par le constructeur de l’équipement. Ces informations peuvent être
considérées comme fiables et authentifiées. En conséquence, les correctifs proposés, s’il y en a, doivent
immédiatement être appliqués.
ADOBE
Exécution de code arbitraire dans Adobe 'Reader'
Une corruption de la mémoire dans Adobe 'Reader' peut entraîner l'exécution de code arbitraire.
Forte
10/01 Adobe 'Reader' version 7.0.8 et inférieures
Corruption de la mémoire
Correctif existant Gestion des fichiers 'PDF'
http://www.adobe.com/support/security/bulletins/apsb07-01.html
Adobe
CVE-2006-5857
Exposition d'informations via 'ColdFusion MX'
Une faille autorise un attaquant distant à obtenir des informations.
Forte
09/01 Adobe 'ColdFusion MX' versions 7 à 7.0.2
Non disponible
Correctif existant Traitement des 'URL'
http://www.adobe.com/support/security/bulletins/apsb07-02.html
Adobe
CVE-2006-5858
ARCSOFT
Déni de service via 'MMS Composer'
De multiples failles peuvent entraîner un déni de service d'une plate-forme Windows Mobile.
Forte
04/01 ArcSoft 'MMS Composer' V1.5.x, V2.0.0.21, V2.3.x, V3.0.12.10
Messages 'MMS', fichiers 'SMIL'
Débordement de buffer
Aucun correctif
http://www.trendmicro.com/vinfo/secadvisories/......Composer+Could+Allow+Remote+Code+Execution
Trend Micro
BEA
Failles de forte gravité dans les produits BEA
De multiples produits de BEA sont vulnérables à de nombreuses failles de forte gravité.
Forte
16/01 AquaLogic Enterprise Security, JRockit, WebLogic Express, Platform, Portal, Server
Multiples vulnérabilités
Correctif existant Se référer à l’avis original
http://dev2dev.bea.com/pub/advisory/204
206
208
211
213
BEA
221
222
223
BEA
217
218
Failles de gravité moyenne dans les produits BEA
De multiples produits BEA sont vulnérables à de nombreuses failles d'une gravité moyenne.
Moyenne 16/01 BEA 'AquaLogic Enterprise Security', 'AquaLogic Service Bus', 'WebLogic Express', 'WebLogic Server'
201
202
203
207
209
BEA
216
220
224
200
BEA
Failles de faible gravité dans les produits BEA
De multiples produits BEA sont vulnérables à de nombreuses failles de faible gravité.
Faible
16/01 BEA 'WebLogic Express', 'WebLogic Server'
Multiples problèmes
205
210
212
BEA
214
CA
Multiples failles dans BrightStor ARCserve Backup
De multiples débordements de buffer autorisent un attaquant distant à provoquer un DoS ou l'exécution de code
avec des droits privilégiés.
Forte
23/01 Se référer à l’avis original
Correctif existant Non disponible
http://supportconnectw.ca.com/public/sams/lifeguard/infodocs/babldimpsec-notice.asp
CA
Elévation de privilèges dans les pare-feux CA
Des failles dans certains pilotes des pare-feux CA autorisent un utilisateur local à élever ses privilèges.
Moyenne 22/01 CA 'Internet Security Suite 2007', 'Personal Firewall 2007'
Non disponible
Correctif existant 'KmxStart.sys' et 'KmxFw.sys'
http://www3.ca.com/securityadvisor/newsinfo/collateral.aspx?cid=97729
CA
CVE-2006-6952
Page 30/61
Janvier 2007
CISCO
Exécution de code arbitraire dans 'IOS' et 'IOS XR'
Une faille peut entraîner un déni de service ou l'exécution de code arbitraire.
Critique
24/01 IOS version 9.x, 10.x, 11.x, 12.x, OS XR version 2.0.x, 3.0.x, 3.2.x
Non disponible
Correctif existant Paquets 'IPv4'
http://www.cisco.com/warp/public/707/cisco-sa-20070124-crafted-ip-option.shtml
Cisco
Multiples failles dans 'Cisco Secure ACS'
De multiples failles autorisent un attaquant distant à provoquer un déni de service du produit ou à exécuter du
code.
Forte
05/01 Cisco 'Cisco Secure ACS' versions inférieures à 4.1
Débordement de pile
http://www.cisco.com/warp/public/707/cisco-sa-20070105-csacs.shtml
Cisco
Déni de service de Cisco 'IOS' avec 'IPv6'
Une faille dans les équipements Cisco fonctionnant avec 'IOS', et ayant 'IPv6' activé, peut entraîner un déni de
service.
Forte
24/01 Cisco 'IOS' version 12.x
Non disponible
Correctif existant En-têtes de routage 'Type 0'
http://www.cisco.com/warp/public/707/cisco-sa-20070124-IOS-IPv6.shtml
Cisco
Déni de service de 'IOS'
Une fuite mémoire dans 'IOS' peut entraîner un déni de service d'un équipement vulnérable.
Forte
24/01 IOS version 9.x, 10.x, 11.x, 12.x
Fuite mémoire
Correctif existant Gestion des paquets 'TCP'
http://www.cisco.com/warp/public/707/cisco-sa-20070124-crafted-tcp.shtml
Cisco
Déni de service de 'IOS' via la fonctionnalité 'DLSw'
Une faille dans les équipements Cisco 'IOS' avec la fonctionnalité 'DLSw' activée peut provoquer un DoS.
Forte
10/01 Cisco ''IOS'' versions 11.0 à 12.4
Non disponible
Correctif existant Fonctionnalité 'DLSw'
http://www.cisco.com/warp/public/707/cisco-sa-20070110-dlsw.shtml
Cisco
Déni de service de 'JTapi Gateway'
Une faille peut entraîner un déni de service du processus 'JTapi Gateway'.
Forte
10/01 Cisco IP Contact Center Enterprise et Hosted, Unified Contact Center Enterprise et Hosted
Non disponible
Correctif existant Processus 'JTapi Gateway'
http://www.cisco.com/warp/public/707/cisco-sa-20070110-jtapi.shtml
Cisco
Multiples vulnérabilités dans Cisco 'Clean Access'
Des vulnérabilités permettent de contourner des mécanismes de sécurité et entraîner une exposition d'informations.
Forte
04/01 Cisco 'Clean Access' versions 3.5.x à 3.5.9, 3.6.x à 3.6.4.2, 4.0.x à 4.0.3.2
Erreur de conception
http://www.cisco.com/warp/public/707/cisco-sa-20070103-CleanAccess.shtml
Cisco
Vulnérabilité dans les produits 'CS-MARS' et 'ASDM'
Une faille entraîne une réduction du niveau de sécurité.
Moyenne 18/01 Cisco 'ASDM' versions inférieures à 5.2(2.54) et 'CS-MARS' versions inférieures à 4.2.3
Correctif existant Certificats 'SSL/TLS', clefs 'SSH' Erreur de codage
http://www.cisco.com/warp/public/707/cisco-sa-20070118-certs.shtml
Cisco
CITRIX
Exécution de code arbitraire dans 'Presentation Server'
Un débordement de buffer peut permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
25/01 Citrix 'MetaFrame Presentation Server' V3.0, 'MetaFrame XP' V1.0, 'Presentation Server' V4.0
Correctif existant Bibliothèque 'cpprov.dll'
http://support.citrix.com/article/CTX111686
Citrix
CVE-2007-0444
DAZUKO
Multiples failles dans 'Dazuko'
De multiples fuites mémoire non documentées affectent 'Dazuko', un utilitaire de gestion des ACL.
Forte
22/01 Dazuko 'Dazuko' versions inférieures à 2.3.2
Fuite mémoire
http://lists.suse.com/archive/suse-security-announce/2007-Jan/0011.html
SuSE
Page 31/61
Janvier 2007
DRUPAL
Multiples failles dans 'Drupal'
Des failles dans l'application 'Drupal' peuvent entraîner des dénis de service de certaines fonctionnalités et autoriser
un attaquant distant à mener des attaques de type "Cross-Site Scripting" à l'encontre d'un administrateur.
Forte
05/01 Drupal 'Drupal' versions inférieures à 4.6.11, inférieures à 4.7.5
Validation insuffisante des données en entrée
Correctif existant Fonctionnalité 'page cache'
http://drupal.org/files/sa-2007-001/advisory.txt http://drupal.org/files/sa-2007-002/advisory.txt
Drupal
FETCHMAIL
Multiples failles dans 'fetchmail'
De multiples failles peuvent autoriser un attaquant distant à obtenir des informations sensibles et à provoquer un
déni de service de l'application.
Forte
08/01 Fetchmail 'Fetchmail' version 6.3.5 et inférieures, version 6.3.6-rc1, version 6.3.6-rc2,version 6.3.6-rc3
Déréférencement de pointeur NULL, Erreur de conception
Correctif existant Authentification 'TLS'
http://fetchmail.berlios.de/fetchmail-SA-2006-02.txt http://fetchmail.berlios.de/fetchmail-SA-2006-03.txt
Fetchmail
CVE-2006-5867, CVE-2006-5974
FREEBSD
Contournement de la sécurité de 'Jail'
Un manque de validation autorise un utilisateur local, situé dans un système cloisonné, à contourner le mécanisme.
Moyenne 11/01 FreeBSD 'FreeBSD' versions 5.3 à 6.2
Validation insuffisante de données
Correctif existant Script d'initialisation 'rc.d'
http://security.freebsd.org/advisories/FreeBSD-SA-07:01.jail.asc
FreeBSD
CVE-2007-0166
GNOME
Déni de service de 'LibSoup'
Une faille dans la bibliothèque HTTP 'LibSoup' peut entraîner un déni de service des applications l'utilisant.
Forte
12/01 Gnome 'LibSoup' version 2.2.98
Gestion des en-têtes 'HTTP'
Validation insuffisante des données
Aucun correctif
http://www.debian.org/security/2007/dsa-1248
Debian
CVE-2006-5876
Exécution de code arbitraire dans 'libgtop'
Un débordement de pile dans 'libgtop' autorise un utilisateur local à exécuter du code arbitraire.
Moyenne 16/01 Gnome 'libgtop' versions inférieures à 2.14.6
Correctif existant 'glibtop_get_proc_map_s()'
http://ftp.gnome.org/pub/gnome/sources/libgtop/2.14/libgtop-2.14.6.news
Libgtop
GNU
Corruption d'informations via 'ed'
Une faille dans l'éditeur de texte 'ed' autorise un utilisateur local à corrompre des fichiers arbitraires.
Moyenne 19/01 Gnu 'ed' versions inférieures à 0.3
Création non sécurisé de fichiers temporaires
Correctif existant Fonction 'open_sbuf()'
http://xforce.iss.net/xforce/xfdb/30374
XForce
CVE-2006-6939
GTK/GTK+
Déni de service via la bibliothèque 'GTK+'
Une faille non documentée dans 'GTK+' peut entraîner un déni de service des applications utilisant cette
bibliothèque.
Moyenne 24/01 GTK/GTK+ 'GTK+' version 2.x
Fonction 'GdbPixbufLoader()'
Non disponible
Aucun correctif
https://rhn.redhat.com/errata/RHSA-2007-0019.html
Red Hat
CVE-2007-0010
HITACHI
Dénis de service dans plusieurs produits 'Hitachi'
De multiples failles dans plusieurs produits 'Hitachi' peuvent entraîner des dénis de service de ces produits.
Forte
25/01 Hitachi 'HIBUN Advanced Edition Server', 'HiRDB DataReplicator', 'OpenTP1'
Non disponible
http://www.hitachi-support.com/security_e/vuls_e/HS06-019_e/01-e.html
Hitachi
Hitachi
Hitachi
hitachi
Page 32/61
Janvier 2007
HP
Déni de service dans HP 'Jetdirect'
Une faille non documentée peut permettre à un attaquant distant de provoquer un déni de service.
Forte
18/01 HP 'Jetdirect' versions x.20.nn à x.24.nn
Non disponible
HP (SSRT071290) http://www4.itrc.hp.com/service/cki/docDisplay.do?docId=c00838612
Déni de service dans 'HP-UX'
Une faille non documentée dans 'HP-UX' avec 'IPFilter' peut entraîner un déni de service du système.
Forte
17/01 HP 'HP-UX' version B.11.23
Non disponible
Non disponible
Palliatif proposé
Multiples failles dans HP OpenView NNM
Deux failles dans le produit HP 'OpenView Network Node Manager' peuvent entraîner une exposition d'information
et autoriser l'exécution de code arbitraire.
Forte
11/01 HP 'OpenView Network Node Manager' version 6.20, version 6.4x, version 7.01, version 7.50
Non disponible
IBM
Contournement de la sécurité dans IBM 'AIX'
Une faille dans les démons 'pop3d', 'pop3ds', 'imapd' et 'imapds' autorise un attaquant à contourner
l'authentification.
Forte
29/01 IBM 'AIX' version 5.3
Non disponible
Correctif existant pop3d, pop3ds, imapd, imapds
http://www.auscert.org.au/render.html?it=7232
AusCERT
INGATE
Contournement de la sécurité dans les produits Ingate
Une faille autorise le contournement de certains mécanismes de sécurité.
Forte
16/01 Ingate 'Firewall' versions inférieures à 4.5.1, 'SIParator' versions inférieures à 4.5.1
Non disponible
Correctif existant Module 'SIP'
http://www.ingate.com/relnote-451.php
Ingate
ISC
Déni de service dans 'BIND'
Deux failles dans 'BIND' version 9 peuvent entraîner un déni de service du produit.
Forte
24/01 ISC 'BIND' version 9.0.x, version 9.1.x, version 9.2.x, version 9.3.x , version 9.4.x, version 9.5.x
Erreur de codage
Correctif existant Validation 'DNSSEC'
http://www.auscert.org.au/render.html?it=7221
AusCERT
KASPERSKY LAB
Déni de service dans 'Kaspersky'
Une faille peut permettre à un attaquant distant de provoquer un déni de service de ce produit.
Forte
08/01 KASPERSKY LAB 'Kaspersky (Linux)' version 5.5-10, 'Kaspersky (Windows)' version 6.0
Non disponible
Correctif existant Gestion ders fichiers 'PE'
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=459
Kaspersky
KDE
Exécution de code arbitraire dans 'KSirc'
Un débordement de buffer peut permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
27/12 KDE 'KDE' version 3.5.5 et inférieures, 'KSirc' version 1.3.12
Correctif existant Message 'PRIVMSG'
http://www.kde.org/info/security/advisory-20070109-1.txt
KDE
CVE-2006-6811
LINUX
Vulnérabilité du noyau Linux 2.4
Une faille, aux conséquences inconnues, affecte le noyau Linux 2.4.
N/A
02/01 Linux 'Noyau 2.4'
Non disponible
Correctif existant Fichier 'isdn_ppp.c'
http://kernel.org/pub/linux/kernel/v2.4/ChangeLog-2.4.34
Kernel.org
CVE-2006-5749
Page 33/61
Janvier 2007
MICROSOFT
Débordement de buffer dans l'implémentation 'VML'
Un débordement de buffer dans 'VML' sur des plate-formes Windows peut entraîner l'exécution de code arbitraire.
Critique
09/01 Windows 2000 SP4, Server 2003 SP1 et inférieures, Server 2003 x64 Edition, XP SP2, XP Professional x64 Ed
Correctif existant Implémentation 'VML'
http://www.microsoft.com/technet/security/Bulletin/MS07-004.mspx
Microsoft
CVE-2007-0024
Exécution de code arbitraire dans 'Excel'
De multiples failles peuvent autoriser un attaquant distant à exécuter du code arbitraire.
Critique
10/01 Office 2000 SP3, 2003 SP2, 2004 for Mac, v.X for Mac, XP version SP3, Works Suite version 2004, 2005
Corruption de la mémoire, Validation insuffisante des données
http://www.microsoft.com/france/technet/security/bulletin/ms07-002.mspx
Microsoft
CVE-2007-0027, CVE-2007-0028, CVE-2007-0029, CVE-2007-0030, CVE-2007-0031
Exécution de code arbitraire dans 'Office 2003'
Le correcteur grammatical portugais et brésilienpeut permettre à un attaquant distant d'exécuter du code arbitraire.
Critique
10/01 Microsoft 'Office 2003' SP2, 'Project 2003' SP2, 'Visio 2003' SP2
Correctif existant Interface utilisateur multilingue Validation insuffisante des données
http://www.microsoft.com/france/technet/security/bulletin/ms07-001.mspx
Microsoft
CVE-2006-5574
Exécution de code arbitraire dans 'Outlook'
De multiples failles dans le client 'Outlook' peuvent entraîner l'exécution de code arbitraire avec les droits de
l'utilisateur courant et un déni de service de l'application.
Critique
09/01 Microsoft Outlook 2000, Outlook 200', Outlook 2003'
Validation insuffisante des données, Corruption de la mémoire
Correctif existant Enregistrement 'VEVENT'
http://www.microsoft.com/technet/security/Bulletin/MS07-003.mspx
Microsoft
CVE-2006-1305, CVE-2007-0033, CVE-2007-0034
MIT
Exécution de code dans 'Kerberos 5'
Deux failles dans 'Kerberos 5' autorisent un attaquant distant à provoquer un déni de service ou exécuter du code
arbitraire avec des droits privilégiés sur un serveur vulnérable.
Critique
09/01 MIT 'Kerberos 5' versions 1.4 à 1.4.4, 1.5 à 1.5.1
Erreur de conception, Erreur de codage
http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2006-002-rpc.txt
MIT
http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2006-003-mechglue.txt
MIT
CVE-2006-6143, CVE-2006-6144
NETFILTER
Débordement de buffer dans 'ulogd'
Un débordement de buffer aux conséquences inconnues affecte l'utilitaire 'ulogd' fourni par le projet 'Netfilter'.
Forte
22/01 Netfilter 'ulogd'
Non disponible
Manque de validation
Aucun correctif
http://lists.suse.com/archive/suse-security-announce/2007-Jan/0011.html
SuSE
NETRIK
Exécution de commandes arbitraires dans 'Netrik'
Un manque de validation peut permettre à un attaquant distant d'exécuter des commandes arbitraires.
Forte
22/01 Netrik 'Netrik' version 1.15.4 et inférieures
Correctif existant Fichier 'form-file.c'
http://www.fr.debian.org/security/2007/dsa-1251
Debian
CVE-2006-6678
NOVELL
"Cross-Site Scripting" dans 'Access Manager Identity'
Un manque de validation autorise un attaquant distant à mener des attaques de type "Cross-Site Scripting".
Forte
05/01 Novell 'Access Management' version 3
Correctif existant paramètre 'IssueInstant'
https://secure-support.novell.com/KanisaPlatform/Publishing/143/3615264_f.SAL_Public.html
Novell
Exécution de code arbitraire dans 'BorderManager'
Une faille peut permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
12/01 Novell 'BorderManager' version 3.7, 'BorderManager' version 3.8, 'Client Firewall' version 2.0
Non disponible
Aucun correctif
https://secure-support.novell.com/KanisaPlatform/Publishing/903/3762108_f.SAL_Public.html
Novell
Page 34/61
Janvier 2007
Contournement de la sécurité de 'Novell Client'
Une faille autorise un utilisateur local à contourner certains mécanismes de sécurité offerts par le produit.
Moyenne 04/01 Novell 'Novell Client' version 4.91 SP3
Non disponible
Correctif existant Bibliothèque 'NWGINA.DLL'
http://support.novell.com/cgi-bin/search/searchtid.cgi?/2974970.htm
Novell
OPENBSD
Déni de service dans 'OpenBSD' via 'ICMP6'
Une faille autorise un attaquant distant à provoquer un déni de service d'une plate-forme vulnérable.
Forte
16/01 OpenBSD 'OpenBSD' version 3.9, version 4.0
Non disponible
Correctif existant Paquet 'ICMP6' 'echo request'
http://www.openbsd.org/errata39.html#icmp6
OpenBSD 3.9
http://www.openbsd.org/errata.html#icmp6
OpenBSD 4.0
Elévation de privilèges via 'vga'
Un manque de validation dans 'vga' peut permettre à un attaquant d'obtenir les privilèges de l'utilisateur "root".
Forte
04/01 OpenBSD 'OpenBSD' version 3.9, version 4.0
Correctif existant Pilote 'vga'
http://www.openbsd.org/errata39.html#agp
OpenBSD (3.9)
http://www.openbsd.org/errata.html#agp
OpenBSD (4.0)
OPERA
Multiples failles dans 'Opera'
Deux failles peuvent autoriser un attaquant distant à provoquer un déni de service et à exécuter du code arbitraire.
Forte
08/01 Opera 'Opera' versions inférieures à 9.10
Débordement de tas
Correctif existant images 'JPEG', objets 'SVG'
http://www.opera.com/support/search/supsearch.dml?index=851
Opera
http://www.opera.com/support/search/supsearch.dml?index=852
Opera
ORACLE
Nombreuses vulnérabilités dans les produits Oracle
De nombreuses vulnérabilités dans les produits Oracle peuvent entraîner de multiples dommages.
Critique
http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpujan2007.html
Oracle
SMB4K
Multiples failles dans 'Smb4K'
De multiples failles permettent d'obtenir un accès à des données, d'effacer des fichiers et provoquer des DoS.
Forte
29/01 Smb4K 'Smb4K' version 0.7.5
Débordement de pile, erreur de conception
Correctif existant fonction 'smb4k_kill()'
https://developer.berlios.de/project/shownotes.php?release_id=11902
smb4k
SUN
Accès non autorisé dans Sun Java System
Une faille peut permettre à un attaquant d'obtenir un accès non autorisé.
Forte
08/01 Sun 'Sun Java System Content Delivery Server' version 5.0
Non disponible
Non disponible
Aucun correctif
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102764-1
Sun
Déni de service dans 'Solaris'
Une faille peut permettre à un attaquant de provoquer un déni de service.
Forte
10/01 Sun 'Solaris' version 8, 'Solaris' version 9
Non disponible
Correctif existant Bibliothèque 'libnsl'
Sun
Déni de service du serveur 'xfs'
Une faille non documentée peut entraîner un déni de service du serveur 'xfs'.
Moyenne 10/01 Sun 'Solaris' version 8, version 9
Serveur 'xfs' (X Font Server)
Non disponible
Palliatif proposé
Sun
Elévation de privilèges via 'kcms_calibrate'
Une faille autorise un utilisateur local à obtenir les droits privilégiés de l'utilisateur "root".
Forte
22/01 Sun 'Solaris' version 8, version 9
Non disponible
Correctif existant Composant 'KCMS'
Sun
Page 35/61
Janvier 2007
Elévation de privilèges via la commande 'tip'
Des failles dans la commande 'tip' de Sun 'Solaris' autorise un utilisateur local à élever ses privilèges.
Moyenne 23/01 Sun 'Solaris' version 8, version 9, version 10
Non disponible
Correctif existant Commande 'tip'
Sun
Exécution de code arbitraire via 'Java'
Un débordement de buffer autorise une applet non privilégiée à élever ses privilèges et à exécuter du code.
Forte
Correctif existant Traitement des images 'GIF'
Sun
CVE-2007-0243
Exposition d'informations dans Sun Ray Server
Des failles dans le produit 'Sun Ray Server Software' permettent d'obtenir des informations sensibles.
Moyenne 23/01 Sun 'Sun Ray Server Software' version 2.0, version 3.0
Non disponible
Correctif existant 'Sun Ray Administration Tool'
Sun
SYMANTEC
Multiples failles dans 'Symantec Web Security'
Deux failles peuvent permettre de provoquer un déni de service d'une machine vulnérable et autoriser un attaquant
distant à mener des attaques de type "Cross-Site Scripting".
Forte
24/01 Symantec 'Symantec Web Security' versions inférieures à 3.0.1.85
Correctif existant Console Web de gestion
http://www.symantec.com/avcenter/security/Content/2007.01.24c.html
Symantec
X WINDOW
Multiples failles dans plusieurs serveurs 'X Window'
De multiples failles permettent à un attaquant d'exécuter du code arbitraire avec les privilèges de l'utilisateur
"root".
Forte
Corruption de mémoire
http://www.xfree86.org/cvs/changes.html
XFree86
http://lists.freedesktop.org/archives/xorg-announce/2007-January/000235.html
X.Org
CVE-2006-6101, CVE-2006-6102, CVE-2006-6103
ALERTES NON CONFIRMEES
Les alertes présentées dans les tables de synthèse suivantes ont été publiées dans diverses listes
d’information mais n’ont pas encore fait l’objet d’une annonce ou d’un correctif de la part de l’éditeur. Ces
alertes nécessitent la mise en place d’un processus de suivi et d’observation.
ADOBE
Déni de service dans Adobe 'Reader'
Une faille dans un contrôle ActiveX du produit Adobe 'Reader' peut entraîner un déni de service.
Forte
02/01 Adobe 'Reader' version 7.0.8.0
Contrôle ActiveX 'AcroPDF.dll'
Non disponible
Aucun correctif
http://www.securityfocus.com/bid/21813
SecurityFocus
Déni de service dans 'Macromedia Flash'
Une faille dans un contrôle ActiveX de 'Macromedia Flash' peut entraîner un déni de service.
Forte
02/01 Adobe 'Macromedia Flash' version 8.0.24.0, 8.0.22.0, 8.0.33.0, 8.0
Contrôle ActiveX 'Flash8b.OCX'
Non disponible
Aucun correctif
SecurityFocus
Déni de service dans 'Shockwave'
Une faille dans un contrôle ActiveX fourni avec le produit 'Shockwave' peut entraîner un déni de service.
Forte
16/01 Adobe 'Shockwave' version 10
ActiveX 'SWDIR.DLL'
Non disponible
Aucun correctif
SecurityFocus
Erreur de conception dans l'implémentation 'PDF'
Une erreur de conception dans l'implémentation de la spécification des documents 'PDF' par les produits Adobe,
Apple et Glyph and Cog peut entraîner, entre autres choses, un déni de service.
Forte
07/01 Acrobat Reader V5.0 à 7.0, Mac OS X V10.4.8 et inférieures, Glyph and Cog 'xpdf' versions inférieures à 3.0.1
Correctif existant Gestion des documents 'PDF'
Page 36/61
Janvier 2007
MoAB
http://projects.info-pull.com/moab/MOAB-06-01-2007.html
Multiples vulnérabilités dans Adobe 'Reader'
De multiples failles peuvent de mener des attaques de types "XSS ", d'exécuter du code et de provoquer un DoS.
Forte
04/01 Adobe 'Reader' versions inférieures à 8.0.0
Erreur de conception, Corruption de la mémoire
http://www.wisec.it/vulns.php?page=9
Wisec
AGNITUM
Contournement de la sécurité de 'Outpost Firewall Pro'
Une erreur de conception peut permettre à un attaquant de contourner certains mécanismes de sécurité.
Forte
16/01 Agnitum 'Outpost Firewall Pro' version 4.0
API 'ZwSetInformationFile'
Aucun correctif
http://www.matousec.com/info/advisories/Outpost-Bypassing-Self-Protection-using-file-links.php
Matousec
APACHE
Débordement de buffer dans 'Apache'
Un débordement de buffer, aux conséquences inconnues, affecte l'utilitaire 'htpasswd' fourni avec 'Apache'.
Moyenne 03/01 Apache 'Apache' version 1.3.37
Fichier 'htpasswd.c'
Aucun correctif
http://lists.grok.org.uk/pipermail/full-disclosure/2007-January/051554.html
Full Disclosure
APPLE
Corruption de la mémoire via 'Finder'
Une faille permet de provoquer un déni de service de ce composant et d'exécuter du code arbitraire.
Forte
09/01 Apple 'Mac OS X' version 10.4.8 et inférieures
Gestion des fichiers 'DMG'
Aucun correctif
MoAB
"Cross-Site Scripting" dans 'Safari'
Une faille autorise un attaquant distant à mener des attaques de type "Cross-Site Scripting".
Forte
26/01 Apple 'Safari' version 2.0.4
Traitement des balises 'HTML'
Erreur de codage
Aucun correctif
http://secunia.com/advisories/23893/
Secunia
"Cross-Zone Scripting" dans 'QuickTime'
Une erreur permet à un attaquant distant de provoquer l'exécution de code arbitraire dans la zone de sécurité
locale.
Forte
04/01 Apple 'QuickTime' version 7.1.3
Paramètre 'HREFTrack'
Aucun correctif
MoAB
Débordement de pile dans 'Quicktime'
Un débordement de pile peut permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
02/01 Apple 'QuickTime' version 7.1.3 et inférieures
Traitement des URL 'rtsp'
Aucun correctif
MoAB
CVE-2007-0015
Déni de service dans 'Mac OS X'
Un débordement d'entier dans 'Mac OS X' peut entraîner un déni de service.
Forte
Fonction 'UFS'
Débordement d'entier
Aucun correctif
MoAB
Déni de service via le composant 'CFNetwork'
Un déréférencement de pointeur NULL dans le composant 'CFNetwork' de 'Mac OS X' peut entraîner un déni de
service.
Forte
Composant 'CFNetwork'
Déréférencement de pointeur NULL
Aucun correctif
MoAB
CVE-2007-0464
Déni de service via 'WebKit'
Une faille dans le composant 'WebKit' de 'Mac OS X' permet de provoquer un déni de service des applications
utilisant ce composant.
Forte
15/01 Apple 'Mac OS X' version 10.4.8 et inférieures, Apple 'WebKit' version build 18794
Page 37/61
Janvier 2007
Aucun correctif
SecurityFocus
Non disponible
Non disponible
Elévation de privilèges dans 'Mac OS X'
Une erreur de conception dans la gestion des fichiers 'BOM' autorise un utilisateur local à élever ses privilèges.
Moyenne 05/01 Apple 'Mac OS X' version 10.4.8 et inférieures
Outil 'diskutil'
Palliatif proposé
MoAB
Une erreur de conception autorise un utilisateur local à obtenir les droits de l'utilisateur "root".
Forte
Se référer à l’avis original
Aucun correctif
MoAB
Deux failles permettent de provoquer un déni de service du système ou à obtenir les droits de l'utilisateur "root".
Forte
Scripts
Validation insuffisante des données, Corruption de la mémoire
Palliatif proposé
MoAB
CVE-2007-0022
Exécution de code arbitraire dans 'iChat'
Une erreur de chaîne de formatage peut entraîner un déni de service du produit et/ou l'exécution de code arbitraire.
Forte
20/01 Apple 'iChat' version 3.1.6
Gestion des URI 'aim://'
Erreur de chaîne de formatage
Palliatif proposé
MoAB
CVE-2007-0021
Exécution de code arbitraire dans 'iPhoto'
Une erreur de chaîne de formatage peut autoriser un attaquant distant à exécuter du code arbitraire.
Forte
05/01 Apple 'iPhoto' version 6.0.5
Traitement des fichiers 'XML'
Aucun correctif
MoAB
Exécution de code arbitraire dans 'Mac OS X'
Un débordement de buffer permet à un utilisateur local d'exécuter du code avec les privilèges de l'utilisateur "root".
Forte
18/01 Apple 'Mac OS X' versions 10.4.8 and above
Démon 'slpd'
Aucun correctif
MoAB
Exécution de code arbitraire dans 'Mac OS X'
Deux failles peuvent entraîner des dénis de service et autoriser un utilisateur local à élever ses privilèges.
Moyenne 22/01 Apple 'Mac OS X' version 10.4.8 et inférieures
Composant 'QuickDraw'
Corruption de la mémoire, Erreur de conception
Aucun correctif
MoAB
MoAB
CVE-2007-0023, CVE-2007-0462
Exécution de code arbitraire dans 'Software Update'
Une erreur de chaîne de formatage peut permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
25/01 Apple 'Software Update' version 2.0.5
Extensions 'swutmp'
Aucun correctif
MoAB
CVE-2007-0463
Exécution de code via la fonction 'ffs_mountfs()'
Un débordement d'entier peut entraîner un déni de service et l'exécution de code arbitraire.
Forte
Système de fichiers 'UFS'
Aucun correctif
MoAB
Multiples failles dans 'Mac OS X'
Trois failles peuvent entraîner des dénis de service, la corruption de fichiers arbitraires et l'exécution de code.
Forte
Système de fichiers 'HFS+'
Erreur de conception, Débordement de tas
Aucun correctif
MoAB
MoAB
MoAB
Page 38/61
Janvier 2007
Multiples failles dans 'Mac OS X'
Deux failles peuvent entraîner l'exécution de code, un déni de service et autoriser un utilisateur local à obtenir des
droits privilégiés.
Forte
Application 'Apple Installer'
Aucun correctif
MoAB
MoAB
CVE-2007-0465, CVE-2007-0467
ATMEL
Exécution de code via les pilotes WiFi 'Atmel'
Une faille dans les pilotes WiFi 'Atmel' peut permettre à un attaquant d'exécuter du code arbitraire.
Forte
02/01 ATMEL 'WLAN Drivers' version 3.4.1.1
Fonction 'Get_Wep()'
Aucun correctif
http://marc.theaimsgroup.com/?l=bugtraq&m=116768030601773&w=2
Bugtraq
AVAHI
Déni de service dans 'Avahi'
Une erreur de codage dans 'Avahi' peut entraîner un déni de service du produit.
Forte
08/01 Avahi 'Avahi' versions inférieures à 0.6.16
Erreur de codage
Correctif existant Traitement des requêtes 'DNS'
http://www.avahi.org/#December2006
Avahi
CVE-2006-6870
BEA
Exécution de code via 'JRockit JVM'
Un débordement de pile dans 'JRockit JVM' de BEA peut entraîner l'exécution de code arbitraire.
Moyenne 16/01 BEA 'JRockit JVM' version 1.4.2_05
Non disponible
Aucun correctif
http://www.ngssoftware.com/advisories/high-risk-vulnerability-in-jrockit-java-virtual-machine/
NGSSoftware
BLUETOOTH
Déni de service via 'Bluetooth'
Une faille peut autoriser un attaquant distant à provoquer un déni de service de ces produits.
Moyenne 24/01 Nokia N70, Motorola MOTORAZR V3, Sony Ericsson K700i, Sony Ericsson W810i, LG Chocolate KG800
Non disponible
Non disponible
Aucun correctif
Bugtraq
BLUEZ
Prise à distance des équipements Bluetooth
Une faille autorise un attaquant distant à prendre le contrôle d'un clavier et/ou d'une souris Bluetooth.
Forte
16/01 BlueZ 'bluez-utils' versions inférieures à 2.25
Correctif existant Composant 'hidd'
Secunia
CVE-2006-6899
BMC SOFTWARE
Exposition d'informations dans Remedy ARS
Une vulnérabilité autorise un attaquant distant à obtenir la liste des utilisateurs déclarés dans le produit.
Moyenne 08/01 BMC Software 'Remedy Action Request System' version 5.01.02 Patch 1267
Message d'erreurs
Aucun correctif
http://www.alighieri.org/advisories/advisory-remedy50102.txt
Davide Vecchio
CA
Exécution de code dans les produits BrightStor
De multiples débordements de buffer peuvent entraîner l'exécution de code arbitraire avec des droits privilégiés.
Critique
Se référer à l’avis original
http://www.iss.net/threats/252.html
http://www.iss.net/threats/253.html
ISS
http://www.securityfocus.com/archive/1/453930/30/390/threaded
Bugtraq
Bugtraq
http://www.zerodayinitiative.com/advisories/ZDI-07-002.html
Zero Day Init.
Zero day Init.
Zero Day Init.
CVE-2006-5171, CVE-2006-5172, CVE-2006-6076, CVE-2006-6917, CVE-2007-0168, CVE-2007-0169
Page 39/61
Janvier 2007
CACTI
Exécution de commandes arbitraires dans 'Cacti'
De multiples failles dans 'Cacti' peuvent permettre à un attaquant distant d'exécuter des commandes arbitraires.
Forte
28/12 Cacti 'Cacti' version 0.8.6i et inférieures
Script 'cmd.php'
Erreur de conception, validation insuffisante des données
Aucun correctif
http://milw0rm.com/exploits/3029
Milw0rm
Injection de code SQL dans 'Cacti'
Une faille dans l'application Cacti peut autoriser un attaquant distant à injecter du code SQL arbitraire.
Forte
02/01 Cacti 'Cacti' versions inférieures à 0.8.6i
Script 'Copy_Cacti_User.php'
Aucun correctif
Milw0rm
CHECKPOINT
Contournement de la sécurité de 'Connectra'
Une faille autorise un utilisateur distant à contourner la sécurité offerte par cet équipement.
Moyenne 22/01 Check Point Software 'Connectra' version R62
Correctif existant Script '/sre/params.php'
Full Disclosure
CHMLIB
Exécution de code arbitraire dans 'CHMlib'
Une corruption de la mémoire dans la bibliothèque 'CHMlib' peut provoquer l'exécution de code arbitraire.
Forte
26/01 CHMlib 'CHMlib' version 0.38
Erreur de codage
Correctif existant Traitement des 'pages'
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=468
iDefense
EIQ NETWORKS
Déni de service de 'Enterprise Security Analyzer'
Un déréférencement de pointeur NULL peut entraîner un déni de service du produit 'Enterprise Security Analyzer'.
Forte
10/01 eiQ Networks 'Enterprise Security Analyzer' versions 2.0 à 2.5
Service 'DataCollector'
Aucun correctif
SecurityFocus
ELOG
Multiples failles dans 'elog'
Deux failles d peuvent être exploitées par un attaquant distant dans le but de provoquer un déni de service de
l'application et de mener des attaques de type "Cross-Site Scripting".
Forte
28/12 Elog 'Elog' version 2.6.2 et inférieures
Correctif existant Traitement des requêtes 'HTTP' Validation insuffisante des données
SecurityFocus
CVE-2006-5063, CVE-2006-6318
F5 NETWORKS
Multiples failles dans VPN SSL 'Firepass'
De multiples failles peuvent autoriser un attaquant distant à mener des attaques de type "CSS" et à contourner
certains mécanismes de sécurité.
Forte
05/01 F5 Networks 'Firepass'
Erreur de conception, Validation insuffisante des données
http://www.mnin.org/advisories/2007_firepass.pdf
mnin
FILEZILLA
Multiples failles dans 'FileZilla
De multiples failles dans 'FileZilla' peuvent permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
16/01 FileZilla 'FileZilla' version 3.0 beta 1, beta 2, beta 3, beta 4, version 2.2.30a et inférieures
Erreur de chaîne de formatage, Débordement de buffer
Correctif existant Config., module QueueCTRL
SecurityFocus
SecurityFocus
FREERADIUS
Exécution de code arbitraire dans 'FreeRADIUS'
Un manque de validation dans 'FreeRADIUS' peut autoriser un attaquant à exécuter du code arbitraire.
Forte
03/01 FreeRADIUS 'FreeRADIUS' version 1.1.3 et inférieures
'SMB_Connect_Server()'
Aucun correctif
Bugtraq
Page 40/61
Janvier 2007
GFORGE
"Cross-Site Scripting" dans 'GForge'
Forte
08/01 GForge 'GForge' version 4.5.11
Paramètre 'words'
Validation insuffisante des données en entrée
Aucun correctif
Bugtraq
GRSECURITY
Elévation de privilèges dans 'grsecurity'
Une faille non documentée dans l'utilitaire 'grsecurity' peut autoriser un attaquant local à élever ses privilèges.
Forte
12/01 grsecurity 'grsecurity'
Fonction 'expand_stack()'
Non disponible
Aucun correctif
http://www.digitalarmaments.com/pre2007-00018659.html
Digital Arma.
HORDE
Exposition d'informations dans Horde 'Groupware'
Une faille non documentée dans Horde 'Groupware' peut entraîner une exposition d'information.
Moyenne 29/01 Horde 'Groupware' versions inférieures à 1.0
Non disponible
Correctif existant Composant 'Calendar'
SecurityFocus
HOSTINGCONTROL
Traversée de répertoire dans 'Hosting Controller'
Une faille non documentée dans 'Hosting Controller' peut autoriser une traversée de répertoire.
Forte
28/12 HOSTINGCONTROL 'Hosting Controller' version 7C
Traversée de répertoire
SecurityFocus
HP
Contournement de la sécurité dans 'DECNet-Plus'
Une faille autorise un attaquant distant à contourner certains mécanismes de sécurité.
Forte
05/01 HP 'OpenVMS ALPHA' version 7.3-2, 'OpenVMS VAX' version 7.3
Non disponible
Correctif existant Composant 'DECNet-Plus'
SecurityFocus
Elévation de privilèges dans plusieurs produits HP
Une erreur de conception dans des pilotes HP peut autoriser un utilisateur malveillant à élever ses privilèges.
Forte
08/01 HP 'All-In-One', 'Color LaserJet', 'Officejet', 'PSC'
Correctif existant Pilote 'PML' 'HPZ12'
http://www.secway.org/advisory/AD20070108.txt
Secway
Exposition d'informations dans 'OpenVMS'
Une erreur de conception autorise un utilisateur local à obtenir des informations sensibles.
Moyenne 05/01 HP 'OpenVMS Alpha' version 8.2
Correctif existant Fichier de journalisation d'audit Erreur de conception
http://securitytracker.com/id?1017472
SecurityTracker
IBM
Multiples failles dans 'WebSphere Application Server'
Plusieurs failles peuvent entraîner, entre autres choses, l'exposition d'informations.
Forte
17/01 IBM 'WebSphere Application Server' versions 6.1.0.1 à 6.1.0.3
Non disponible
SecurityFocus
Vulnérabilités dans le serveur 'ftpd' de IBM 'AIX'
Deux failles peuvent entraîner un déni de service de l'application ou une exposition d'informations.
Forte
09/01 IBM 'AIX' version 5.2, version 5.3
Correctif existant Démon 'ftpd'
SecurityFocus
IPSWITCH
Corruption de mémoire dans 'WS_FTP 2007 Professional'
Une corruption de la mémoire autorise un utilisateur local à exécuter du code arbitraire sur un serveur vulnérable.
Forte
16/01 Ipswtich 'WS_FTP 2007 Professional'
Exécutable 'wsftpurl.exe'
Aucun correctif
SecurityFocus
Page 41/61
Janvier 2007
Exécution de code arbitraire dans WS_FTP 2007
Forte
29/01 IpSwitch 'WS FTP Server Professional 2007'
Module 'SCP'
Aucun correctif
SecurityFocus
KASPERSKY LAB
Elévation de privilèges dans 'Kaspersky Anti-Virus'
Une faille dans 'Kaspersly Anti-Virus' autorise un utilisateur local malveillant à obtenir des droits privilégiés.
Forte
15/01 Kaspersky Labs 'Kaspersky Anti-Virus' version 6.0
Non disponible
Non disponible
Aucun correctif
SecurityFocus
KDE
"Cross-Site Scripting" dans 'Konqueror'
Une faille autorise un attaquant distant à mener des attaques de type "Cross-Site Scripting".
Forte
26/01 KDE 'Konqueror' version 3.5.5
Traitement des balises 'HTML'
Erreur de codage
Aucun correctif
Secunia
LINUX
Contournement de la sécurité dans 'Linux-PAM'
Une faille peut permettre à un utilisateur local malveillant de contourner certains mécanismes de sécurité.
Moyenne 25/01 Linux 'Linux-PAM' version 0.99.7.0
Non disponible
Correctif existant 'modules/pam_unix/support.c'
Secunia
CVE-2007-0003
MICROSOFT
Exécution de code via 'Word 2000'
Une faille non documentée peut être exploitée afin d'exécuter du code arbitraire ou de provoquer un déni de
service.
Forte
25/01 Microsoft Office 2000, Office 2003, Office XP, Word 2000, Word Viewer 2003'
Non disponible
Non disponible
Aucun correctif
Secunia
CVE-2007-0515
Corruption de la mémoire dans 'Internet Explorer'
Une corruption de la mémoire peut provoquer un déni de service et entraîner l'exécution de code arbitraire.
Forte
05/01 Microsoft 'Internet Explorer' version 6.0 (SP2) et inférieures
Module 'msxml3'
Corruption de mémoire
Aucun correctif
SecurityFocus
Déni de service du navigateur 'Internet Explorer'
Un déréférencement de pointeur NULL autorise un attaquant distant à provoquer un déni de service du navigateur.
Forte
29/01 Microsoft 'Internet Explorer' versions 5 à 7
Contrôles ActiveX
Aucun correctif
http://www.determina.com/security.research/vulnerabilities/activex-bgcolor.html
Determina
Déni de service via des fichiers 'WMF'
Une faille non documentée dans la plate-forme 'Windows XP' peut entraîner un déni de service.
Forte
10/01 Microsoft 'Windows XP' version SP2 et inférieures
Fichiers 'WMF'
Non disponible
Aucun correctif
SecurityFocus
Exécution de code arbitraire dans 'Help Workshop'
Un débordement de pile dans 'Help Workshop' autorise l'exécution de code arbitraire.
Forte
19/01 Microsoft 'Help Workshop' version 4.03.0002, Visual Studio version 6, Visual Studio 2003
Fichiers '.HPJ', champ 'HLP'
Aucun correctif
http://www.securityfocus.com/archive/1/457436
Bugtraq
Exécution de code arbitraire dans 'Message Compiler'
Une corruption de mémoire dans 'Message Compiler' autorise un attaquant à exécuter du code arbitraire.
Forte
03/01 Microsoft 'Message Compiler' version 1.00.5239
Traitement des 'MC-filename'
Aucun correctif
Bugtraq
Page 42/61
Janvier 2007
Exécution de code dans 'Help Workshop'
Un débordement de pile permet à un utilisateur local d'exécuter du code arbitraire.
Moyenne 17/01 Microsoft 'Help Workshop version .03.0002, Visual Studio version 6.0 SP6, Visual Studio 2003
Correctif existant Gestion des fichiers '.cnt'
Bugtraq
Exécution de code via les fichiers '.RC'
Un débordement de pile autorise un utilisateur à exécuter du code arbitraire.
Moyenne 22/01 Microsoft 'Visual Studio' version 6.0 SP6
'Visual C++'
Aucun correctif
Bugtraq
NEON
Déni de service dans la bibliothèque 'neon'
Une erreur de conception peut entraîner un déni de service des applications utilisant cette bibliothèque.
Forte
15/01 Neon 'Neon' version 0.26.2 et inférieures
Gestionnaire d'URI
Aucun correctif
SecurityFocus
CVE-2007-0157
OMNIGROUP
Exécution de code dans le navigateur 'OmniWeb'
Une erreur de chaîne de formatage peut entraîner l'exécution de code arbitraire.
Forte
07/01 OmniGroup 'OmniWeb' version 5.5.1
Correctif existant Fonction JavaScript 'alert()'
MoAB
OPEN1X
Exécution de code arbitraire dans 'Xsupplicant'
Un débordement de buffer peut autoriser un attaquant à exécuter du code arbitraire.
Forte
22/01 Open1x 'Xsupplicant' versions inférieures à 1.2.8
Correctif existant Fichier 'eap.c'
http://www.securityfocus.com/bid/20775/
SecurityFocus
CVE-2006-5601
OPENOFFICE
Exécution de code arbitraire dans 'OpenOffice'
Des débordements de buffer peuvent permettre à un attaquant de provoquer l'exécution de code arbitraire.
Forte
04/01 OpenOffice 'OpenOffice' version 1.1.x, version 2.x
Correctif existant Traitement des fichiers '.wmf'
http://blogs.securiteam.com/?p=785
Securiteam
CVE-2006-5870
ORACLE
"Cross-Site Scripting" dans Oracle Portal
Un manque de validation autorise un attaquant distant à mener des attaques de type "Cross-Site Scripting"
Forte
02/01 Oracle 'Oracle Portal' version 10g
Paramètre 'page'
Aucun correctif
Bugtraq
Exécution de code arbitraire dans Oracle Objects
Une faille dans 'Oracle Objects for OLE' peut autoriser un attaquant distant à exécuter du code arbitraire.
Forte
15/01 Oracle 'Oracle Objects for OLE'
Contrôle ActiveX 'ORADC'
Non disponible
Aucun correctif
SecurityFocus
PACKETEER
Déni de service dans 'PacketShaper'
Un débordement de buffer peut permettre à un attaquant distant de provoquer un déni de service de ce produit.
Forte
09/01 Packeteer 'PacketShaper' version 8.0
Interface Web
Aucun correctif
SecurityFocus
Page 43/61
Janvier 2007
PGP
Exécution de code arbitraire dans 'PGP'
Un manque de validation peut permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
26/01 'PGP Desktop Home' V 8.0, 'PGP Desktop Professional' V 9.0, 'PGP Desktop Professional' V 9.0.3
PGPServ.exe, PGPsdkServ.exe
Aucun correctif
http://www.securityfocus.com/bid/22247/
SecurityFocus
PHP
Contournement de la sécurité dans 'PHP'
Une faille dans la restriction de sécurité 'safe_mode' peut autoriser un utilisateur à la contourner.
Moyenne 25/01 PHP 'PHP' version 5.2.0
'safe_mode'
Aucun correctif
Full Disclosure
CVE-2007-0448
PHPMYADMIN
Multiples failles dans 'phpMyAdmin'
De multiples failles peuvent autorise un attaquant distant à mener des attaques de type "Cross-Site Scripting".
Forte
10/01 phpMyAdmin 'phpMyAdmin' versions inférieures à 2.9.2-rc1
Validation insuffisante des données, Multiples failles
Secunia
Exposition d'information dans 'phpMyAdmin'
Une erreur de conception dans 'phpMyAdmin' peut entraîner une exposition d'informations.
Moyenne 03/01 phpMyAdmin 'phpMyAdmin' version 2.9.1.1
Fichier layout.inc.php
Aucun correctif
Full Disclosure
POWERARCHIVER
Exécution de code arbitraire dans 'PowerArchiver'
Un débordement de buffer dans 'PowerArchiver' peut entraîner une exécution de code arbitraire.
Forte
05/01 PowerArchiver 'PowerArchiver' version 9.64.02
Correctif existant Bibliothèque 'PAISO.DLL'
http://vuln.sg/powarc964-en.html
vuln.sg
QUALCOMM
Exécution de code arbitraire dans 'Eudora WorldMail'
Un débordement de tas peut permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
08/01 Qualcomm 'Eudora WorldMail' version 3.1.x
'Mail Management Server'
Débordement de tas
Palliatif proposé
Zero
Day http://www.zerodayinitiative.com/advisories/ZDI-07-001.html
Initiative
CVE-2006-6336
REALNETWORK
Déni de service dans 'RealPlayer'
Une faille non documentée peut entraîner un déni de service et autoriser un attaquant à exécuter du code
arbitraire.
Forte
16/01 REALNETWORK 'RealPlayer' version 10.5
Gestion des fichiers 'MID'
Non disponible
Aucun correctif
SecurityFocus
Déni de service via un contrôle ActiveX 'RealPlayer'
Une faille dans un contrôle ActiveX de 'RealPlayer' provoque un déni de service du navigateur d'un client vulnérable.
Forte
29/12 RealNetworks 'RealPlayer' version 10.5
Contrôle ActiveX 'ierpplug.dll'
Non disponible
Aucun correctif
SecurityFocus
SLOCATE
Exposition d'informations dans 'slocate'
Une erreur de conception autorise un utilisateur local à obtenir des informations qui lui sont normalement
interdites.
Moyenne 10/01 SLOCATE 'slocate' version 3.1
Gestion des permissions
Aucun correctif
Bugtraq
Page 44/61
Janvier 2007
SNORT
Débordement d'entier dans 'Snort'
Un débordement d'entier dans 'Snort' peut entraîner la corruption de fichiers arbitraires.
Forte
11/01 Snort 'Snort' version 2.6.1.2
Correctif existant Protocole 'GRE'
Full Disclosure
Déni de service dans 'Snort'
Une faille non documentée dans 'Snort' peut provoquer un déni de service de l'application.
Forte
11/01 Snort 'Snort' version 2.6.1 et inférieures
Non disponible
Non disponible
Aucun correctif
SecurityFocus
SOFTWIN
Déni de service de BitDefender Client
Une erreur de chaîne de formatage autorise un utilisateur à provoquer un déni de service et à obtenir des
informations.
Moyenne 19/01 Softwin 'BitDefender Client Professional Plus' version 8.02
Correctif existant Fichier de journalisation
http://www.bitdefender.com/KB325-en--Format-string-vulnerability.html
BitDefender
SQUID
Dénis de service dans 'Squid'
Deux failles dans 'Squid' peuvent provoquer des dénis de service du produit.
Forte
16/01 Squid 'Squid' versions inférieures à 2.6.STABLE7
Non disponible
Correctif existant URL de type 'ftp'
Secunia
SUN
"Cross-Site Scripting" dans Sun ONE/iPlanet Web Server
Forte
09/01 Sun 'Sun ONE/iPanet Web Server' version 4.x
Paramètre 'NS-max-records'
Aucun correctif
Secunia
SUNBELT
Exécution de code dans 'Kerio Personal Firewall'
Une erreur de conception peut permettre à un attaquant d'exécuter du code arbitraire.
Forte
02/01 Sunbelt 'Kerio Personal Firewall' version 4.3.468, version 4.3.426
Fichier 'iphlpapi.dll'
Aucun correctif
http://www.matousec.com/info/advisories/Kerio-Fake-iphlpapi-DLL-injection.php
Matousec
TREND MICRO
Exécution de code dans VirusWall pour Linux
Un débordement de buffer autorise un utilisateur local à élever ses privilèges.
Moyenne 25/01 Trend Micro 'InterScan VirusWall for Linux' version 3.81
Correctif existant 'libvsapi.so', application 'vscan' Corruption de la mémoire, débordement de buffer
Full Disclosure
VIDEOLAN
Déni de service de 'VLC'
Une erreur de codage dans le lecteur multimédia 'VLC' peut entraîner un déni de service.
Forte
11/01 VideoLAN 'VLC' version 0.8.6a
Non disponible
Erreur de codage
Aucun correctif
SecurityFocus
Exécution de code arbitraire dans 'VLC'
Une faille dans le lecteur multimédia 'VLC' peut permettre à un attaquant distant d'exécuter du code arbitraire.
Forte
03/01 VideoLAN 'VLC for MAC OS X' version 0.8.6
Traitement des URL 'udp'
Aucun correctif
MoAB
Page 45/61
Janvier 2007
WINZIP
Déni de service de 'WinZip'
Un débordement de buffer dans 'WinZip' autorise un utilisateur local à provoquer un déni de service de l'application.
Moyenne 12/01 Winzip 'WinZip' version 9.0 SR-1
Ligne de commande
Aucun correctif
SecurityFocus
WORDPRESS
"Cross-Site Scripting" dans 'WordPress'
Deux failles autorisent un attaquant distant à mener des attaques de type "CSS" et à obtenir des informations.
Forte
18/01 WordPress 'WordPress' version 2.0.5 et inférieures
Erreur de codage, Erreur de conception
http://www.securityfocus.com/archive/1/archive/1/455927/100/0/threaded
Bugtraq
CVE-2006-6808, CVE-2007-0109
Multiples failles dans 'WordPress'
Deux failles peuvent entraîner l'injection de code SQL arbitraire et autoriser un attaquant distant à mener des
attaques de type "Cross-Site Scripting" à l'encontre d'un administrateur du produit.
Forte
09/01 WordPress 'WordPress' version 2.0.5 et inférieures
SecurityFocus
SecurityFocus
Multiples vulnérabilités dans 'WordPress'
Deux failles peuvent autoriser un attaquant à obtenir des informations et à provoquer un déni de service.
Forte
24/01 WordPress 'WordPress' versions inférieures à 2.1
Erreur de conception, Erreur de codage
Correctif existant Fonctionnalité de rétroliens
Bugtraq
WZDFTPD
Déni de service dans 'WzdFTPD'
Une faille peut autoriser un attaquant distant à provoquer un déni de service du serveur.
Forte
22/01 Wzdftpd 'WzdFTPD' version 8.0 et inférieures
Non disponible
http://www.s21sec.com/avisos/s21sec-033-en.txt
s21sec
XINE
Exécution de code arbitraire dans 'Xine'
Forte
12/01 Xine 'Xine'
Fichier 'errors.c'
Aucun correctif
SecurityFocus
YAHOO!
"Cross-Site Scripting" dans 'Yahoo! Messenger'
Une faille dans 'Yahoo! Messenger' autorise un attaquant distant à mener des attaques de type "Cross-Site
Scripting".
Moyenne 26/01 Yahoo! 'Yahoo! Messenger' version 8.0 et inférieures
Messages de notification
Non disponible
Aucun correctif
SecurityFocus
AUTRES INFORMATIONS
REPRISES D’AVIS
ET
CORRECTIFS
Les vulnérabilités suivantes, déjà publiées, ont été mises à jour, reprises par un autre organisme ou ont
donné lieu à la fourniture d’un correctif :
ACER
Correctif pour le contrôle ActiveX 'LunchApp.APlunch'
Acer a publié un correctif pour une faille dans le contrôle ActiveX 'LunchApp.APlunch' fourni avec certains
ordinateurs portables. Cette vulnérabilité permettait à un attaquant distant d'exécuter du code arbitraire. On peut
noter que le correctif n'est pas accessible lors de l'écriture de cette article.
http://support.acer-euro.com/drivers/utilities.html#APP
http://www.kb.cert.org/vuls/id/221700
CVE-2006-6121
Page 46/61
Janvier 2007
ADOBE
Publication du document APSA07-02
Adobe a publié le document APSA07-02 proposant des parades pour la faille référencée CVE-2007-0045,
précédemment discutée. Cette faille permet à un attaquant distant de mener des attaques de type "XSS".
http://www.adobe.com/support/security/advisories/apsa07-02.html
CVE-2007-0045
APPLE
Correctifs pour 'AirPort Extreme'
Apple a annoncé, dans l'alerte APPLE-SA-2007-01-25, la disponibilité de correctifs pour 'AirPort Extreme' sur 'Mac
OS X' et 'Mac OS X Server' version 10.4.8. Ils corrigent une faille durant le traitement de trames qui peut entraîner
un déni de service d'une plate-forme vulnérable.
http://lists.apple.com/archives/security-announce/2007/Jan/msg00001.html
CVE-2006-6292
Correctifs pour 'Quicktime'
Apple a annoncé, dans le bulletin APPLE-SA-2007-01-23, la disponibilité de correctifs pour 'Quicktime' sur plateformes 'Mac OS X' et 'Windows'. Ils corrigent un débordement de pile, déclenché par le traitement d'une URL 'rtsp'
spécialement construite, qui peut entraîner l'exécution de code arbitraire.
http://lists.apple.com/archives/security-announce//2007/Jan/msg00000.html
CVE-2007-0015
CA
Correctif pour 'BrightStor ARCserve'
CA a publié un message sur la liste de diffusion Bugtraq nous informant de la disponibilité 'BrightStor ARCserve
Backup' version r11.5 Service Pack 2. Cette version corrige une faille dans 'tapeeng.exe' qui pouvait entraîner
l'exécution de code arbitraire.
CACTI
Disponibilité de correctifs pour 'Cacti'
Le projet Cacti a mis à disposition sur son site officiel des correctifs pour 'Cacti' version 0.8.6i. Ils corrigent de
multiples failles qui pouvaient permettre à un attaquant distant d'exécuter des commandes arbitraires et d'injecter
du code SQL arbitraire.
http://cacti.net/download_patches.php
CVE-2006-6799
CIAC
Reprise de l'alerte US-CERT VU#513068
Le CIAC a repris, sous la référence R-110, l'alert US-CERT VU#513068 concernant une faille dans 'Enterprise
Security Analyzer' qui permet à un attaquant distant de provoquer l'exécution de code arbitraire.
http://www.ciac.org/ciac/bulletins/r-110.shtml
CVE-2006-3838
Reprise de l'avis Cisco 72318
Le CIAC a repris, sous la référence R-112, l'avis Cisco 72318 concernant une fuite mémoire dans 'IOS' qui peut
entraîner un déni de service d'un équipement vulnérable.
Le CIAC a repris, sous la référence R-114, l'avis Cisco 72372, concernant une faille non documentée dans les
équipements Cisco fonctionnant avec 'IOS', et ayant 'IPv6' activé, peut entraîner un déni de service.
Le CIAC a repris, sous la référence R-097, l'avis Cisco 72379 concernant de multiples vulnérabilités dans le produit
Cisco 'Clean Access' qui permettent de contourner certains mécanismes de sécurité et d'entraîner une exposition
d'informations.
Le CIAC a repris, sous la référence R-101, l'avis Cisco 77820 concernant de multiples failles dans le produit 'Cisco
Secure ACS' qui autorisent un attaquant distant à provoquer un déni de service du produit ou à exécuter du code
arbitraire.
Le CIAC a repris, sous la référence R-113, l'avis Cisco 81734 concernant une faille non documentée dans les
équipements fonctionnant avec 'IOS' ou 'IOS XR' qui peut entraîner un déni de service ou l'exécution de code
arbitraire.
Page 47/61
Janvier 2007
Reprise de l'avis du SANS "PDF XSS"
Le CIAC a repris, sous la référence R-096, l'avis du SANS "PDF XSS vulnerability announced at CCC" concernant de
multiples failles dans les plugins Adobe 'Reader' pour différents navigateurs Web qui peuvent permettre à un
attaquant distant de mener des attaques de types "Cross-Site Scripting", d'exécuter du code arbitraire et de
provoquer un déni de service.
Reprise de l'avis HP HPSBMA02176 (SSRT051035)
Le CIAC a repris, sous la référence R-107, l'avis HP HPSBMA02176 (SSRT051035) concernant deux failles dans le
produit HP 'OpenView Network Node Manager' qui peuvent entraîner une exposition d'information et autoriser
Reprise de l'avis iDefense 457
Le CIAC a repris, sous la référence R-099, l'avis iDefense 457 concernant un débordement de buffer dans 'Opera'
qui peut être déclenché lors du traitement d'images 'JPEG' spécialement construites. Cette faille peut être exploitée
par un attaquant distant afin de provoquer un déni de service de l'application.
Reprise de l'avis iDefense 458
Le CIAC a repris, sous la référence R-100, l'avis iDefense 458 concernant une faille dans 'Opera' qui affecte le
traitement des objet 'SVG'. Cette faille peut entraîner un déni de service de l'application et autoriser un attaquant
distant à exécuter du code arbitraire.
Reprise de l'avis Microsoft MS07-002 (927198)
Le CIAC a repris, sous la référence R-104, l'avis Microsoft MS07-002 (927198) concernant de multiples failles dans
le produit Microsoft 'Excel' qui peuvent autoriser un attaquant distant à exécuter du code arbitraire.
Le CIAC a repris, sous la référence R-102, l'avis Microsoft MS07-003 (925938) concernant de multiples failles dans
le client 'Outlook' qui peuvent entraîner l'exécution de code arbitraire avec les droits de l'utilisateur courant et un
déni de service de l'application.
CVE-2007-0033, CVE-2007-0034, CVE-2007-1305
Le CIAC a repris, sous la référence R-103, l'avis Microsoft MS07-004 (929969) concernant un débordement de
buffer dans l'implémentation 'VML' des plate-formes Windows qui peut entraîner l'exécution de code arbitraire.
CVE-2007-0024
Le CIAC a repris, sous la référence R-103, l'avis Microsoft MS07-004 (929969) concernant un débordement de
buffer dans l'implémentation 'VML' des plate-formes Windows qui peut entraîner l'exécution de code arbitraire.
CVE-2007-0024
Reprise de l'avis Novell 3096026
Le CIAC a repris, sous la référence R-109, l'avis Novell 3096026 concernant de multiples débordements de buffer
dans 'NetMail' qui peuvent entraîner l'exécution de code arbitraire.
CVE-2006-5478, CVE-2006-6424, CVE-2006-6425
Reprise de l'avis Oracle de janvier 2007
Le CIAC a repris, sous la référence R-115, l'avis Oracle de janvier 2007 concernant de nombreuses vulnérabilités
dans plusieurs produits Oracle, qui peuvent entraîner de multiples conséquences.
Reprise de l'avis Red Hat RHSA-2007:0001
Le CIAC a repris, sous la référence R-098, l'avis Red Hat RHSA-2007:0001 concernant des débordements de buffer
dans 'OpenOffice' qui peuvent permettre à un attaquant de provoquer l'exécution de code arbitraire.
CVE-2006-5870
Reprise de l'avis Red Hat RHSA-2007:0011
Le CIAC a repris, sous la référence R-106, l'avis Red Hat RHSA-2007:0011 concernant un débordement de buffer
dans la bibliothèque 'libgsf' qui peut autoriser l'exécution de code arbitraire.
CVE-2006-4514
Page 48/61
Janvier 2007
Reprise de l'avis Sun 102760
Le CIAC a repris, sous la référence R-108, l'avis Sun 102760 concernant un débordement de buffer dans le
traitement d'une image 'GIF' par 'Java'. Cette faille autorise une applet non privilégiée à élever ses privilèges et à
exécuter du code arbitraire.
Le CIAC a repris, sous la référence R-108, l'avis Sun 102760 concernant un débordement de buffer dans le
traitement d'une image 'GIF' par 'Java'. Cette faille autorise une applet non privilégiée à élever ses privilèges et à
exécuter du code arbitraire.
Le CIAC a repris, sous la référence R-111, l'avis Sun 102779 concernant des failles non documentées dans le
produit 'Sun Ray Server Software' qui permettent d'obtenir des informations sensibles.
Reprise de l'avis US-CERT VU#442497
Le CIAC a repris, sous la référence R-095, l'avis US-CERT VU#442497 concernant un débordement de pile dans
l'application Apple 'Quicktime' qui peut permettre à un attaquant distant d'exécuter du code arbitraire.
CVE-2007-0015
Reprise des avis Red Hat sur 'XFree86' et 'X.Org'
Le CIAC a repris, sous la référence R-105, les avis Red Hat RHSA-2007:0002 et RHSA-2007:0003 concernant
plusieurs failles dans les serveurs 'X Window' 'XFree86' et 'X.Org' qui peuvent entraîner des dénis de service et
l'exécution de code arbitraire avec des droits privilégiés.
CVE-2006-6101, CVE-2006-6102, CVE-2006-6103
CISCO
Révision de l'alerte 81734
Cisco a révisé l'alerte 81734 concernant une faille non documentée dans les équipements fonctionnant avec 'IOS'
ou 'IOS XR', qui peut entraîner un déni de service ou l'exécution de code arbitraire. Cette révision met à jour des
informations concernant 'IOS XR' dans la section "Software Version and Fixes".
Révision de l'alerte 81734
Cisco a révisé l'alerte 81734 concernant une faille non documentée dans les équipements fonctionnant avec 'IOS'
ou 'IOS XR', qui peut entraîner un déni de service ou l'exécution de code arbitraire. Cette révision met à jour les
informations concernant la liste des versions de Cisco 'IOS'.
Révision du bulletin 72372
Cisco a révisé le bulletin 72372 concernant une faille dans les équipements Cisco fonctionnant avec 'IOS', et ayant
'IPv6' activé, qui peut entraîner un déni de service. Cette révision met à jour la liste des versions de Cisco 'IOS'.
http://www.cisco.com/warp/public/707/cisco-sa-20070124-IOS-IPv6.shtml
Révision du bulletin Cisco 71992 ('OpenSSL')
Cisco a révisé le bulletin 71992 concernant la vulnérabilité de plusieurs produits aux failles 'OpenSSL' référencées
CVE-2006-4339, CVE-2006-2937, CVE-2006-2940, CVE-2006-3738 et CVE-2006-4343. Cette révision met à jour
plusieurs informations.
http://www.cisco.com/warp/public/707/cisco-sr-20061108-openssl.shtml
Révision du bulletin Cisco 77820
Cisco a révisé le bulletin 77820 concernant de multiples failles dans 'Cisco Secure ACS' qui autorisent un attaquant
distant à provoquer un déni de service du produit ou à exécuter du code arbitraire. Cette révision met à jour la
table des produits.
http://www.cisco.com/warp/public/707/cisco-sa-20070105-csacs.shtml
FREEBSD
Disponibilité de plusieurs correctifs
FreeBSD annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages :
jail
FreeBSD-SA-07:01
http://www.freebsd.org/security/index.html#adv
HITACHI
Multiples vulnérabilités dans 'Hitachi Web Server'
Hitachi a annoncé, dans le bulletin HS06-022-01, la vulnérabilité de 'Hitachi Web Server' aux failles référencées
CVE-2005-2969 et CVE-2005-3352 qui affectent 'OpenSSL' et 'Apache'.
CVE-2005-2969, CVE-2005-3352
Page 49/61
Janvier 2007
HP
Correctifs 'Apache' pour 'HP-UX'
HP a annoncé, dans le bulletin HPSBUX02186 (SSRT071299), la disponibilité de correctifs pour 'Apache' sur 'HP-UX'
versions B.11.11, B.11.23 et B.11.31. Ils corrigent de multiples failles dans le serveur qui peuvent entraîner des
dénis de service, l'exécution de code arbitraire et autoriser le contournement de certains mécanismes de sécurité.
http://www5.itrc.hp.com/service/cki/docDisplay.do?docId=c00849540
Faille Microsoft de 'Storage Management Appliance'
HP a annoncé, dans le bulletin HPSBST02184 (SSRT071296), la vulnérabilité de 'Storage Management Appliance'
version I, II et III à la faille Microsoft MS07-004. Cette faille, un débordement de buffer dans l'implémentation
'VML', peut entraîner l'exécution de code arbitraire. HP préconise d'installer le correctif Microsoft disponible.
CVE-2007-0024
Révision du bulletin HPSBMA02133 (SSRT061201)
HP a révisé le bulletin HPSBMA02133 (SSRT061201) concernant la vulnérabilité de HP 'Oracle for OpenView' aux
failles Oracle discutées dans le bulletin Oracle de juillet 2006. Cette révision intègre à présent les failles discutées
dans le bulletin Oracle de janvier 2007. HP recommande l'application des correctifs Oracle.
IBM
Correctifs pour la faille CVE-2004-0230
Une alerte publiée sur le site Web de Secunia nous informe que IBM a publié des correctifs pour la plate-forme
OS/400, corrigeant la faille référencée CVE-2004-0230. Cette faille, dans l'implémentation du protocole TCP,
provoque un déni de service des connexions.
http://www-1.ibm.com/support/docview.wss?uid=nas2c8623b2ed01d45d08625718e0043edc2
http://www-1.ibm.com/support/docview.wss?uid=nas204b3e62c8a63af708625718e0043eddc
CVE-2004-0230
IPCOP
Multiples vulnérabilités de 'IPCop'
Le projet 'IPCop' a annoncé sur son site officiel, la disponibilité d'une nouvelle version de son pare-feu sous
environnement Linux. Cette version corrige de multiples failles identifiées dans les produits tiers 'OpenSSL', 'Gzip',
'Tar' et 'GnuPG' qui permettent, entre autres choses, de contourner des mécanismes de sécurité, d'exécuter du
code arbitraire et de provoquer des dénis de service.
http://www.ipcop.org/modules.php?op=modload&name=News&file=article&sid=31&mode=thread&order=0&thold=0
CVE-2006-2937, CVE-2006-2940, CVE-2006-3738, CVE-2006-4334, CVE-2006-4335, CVE-2006-4336, CVE-2006-4337, CVE-20064338, CVE-2006-4339, CVE-2006-4343, CVE-2006-6097, CVE-2006-6169, CVE-2006-6235
KDE
Correctifs pour la faille CVE-2007-0104
Le projet KDE a publié, sous la référence advisory-20070115, une alerte concernant une faille dans le code de
'xpdf', référencée CVE-2007-0104, qui permet de provoquer un déni de service. Ce code est utilisé par les
applications 'kpdf' et 'kword'. 'KDE' versions 3.2.0 à 3.5.5, ainsi que 'KOffice' version 1.2, sont vulnérables.
http://www.kde.org/info/security/advisory-20070115-1.txt
LINUX DEBIAN
Disponibilité de nombreux correctifs
Debian annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages :
links2
DSA-1240
squirrelmail
DSA-1241
elog
DSA-1242
evince
DSA-1243
xine-lib
DSA-1244
proftpd
DSA-1245
openoffice
DSA-1246
mod_auth
DSA-1247
libsoup
DSA-1248
xfree86
DSA-1249
cacti
DSA-1250
netrick
DSA-1251
vlc
DSA-1252
firefox
DSA-1253
bind9
DSA-1254
http://www.debian.org/security/2007/
LINUX FEDORA
Fedora annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages :
dovecot
Core5 FEDORA-2006:1504
thunderbird
avahi
xterm
krb
xorg
wget
mono
w3m
fetchmail
Page 50/61
Janvier 2007
squirrelmail
squid
kernel
ed
Core5
Core5
FEDORA-2007:088
FEDORA-2007:092
Core5
FEDORA-2007:099
Core6
FEDORA-2007:089
Core6
Core6
FEDORA-2007:058
FEDORA-2007:100
https://www.redhat.com/archives/fedora-package-announce/index.html
LINUX MANDRIVA
Mandrake annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages :
dbus
MDKSA-2006:233
2006
2007
CS3.0 CS4.0
mono
MDKSA-2006:234
2007
libmodplug
MDKSA-2007:001
2007
kernel
MDKSA-2007:002
2007
postfix
MDKSA-2007:003
CS4.0
mesa
MDKSA-2007:004
2007
nmap
MDKSA-2007:005
2007
desktop
MDKSA-2007:006
2007
lirc
MDKSA-2007:007
2007
bluez-utils
MDKSA-2007:008
2007
perl-SOAP-Lite MDKSA-2007:009
2007
wvstreams
MDKSA-2007:010
2007
tripwire
MDKSA-2007:011
2007
kernel
MDKSA-2007:012
2006
CS4.0
libneon
MDKSA-2007:013
2007
bluez-utils
MDKSA-2007:014
2006
cacti
MDKSA-2007:015
CS4.0
fetchmail
MDKSA-2007:016
2006
2007
CS3.0 CS4.0
wget
MDKSA-2007:017
2006
2007
CS3.0 CS4.0 MNF2.0
koffice
MDKSA-2007:018
2007
pdftohtml
MDKSA-2007:019
2006
2007
poppler
MDKSA-2007:020
2007
CS4.0
xpdf
MDKSA-2007:021
2007
CS3.0 CS4.0
tetex
MDKSA-2007:022
2006
2007
CS3.0 CS4.0
libgtop2
MDKSA-2007:023
2007
kdegraphics
MDKSA-2007:024
2007
CS3.0 CS4.0
kernel
MDKSA-2007:025
CS3.0
MNF2.0
squid
MDKSA-2007:026
2006
2007
CS3.0 CS4.0 MNF2.0
xine-ui
MDKSA-2007:027
2007
CS3.0
ulogd
MDKSA-2007:028
CS4.0
libsoup
MDKSA-2007:029
2006
2007
CS3.0
http://www.mandriva.com/security
LINUX REDHAT
RedHat annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages :
tar
RHSA-2006:0759-01
AS.ES.WS 2.1
AS.ES.WS 3.0
AS.ES.WS 4.0
openoffice
RHSA-2007:0001-01
AS.ES.WS 2.1
AS.ES.WS 3.0
AS.ES.WS 4.0
xfree86
RHSA-2007:0002-01
AS.ES.WS 2.1
AS.ES.WS 3.0
xorg
RHSA-2007:0003-01
AS.ES.WS 4.0
flash-plugin
RHSA-2007:0009-01
AS.ES.WS 3.0
AS.ES.WS 4.0
acrobat
RHSA-2007:0017-01
AS.ES.WS 4.0
libgsf
RHSA-2007:0011-01
AS.ES.WS 3.0
AS.ES.WS 4.0
kernel
RHSA-2007:0013-01
AS.ES.WS 2.1
kernel
RHSA-2007:0012-01
AS.ES.WS 2.1
acrobat
RHSA-2007:0021-01
AS.ES.WS 3.0
gtk2
RHSA-2007:0019-01
AS.ES.WS 4.0
http://www.linuxsecurity.com/content/blogcategory/98/110/
LINUX SuSE
SuSE annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages :
mozilla
SUSE-SA:2006:080
openoffice
SUSE-SA:2007:001
mono
SUSE-SA:2007:002
java
SUSE-SA:2007:003
krb5
SUSE-SA:2007:004
w3m
SUSE-SA:2007:005
mozilla
SUSE-SA:2007:006
cacti
SUSE-SA:2007:007
xfree86
SUSE-SA:2007:008
opera
SUSE-SA:2007:009
java
SUSE-SA:2007:010
acrobat
SUSE-SA:2007:011
squid
SUSE-SA:2007:012
xine
SUSE-SA:2007:013
Summary Report 30
SR_2006_30
Summary Report 01
SR_2007_01
http://www.novell.com/linux/security/advisories.html
Page 51/61
Janvier 2007
MCAFEE
Problèmes avec 'VirusScan Enterprise' version 8.5i
McAfee, ainsi que IBM, ont publié des documents informant que l'installation de la version 8.5i du produit
'VirusScan Enterprise' provoque certains problèmes dans l'utilisation du produit IBM 'Lotus Notes' versions 6.5 et
7.0. Il n'y a pas de correctif officiel disponible. Des parades sont fournies dans les documents McAfee .
http://www-1.ibm.com/support/docview.wss?rs=475&context=SSKTWP&dc=DB520&uid=swg21252429&loc=en_US&cs=UTF8&lang=en&rss=ct475lotus
http://knowledge.mcafee.com/SupportSite/search.do?cmd=displayKC&docType=kc&externalId=7227825&sliceId=SAL_Public&dialog
ID=6140297&stateId=0%200%205529116
PHPMYADMIN
Publication des bulletins PMASA-2007-1 et PMASA-2007-2
Le projet 'phpMyAdmin' a publié les avis PMASA-2007-1 et PMASA-2007-2 concernant de multiples failles, déjà
discutées, qui peuvent autoriser un attaquant distant à mener des attaques de type "Cross-Site Scripting" et "HTTP
Response Splitting". Ces avis apportent des informations complémentaires sur ces failles.
http://www.phpmyadmin.net/home_page/security.php?issue=PMASA-2007-1
http://www.phpmyadmin.net/home_page/security.php?issue=PMASA-2007-2
SGI
Correctif cumulatif #69 pour SGI ProPack 3 SP6
SGI a annoncé, dans le bulletin 20070101-01-P, la disponibilité du correctif cumulatif "Security Update #68"
(correctif 10365) pour SGI ProPack 3 SP6 sur plate-forme Altix. Il corrige plusieurs failles dans 'libgsf' et
'OpenOffice qui peuvent permettre à un attaquant distant d'exécuter du code arbitraire.
ftp://patches.sgi.com/support/free/security/advisories/20070101-01-P.asc
CVE-2006-4514, CVE-2006-5870
SUN
Correctifs 'Mozilla' pour 'Solaris'
Sun a annoncé, dans le bulletin 102781, la vulnérabilité du navigateur 'Mozilla' version 1.7 sur Sun 'Solaris'
versions 8, 9 et 10 aux failles 'OpenSSL' référencées CVE-2006-4340 et CVE-2006-5462. Elles permettent de
contourner certains mécanismes de sécurité. Sun a publié des correctifs pour la plate-forme 'Solaris' version 10.
CVE-2006-4340, CVE-2006-5462
Correctifs pour 'freetype 2'
Sun a annoncé, dans le bulletin 102705, la vulnérabilité de Sun 'Solaris' versions 8, 9 et 10 aux failles 'freetype 2'
référencées CVE-2006-0747, CVE-2006-1861, CVE-2006-2661 et CVE-2006-3467. Ces failles peuvent entraîner des
dénis de service et l'exécution de code arbitraire. Sun a publié des correctifs pour les versions 9 et 10 de 'Solaris'.
CVE-2006-0747, CVE-2006-1861, CVE-2006-2661, CVE-2006-3467
Correctifs pour 'X.org'
Sun a annoncé, dans le bulletin 102780, la vulnérabilité de Sun 'Solaris' versions 9 et 10 aux failles 'X.org'
référencées CVE-2006-3739 et CVE-2006-3740. Elles peuvent entraîner l'exécution de codes arbitraires avec les
droits de l'utilisateur "root". Sun a publié un correctif pour la version 10 de 'Solaris'.
CVE-2006-3739, CVE-2006-3740
Failles 'gzip' sur Sun 'Solaris'
Sun a publié le document 102766 annonçant la vulnérabilité de la plate-forme Sun 'Solaris' versions 8, 9 et 10 aux
failles 'gzip' référencées CVE-2006-4334, CVE-2006-4335, CVE-2006-4336, CVE-2006-4337 et CVE-2006-4338.
Elles peuvent entraîner des dénis de service et l'exécution de code arbitraire. Il n'y a pas de correctif officiel
actuellement disponible.
Failles 'OpenOffice' dans Sun 'StarOffice'
Un message posté sur la liste de diffusion VulnWatch nous informe que les failles récemment discutées dans
'OpenOffice', référencées CVE-2006-5870, affectent également Sun 'StarOffice'. Ces failles sont corrigées par la
dernière version disponible du produit. On peut aussi noter que ces débordements de tas affectent aussi le
traitement des fichiers '.emf'.
http://archives.neohapsis.com/archives/vulnwatch/2007-q1/0002.html
CVE-2006-5870
Multiples vulnérabilités 'Mozilla' dans 'Solaris'
Sun a annoncé, dans le bulletin 102763, la vulnérabilité des plate-formes Sun 'Solaris' versions 8, 9 et 10 aux
failles CVE-2006-1728, CVE-2006-2777, CVE-2006-2778, CVE-2006-3804, CVE-2006-3806 et CVE-2006-3807
affectant 'Mozilla'. Elles permettent à un attaquant distant de provoquer, entre autres choses, l'exécution de code
arbitraire et des dénis de service.
Page 52/61
Janvier 2007
Sun a révisé le bulletin 101924 concernant une faille dans l'outil 'utxconfig' de configuration de 'Sun Ray Server' qui
permet de provoquer la création ou la corruption de fichiers arbitraires du système. Cette révision met à jour les
sections "Contributing Factors" et "Resolution", et clos l'alerte.
Sun a révisé le bulletin 102550 concernant de multiples failles dans la suite Mozilla qui permettaient en particulier
de provoquer des dénis de services et l'exécution de code arbitraire, et d'obtenir une élévation de ses privilèges.
Cette révision annonce la mise à jour de la section "Contributing Factors".
CVE-2005-4134, CVE-2006-0292, CVE-2006-0293, CVE-2006-0296, CVE-2006-0748, CVE-2006-0749, CVE-2006-0884, CVE-20061724, CVE-2006-1727, CVE-2006-1729, CVE-2006-1730, CVE-2006-1731, CVE-2006-1732, CVE-2006-1733, CVE-2006-1734, CVE2006-1735, CVE-2006-1736, CVE-2006-1737, CVE-2006-1738, CVE-2006-1739, CVE-2006-1740, CVE-2006-1741, CVE-2006-1742,
CVE-2006-1790
Sun a révisé le bulletin 102569 concernant une faille dans 'Solaris' qui permet de provoquer un déni de service du
système via les commandes 'netstat' et 'ifconfig'. Cette révision annonce la mise à jour des sections "Synopsis",
"Impact" et "Relief/Workaround".
Sun a révisé le bulletin 102714 concernant la vulnérabilité des systèmes Sun 'Solaris' à la faille CVE référencée
CVE-2006-3467, qui peut permettre à un utilisateur local non autorisé d'exécuter des commandes arbitraires avec
des droits privilégiés ou de provoquer un déni de service du système. Cette révision annonce la mise à jour des
sections "Contributing Factors" et "Resolution".
CVE-2006-3467
Sun a révisé le bulletin 102722 concernant la vulnérabilité de la bibliothèque 'libike' à la faille 'OpenSSL' référencée
CVE-2006-4339 qui permet à un attaquant de forger des signatures de type 'PKCS #1 v1.5'. Cette révision annonce
la mise à jour de la section "Relief/Workaround".
CVE-2006-4339
Sun a révisé le bulletin 102763 concernant de multiples failles dans le navigateur 'Mozilla' sur Sun 'Solaris' versions
8, 9 et 10. Ces failles peuvent permettent à un attaquant distant de provoquer, entre autres choses, l'exécution de
code arbitraire et des dénis de service. Cette révision met à jour les sections "Contributing Factors" et "Resolution".
Sun a révisé le bulletin 102766 concernant la vulnérabilité de la commande 'gzip' sur la plate-forme Sun 'Solaris'
versions 8, 9 et 10 aux failles référencées CVE-2006-4334, CVE-2006-4335, CVE-2006-4336, CVE-2006-4337 et
CVE-2006-4338. Cette révision met à jour les sections "Contributing Factors" et "Resolution".
Sun a révisé le bulletin 102779 concernant des failles non documentées dans le produit 'Sun Ray Server Software'
qui permettent d'obtenir des informations sensibles. Cette révision annonce la mise à jour de la section
"Contributing Factors" et clos l'alerte.
Révision du bulletin Sun 102760
Sun a révisé le bulletin 102760 concernant un débordement de buffer dans le traitement des images 'GIF' par
'Java'. Cette vulnérabilité peut entraîner l'exécution de code arbitraire. Cette révision met à jour la section
"Impact".
Vulnérabilité 'Kerberos 5' dans Sun 'Solaris'
Sun a annoncé, dans le bulletin 102772, la vulnérabilité des plate-formes Sun 'Solaris' versions 8, 9 et 10 à la faille
référencée CVE-2006-6144 affectant 'Kerberos 5'. Cette faille, une erreur de codage qui affecte l'interface
d'abstraction 'mechglue' de l'implémentation 'GSS-API' de 'Kerberos 5', peut être exploitée par un attaquant distant
afin d'exécuter du code arbitraire avec des droits privilégiés ou de provoquer un déni de service du démon
d'administration 'kadmind'.
CVE-2006-6144
Page 53/61
Janvier 2007
US-CERT
Reprise de la faille CVE-2007-0015
L'US-CERT a repris, sous la référence TA07-005A, la faille référencée CVE-2007-0015 qui affecte le produit Apple
'Quicktime'. Cette faille, un débordement de pile, peut permettre à un attaquant distant d'exécuter du code
arbitraire.
http://www.us-cert.gov/cas/techalerts/TA07-005A.html
CVE-2007-0015
Reprise de l'avis Oracle de janvier 2007
L'US-CERT a repris, sous la référence TA07-017A, l'avis Oracle de janvier 2007 concernant de nombreuses
vulnérabilités dans plusieurs produits Oracle, qui peuvent entraîner de multiples conséquences.
Reprise de plusieurs avis Cisco
L'US-CERT a repris, sous la référence TA07-024A, les avis Cisco 72318, 81734 et 72372 concernant de multiples
failles dans les équipements fonctionnant avec Cisco 'IOS' et 'IOS XR' qui peuvent entraîner des dénis de service et
Reprise des avis MIT sur 'Kerberos 5'
L'US-CERT a repris, sous la référence TA07-009B, les avis MIT MITKRB5-SA-2006-002-rpc et MITKRB5-SA-2006003-mechglue concernant deux failles dans 'Kerberos 5' qui peuvent entraîner l'exécution de code arbitraire et un
déni de service.
http://www.us-cert.gov/cas/techalerts/TA07-009B.html
CVE-2006-6143, CVE-2006-6144
Reprise des bulletins Microsoft de janvier 2007
L'US-CERT a repris, sous la référence TA07-009A, les avis Microsoft de janvier 2007 concernant de multiples failles
dans les produits Windows, Internet Explorer, Outlook et Excel. Elles peuvent entraîner, entre autres choses, des
dénis de service et l'exécution de code arbitraire avec des droits privilégiés.
CVE-2006-1305, CVE-2006-5574, CVE-2007-0024, CVE-2007-0027, CVE-2007-0028, CVE-2007-0029, CVE-2007-0030, CVE-20070031, CVE-2007-0033, CVE-2007-0034
Reprise des plusieurs avis Sun
L'US-CERT a repris, sous la référence TA07-022A, les avis Sun 102760, 102731 et 102729 concernant de multiples
failles dans 'Java' qui peuvent entraîner l'exécution de code arbitraire et autoriser une applet à obtenir des droits
privilégiés.
CVE-2006-6731, CVE-2006-6745, CVE-2007-0243
VANDYKE SOFTWARE
Correctifs pour la faille 'OpenSSL' CVE-2006-4339
VanDyke Software a annoncé la disponibilité des produits 'SecureCRT' version 5.2.2 et 'SecureFX' version 4.0.2. Ces
nouvelles versions corrigent la faille 'OpenSSL' référencée CVE-2006-4339 qui permet de contourner la sécurité
offerte par les signatures de type 'PKCS #1 v1.5'.
http://www.vandyke.com/products/securecrt/history.txt
http://www.vandyke.com/products/securefx/history.txt
CVE-2006-4339
VMWARE
Correctifs pour 'ESX Server'
VMWare a annoncé, dans le bulletin VMSA-2007-0001, la disponibilité de correctifs pour les produits 'ESX Server'
versions 2.0.2, 2.1.3, 2.5.3, 2.5.4, 3.0.0 et 3.0.1. Ils corrigent de multiples failles qui peuvent autoriser un
attaquant à contourner certains mécanismes de sécurité, à provoquer des dénis de service et à exécuter du code
arbitraire.
CVE-2006-2937, CVE-2006-2940, CVE-2006-3589, CVE-2006-3738, CVE-2006-4339, CVE-2006-4343, CVE-2006-4980
CODES D’EXPLOITATION
Les codes d’exploitation des vulnérabilités suivantes ont fait l’objet d’une large diffusion :
MICROSOFT
Code d'exploitation pour la faille MS07-004 (VML)
Un code d'exploitation a été publié sur le site Web de Milw0rm, exploitant la faille Microsoft MS07-004, un
débordement de buffer dans l'implémentation 'VML' qui permet l'exécution de code arbitraire. Ce code, une page
HTML, permet d'exécuter la calculatrice de Windows lorsque cette page est visualisée avec 'Internet Explorer'.
CVE-2007-0024
Page 54/61
Janvier 2007
SUN
Code d'exploitation pour la faille 'Java' CVE-2007-0243
Un code d'exploitation a été publié sur le site Web Milw0rm concernant la faille 'Java', référencée CVE-2007-0243,
qui permet l'exécution de code arbitraire. Ce code, une applet 'Java' permettant de créer une image 'GIF'
spécialement construite, permet d'exécuter la calculatrice Windows sur une plate-forme vulnérable.
CVE-2007-0243
BULLETINS ET NOTES
Les bulletins d’information suivants ont été publiés par les organismes officiels de surveillance et les
éditeurs :
ADOBE
Informations pour les failles dans 'Reader'
Adobe a publié l'avis APSA07-01 concernant les failles récemment discutées dans 'Reader'. Elles peuvent permettre
à un attaquant distant de mener des attaques de type "Cross-Site Scripting", d'exécuter du code arbitraire et de
provoquer un déni de service. Adobe ne mentionne que la faille référencée CVE-2007-0045 et informe également
que les produits 'Acrobat Standard', 'Acrobat Professional' et 'Acrobat Elements' version 7.0.8 et inférieures, et
'Acrobat 3D' sont également vulnérables. Adobe recommande d'installer la version 8.0.0 de 'Reader'.
http://www.adobe.com/support/security/advisories/apsa07-01.html
CVE-2007-0045
LINUX
Disponibilité du noyau Linux 2.6.19.2
La version 2.6.19.2 du noyau Linux est disponible. Cette version corrige de multiples failles qui peuvent entraîner
des dénis de service et l'exécution de code arbitraire.
http://kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.19.2
Page 55/61
Janvier 2007
ATTAQUES
OUTILS
ADTOOL
# Description
Le site mexicain ‘SecurityNation.net’ – anciennement ‘HackerSoft.net’ – propose divers
outils destinés à faciliter les tests d’intrusion dont l’utilitaire ‘ADTool’ publié en début de mois.
Comme son nom le laisse entendre – AD signifiant Active Directory – cet utilitaire permet
d’inventorier les ressources déclarées dans l’annuaire.
La très faible taille (12Ko) de cet utilitaire dont seul
l’exécutable Windows est accessible laisse entendre qu’il
s’agit d’une image compressée. Le doute est rapidement
levé à l’aide du remarquable outil ‘PEiD’ lequel confirme
l’utilisation du mécanisme de compression ‘UPX’ bien
connu pour être trop souvent utilisé pour encapsuler le
code de virus et de vers.
Il est fort heureusement possible de décompresser
l’exécutable à l’aide de l’option ‘-d’ de la dernière version
de l’outil ‘upx’. Le fait que le format de compression n’ait
pas été altéré comme cela est souvent le cas avec des
codes malicieux est plutôt un bon signe. Bien que le code
ne soit pas signé, les informations de gestion de version
sont présentes et cohérentes.
Rien ne permet cependant d’affirmer - sans une analyse plus approfondie - que le code soit propre mais n’est-ce pas le
cas de la majorité de outils que nous utilisons tous quotidiennement.
La curiosité nous poussera cependant à étudier
rapidement la constitution de l’outil: l’étude de son
en-tête, et en particulier de la table référençant les
librairies externes, permet de déterminer qu’il s’agit
d’un développement en Visual Basic 6.0.
Il nous sera cependant difficile d’aller plus en avant
dans notre analyse, l’utilisation de ce langage rendant
celle-ci plus complexe et imposant l’utilisation d’outils de rétro-analyse spécifiques. Nous considérons donc avoir
obtenu suffisamment d’information pour considérer pouvoir utiliser cet outil qui, rappelons-le, accède aux ressources
de l’environnement et collecte des informations sensibles.
En l’absence de toute documentation – seul l’exécutable est téléchargeable – nous devrons nous appuyer sur l’aide
affichée lors du lancement de l’exécutable, aide fort heureusement en anglais et reproduite ci-dessous.
####################################################
# ADtool Coded by Luis Alberto Cortes Zavala, NaPa
# Security Nation Labs - Mexico http://www.securitynation.com
#
# ADtool is intended to help pentesters and admins in day a day work, there
# is some other tools that can accomplish the work for listing domain
# Servers, but unfortunately all other tools i had test are GUI based, and
# in all was difficult to export a list of machines. So this tool is for
# the work day a day, when you need to get a simple and easy to use list of
# all machines in a domain.
#
# ADtool doesn't need any special membership, or user in the desired domain,
# just be connected on the same network, and information will come to you!.
#
# Any comments or changes [email protected]
# ADtool.exe BETA 1.0
##########################################################
Usage example:
#ADtool.exe domain -parameters [-o:file.txt]# Usage example.
#ADtool.exe mydomain -vwSDmn [-o:listing.txt]
# Parameters:
-v Verbose mode.
-w Return all Workstations.
-s Return all Servers.
-S Return all SQL servers.
-D Return all Domain Controllers.
Page 56/61
Janvier 2007
-d
-t
-a
-n
-m
-p
-x
-W
-O
-M
-c
-b
-B
-a
-A
-h
-e
-E
-i
-Y
-g
-j
-z
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
Return
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
all
Backup Domain Controllers.
Servers running Timesource service.
Aple File Protocol servers.
Novell servers.
Domain members running LAN Manager 2.x.
Servers sharing print queue.
Xenix servers. (Unix like servers).
Windows NT workstations and servers.
Servers running Windows for workgroups.
Servers with Microsoft File and Print for Netware.
Servers that are not a domain controllers.
Servers that can run the browser service.
Servers running browser service as backup.
Servers running the master browser service.
Servers running the domain master browser.
OSF servers. -P Return all VMS servers.
Windows 9x and above. -r Return all Root of a DFS tree.
NT Clusters. -T Return all Terminal Servers.
IBM DSS. -y Return all RTN alternate transport.
RTN local. -f Return all Primary Domain.
OS2 computers. -G Return all NT computers.
Servers running dial-in service.
Fonctionnant parfaitement sous condition d’être exécuté depuis un poste connecté dans le domaine devant être
inventorié, cet outil répond parfaitement au besoin exprimé par l’auteur: pouvoir traiter les données acquises sans
avoir à engager des manipulations complexes. Ici, une simple redirection vers un fichier permettra de sauvegarder les
résultats.
http://www.professionalsecuritytesters.org/modules.php?name=News&file=article&sid=737
http://www.securitynation.com/downloads/sndown.php?id=43
- Annonce de l’outil
- Téléchargement de l’outil
ENUMIAX
# Description
EnumIAX
Les technologies de téléphonie sur IP ont conduit les ‘freakers’ ou pirates du téléphone à adapter
leurs outils de ‘war-dialing’ (recherche automatique de numéro de téléphone) pour s’adonner à leur
sport favori: la recherche de points d’entrées intéressants sur les réseaux téléphoniques. L’utilitaire
EnumIAX entre dans cette catégorie d’outils en facilitant la recherche d’accès via le protocole IAX2.
‘IAX2’ est le protocole d’échange natif du désormais célèbre commutateur logiciel ‘Asterisk’. Ce protocole utilise un
transport ‘UDP’ pour l’ensemble des échanges – signalisation et flux – contrairement à ses concurrents dont ‘SIP’,
lesquels découplent le transport de la signalisation et des flux.
Si cette dernière approche a le mérite de respecter les meilleures pratiques en terme d’architecture technique et de
sécurité, elle pose cependant le problème de devoir disposer d’équipements de médiation dédiés lorsque les flux
doivent s’échanger entre deux domaines de sécurité. A contrario, l’approche retenue par le concepteur d’Asterisk a le
mérite de ne nécessiter d’autres mesures que la simple création d’un tunnel entre les équipements de sécurité voire
dans bien des cas, une unique règle autorisant le transfert des paquets en provenance et à destination du port
UDP/4569.
C’est probablement ce choix qui est à l’origine de l’immense succès de ce protocole d’une facilité de mise en œuvre
déconcertante notamment pour les particuliers et les petites entreprises et ceci malgré les défauts inhérents au choix
d’un transport en mode non connecté pour la signalisation. Un tel transport est performant en terme d’occupation des
ressources et de la bande passante mais reste d’une fiabilité assez réduite - sauf à disposer d’un mécanisme de
gestion de la qualité de service – et plus complexe à sécuriser qu’un protocole en mode connecté tel TCP.
En environnement ‘Asterisk’, les correspondants sont caractérisés par les fonctionnalités qui leur sont offertes - ‘user’
qui ne peut qu’appeler, ‘peer’ qui ne peut qu’être appelé et ‘friend’ combinaison des deux modes de fonctionnement
précédents - et par un identifiant les autorisant à se connecter au commutateur. A cet identifiant – sensible à la casse
- peut s’adjoindre un authentifiant dont les caractéristiques dépendront du protocole d’accès utilisé: du simple mot de
passe avec les protocoles SIP ou IAX2 jusqu’au certificat X509 avec IAX2.
Très souvent, et bien que ce ne soit pas une obligation,
Session
Accès
Commutation
l’identifiant utilisé pour ouvrir la session est retranscrit
tel quel dans le plan de numérotation.
Joe Dalton
Joe Dalton
1200
Deux stratégies peuvent être retenues pour ce dernier:
définition d’un plan de numérotation entièrement
Joe Dalton
jdal
1200
numérique, les identifiants seront alors majoritairement
numériques et correspondront bien souvent au numéro
du poste utilisé ou définition d’un double plan pour
Joe Dalton
1200
lequel à chaque identifiant numérique correspond une
extension alphanumérique similaire à l’identifiant ainsi
1200
1200
qu’une extension numérique permettant les appels
Page 57/61
Janvier 2007
depuis un réseau classique.
La découverte d’un identifiant de session IAX2 conduira en conséquence à des résultats très
différents selon l’organisation de la configuration du plan de numérotation.
Ces résultats pourront ainsi aller de la simple découverte d’un point d’entrée dans le système
Session
permettant de passer des appels dans les limites imposées au contexte associé à cet
identifiant (choix d’une stratégie de séparation des identifiants et des extensions) jusqu’à
Accès
l’inventaire de l’intégralité du plan de numérotation numérique (choix d’une stratégie
confondant les deux plans).
Commutation
L’utilitaire ‘EnumIAX2’, livré sous forme de sources et fonctionnant en environnement UNIX,
permet d’inventorier les identifiants de session valides par test systématique, le protocole IAX2 rejetant les
identifiants invalides sans attendre la présentation d’un authentifiant lorsque celui-ci est requis. Les identifiants devant
être testés sont automatiquement générés ou bien
extraits d’un dictionnaire.
Les différents tests que nous avons pu mener sur plusieurs architectures ‘Asterisk’ démontrent la grande efficacité de
cet utilitaire notamment lorsqu’il est employé avec un bon dictionnaire qui permettra de découvrir très rapidement les
comptes de service (‘demo’, ‘test’, ‘support’ et autres identifiants usuels) ainsi que bien des comptes nominatifs. Il
restera cependant encore à déterminer le code d’authentification associé à chacun des comptes découverts, cette
opération n’étant pas gérée par l’outil.
La découverte d’identifiants directement transcrits dans un plan de numérotation classique pourra être effectuée au
moyen des options ‘-m’ et ‘-M’ permettant de préciser le nombre minimal et maximal de caractères constituants
l’identifiant. Le positionnement de ces options à la valeur 4 permet de générer des identifiants conformes aux plans de
numérotation classiquement utilisés. Il conviendra cependant de modifier le logiciel afin de l’amener à pouvoir générer
des séquences uniquement numériques pour une plus grande efficacité.
http://sourceforge.net/projects/enumiax/
TECHNIQUES
RAINBOW TABLES, MOTS DE PASSE ORACLE ET ACCES SYS AS SYSDBA
# Description
Dans un article intitulé ‘Oracle Password et OraBrute’ publié mi-Janvier Paul Wright,
de la société NGSSoftware, fait un point sur la vulnérabilité des mots de passe Oracle.
Pour bien comprendre les fondements de la vulnérabilité exposée dans cet article, il est nécessaire de connaître un
procédé assez récemment porté à la connaissance du public permettant d’accélérer notablement la recherche d’une
séquence – dans le cas présent, un mot de passe - dont on ne connaît que le résultat de la transformation de cette
séquence par une fonction non inversible (OWF ou One Way Function dans le jargon), résultat dénommé ‘Hash’ dans
la littérature courante.
Le mécanisme de protection des mots de passe le plus couramment
Mot de passe
Candidat
utilisé consiste à transformer celui-ci de manière irréversible et à
stocker le résultat de cette transformation. La vérification pourra alors
être simplement effectuée par tous en réitérant l’opération sur le mot à
vérifier et en comparant le résultat avec la valeur stockée, le hash.
L’une des implémentations la plus connue de ce mécanisme est celle
mise en oeuvre dans le système UNIX, la fonction irréversible utilisée à
l’origine s’appuyant sur une implémentation légèrement modifiée de
HASH
=?
l’algorithme DES.
La robustesse de cette approche est liée à la qualité d’irréversibilité de la
fonction (connaissant le résultat de la transformation d’une valeur en entrée, il n’est pas possible de retrouver cette
valeur bien que la transformation appliquée soit connue) mais aussi à la taille de l’espace des solutions (la recherche
systématique d’une solution donnée doit prendre un temps rédhibitoire). Il faudra ici déterminer ce que l’on entendra
par temps rédhibitoire, généralement en fonction de la durée de vie de l’information protégée au regard du temps
nécessaire pour trouver la bonne solution parmi toutes les possibilités.
Le procédé ici décrit pourra être considéré comme fiable tant qu’aucun procédé permettant de réduire le temps de
calcul ou l’espace de recherche n’aura été découvert. Dans le cas du DES précité, les avancées technologiques ont
Page 58/61
Janvier 2007
permis de réduire de manière conséquente le temps de calcul rendant possible une recherche exhaustive en un temps
non rédhibitoire.
Les systèmes d’information récents utilisent désormais des algorithmes travaillant sur des valeurs bien plus longues.
On notera cependant que la nature même des mots de passe implique une réduction de l’espace de recherche, la
totalité des combinaisons autorisées pour un caractère avant transformation n’étant employées (entre 26 et 27
combinaisons sur les 28 théoriquement disponibles).
Les meilleurs systèmes d’attaque publiquement disponibles jusqu’à peu proposaient une optimisation du parcours de
l’espace de recherche en limitant celui-ci par le biais de règles de production influençant la forme des mots de passe et
l’ordonnancement de la génération ou par l’utilisation de dictionnaires de mots.
Les travaux menés sur la recherche de collisions - la transformation de deux valeurs d’entrée différentes donne un
même résultat - dans les algorithmes de condensation ont conduit les chercheurs à trouver des procédés permettant
d’optimiser le temps de calcul et les ressources de stockage nécessaires. L’une des approches consistait à travailler
non plus sur des transformations unitaires mais sur une succession de transformations dont on ne conserverait que la
valeur initiale et le résultat de la dernière transformation, les états intermédiaires de la chaîne pouvant être
reconstitué à partir de ces informations. Cette approche fût aussi utilisée pour proposer une méthode d’authentification
de type ‘OTP’ (One Time Password), méthode dite de ‘Lamport’ du nom de son auteur.
C’est probablement dans tous ces travaux qu’il faut trouver l’origine du procédé mis au point en 2003 par Philippe
Oechslin et désormais connu sous le nom de ‘Rainbow Tables’ ou ‘Tables Arc-En-Ciel’. On notera cependant qu’une
approche similaire avait déjà été mise au point avant la seconde guerre mondiale par une équipe de cryptographes
Polonais pour optimiser la recherche des clefs de chiffrement d’un équipement qui deviendra plus tard la célèbre
Enigma.
Les tables ‘Rainbow’ permettent donc d’optimiser la recherche d’une solution en utilisant un dictionnaire contenant
des solutions pré-calculées sans pour autant nécessiter un espace de stockage rédhibitoire par l’optimisation d’un
procédé simple et élégant.
Celui-ci consiste à itérer le cycle de transformation en reprenant pour chaque nouvelle itération le résultat de la
transformation précédente, le processus étant initialisé à partir d’une valeur génératrice judicieusement choisie. De
cette succession de transformation, on ne conservera que les valeurs initiales et finales qui seront stockées dans une
table spécifique à la transformation étudiée. Le coût de calcul très élevé de la table sera très rapidement compensé par
la réduction conséquente du nombre de calculs requis pour inverser une transformation.
Génération d’une chaîne
OWF
Table
OWF
….
OWF
….
OWF
….
OWF
….
OWF
….
OWF
….
GEN
Hash
Hash GEN
Cette inversion sera effectuée en recherchant s’il existe une chaîne permettant de produire la valeur devant être
inversée. Pour ce faire, cette valeur subira le même cycle de transformation jusqu’à ce qu’un résultat déjà présent
dans la table soit trouvé.
Recherche d’une chaîne
Parcours 1
DAT
Table
OWF
OWF
….
OWF
….
….
Hash GEN
La chaîne génératrice sera alors identifiée. Il sera ensuite possible de remonter à la solution recherchée en parcourant
de nouveau la chaîne depuis son point de départ et en arrêtant la recherche quand le résultat de la transformation est
identique à la valeur recherchée, la solution est la valeur d’entrée de la dernière transformation.
Recherche de la solution
Table
Parcours 2
GEN
OWF
OWF
….
DAT
OWF
….
OWF
….
Hash GEN
….
SOL
La beauté de l’approche réside dans sa simplicité de mise en oeuvre et la possibilité de l’appliquer à toute procédé
mettant en oeuvre une fonction irréversible connue. Son efficacité dépendra cependant du recouvrement de l’espace
des solutions par les chaînes décrites par la table.
Dans le cas des tables RainBow le procédé est plus complexe. Diverses optimisations sont en effet mises en oeuvre
pour prendre en compte les spécificités liées au format à la longueur variable des mots de passe – une transformation
intermédiaire est nécessaire – mais aussi pour garantir une couverture optimale. Chaque table est spécifique au
procédé de transformation employé: algorithme de condensation mais aussi mécanisme de réduction.
Page 59/61
Janvier 2007
Le programme actuellement le plus connu, RainbowCrack, dispose ainsi des tables spécifiques aux algorithmes MD5,
SHA1 et au mécanisme d’authentification LanManager dit ‘LM’. On notera cependant que la moindre variation dans ce
procédé impactera immédiatement l’efficacité du procédé d’attaque. Une table calculée sur la base de mots de passe
d’une longueur inférieure à neuf caractères sera mise en défaut par l’utilisation de mots de passe de neuf caractères
ou plus. Il en va de même avec la sélection des caractères autorisés dans le choix des mots de passe.
On notera à ce sujet la possibilité d’accéder directement à plusieurs tables ‘Rainbow’ par le biais du célèbre site
‘AstalaVista’. L’interface proposée permet d’inverser un condensé de type MD5, LM ou encore NT en saisissant celuici dans un formulaire, le nombre de recherches étant cependant limité à 10 pour les personnes non abonnées au
service. Les résultats des dix dernières recherches sont affichés en fin de page.
L’article publié par NGSSoftware pose la question de la robustesse des mots de passe en environnement Oracle face
à des procédés d’attaque en force qui pourraient être rendus extrêmement efficaces par l’utilisation de tables
RainBow adaptées à l’algorithme de condensation spécifique à cet environnement.
De tels attaques seraient d’autant plus dévastatrices que l’algorithme de condensation désormais bien documenté est
affecté d’un problème d’implémentation conduisant deux personnes utilisant le nom de compte et le même mot de
passe mais sur deux bases Oracle différentes à partager le même condensé. On imagine sans peine le bénéfice que
pourrait tirer une implémentation optimisée d’un système d’attaque en force brute.
Les règles régissant la constitution d’un mot de passe posent un second problème en réduisant l’espace de recherche.
Seuls 39 caractères peuvent être employés pour constituer un mot de passe d’une longueur maximale de 30
caractères en notant que l’usage de certains caractères - les caractères ‘$’ et ‘#’ - est déconseillé par Oracle ce qui
réduit encore d’autant l’espace de recherche.
A ce jour, les principaux outils de cassage en force dont le célèbre John-the-Ripper ont été adaptés aux spécificités
de l’algorithme de condensation Oracle et des tables RainBow spécifiques sont en cours de génération. L’utilisation
du nom du compte dans la génération du condensé interdit l’utilisation de tables génériques ce qui réduit totalement
l’intérêt du procédé du moins pour les comptes d’utilisateurs.
Il n’en va hélas pas de même lorsqu’il s’agit de comptes génériques, ou définis par défaut, lesquels sont bien souvent
associés à des tâches requérant des privilèges intéressants. L’auteur fait remarquer que des services en ligne
fournissant en temps quasi-réel le mot de passe pour des comptes utilisant des noms génériques sont d’ores et déjà
disponibles.
Face à cette menace, l’auteur suggère d’appliquer la seule parade possible: utiliser des caractères normalement non
autorisés dans les mots de passe afin d’augmenter l’espace de recherche au delà de la capacité des tables de précalcul actuellement disponibles. Il ‘suffit’ pour cela d’utiliser le caractère ‘double-quote’ pour délimiter le mot de passe
et autoriser l’emploi de caractères normalement non utilisables tels ‘%’, ‘^’, ‘@’, ‘*’, ... Cette technique devra être
appliquée à tous les comptes génériques dont le compte ‘sys’.
Cette approche ne résout pas tous les problèmes. Outre une attaque révélée en novembre dernier permettant
d’obtenir le mot de passe d’un utilisateur par la combinaison du condensé et de données transmises lors d’une
l’authentification par le réseau et un problème de configuration lié à l’utilisation de l’UNICODE, l’auteur met en garde
les administrateurs contre l’inefficacité du mécanisme de verrouillage d’un compte dans le cas particulier du compte
‘Sys As SysDBA’. Il est alors possible d’attaquer en force, et en toute tranquillité, ce compte ultra privilégié ouvrant
en grand les portes d’un système Oracle.
Le code source en langage C d’un démonstrateur, dénommé ‘OraBrut’, est proposé en fin d’article. L’objectif de
l’auteur est de prouver qu’il n’est point besoin d’utiliser des outils sophistiqués à base de tables pré calculées quand un
simple portable permet de tester près d’un million de mots de passe par jour. Le programme proposé permet non
seulement d’engager une attaque en force sans limite de durée mais aussi de répartir le travail sur plusieurs systèmes.
Page 60/61
Janvier 2007
Le sommaire de cet article est reproduit ci-dessous:
1. Introduction
2. Weakness of the algorithm
3. Crackers target oracle passwords
4. The response to rainbow tables
5. Pending Oracle password problems
Unicode username salt
Clear Text password from packet capture and hash
No Lock out for Sys As SysDba
6. Brute forcing Sys As SysDba
7. How to Secure Against OraBrute
8. Conclusions
9. References
Acknowledgements
Source Code for OraBrute V2.0
http://www.ngssoftware.com/research/papers/oraclepasswords.pdf
http://en.wikipedia.org/wiki/Rainbow_table
https://www.isc2.org/cgi-bin/content.cgi?page=738
http://www.astalavista.net/?cmd=rainbowtables
- Rapport NGSSoftware
- Les RainBow Tables
- Description du mécanisme des RainBow Tables
- Accès direct aux tables MD5, LM et NT
Page 61/61

Veille Technologique Sécurité

Transcription

Documents pareils