Veille Technologique Sécurité
Transcription
Veille Technologique Sécurité
APOGEE Communications R dee orrtt d po pp Raap Veille Technologique Sécurité N 4 84 N°°8 Juillet 2005 Les informations fournies dans ce document ont été collectées et compilées à partir de sources d'origines diverses et publiquement accessibles: mailing-lists, newsgroups, sites Web, ... Ces informations sont fournies pour ce qu'elles valent sans garantie d'aucune sorte vis à vis de l'exactitude, de la précision ou de la qualité de l'information. Les URL associées à certains thèmes sont validées à la date de la rédaction du document. Les symboles d’avertissement suivants seront éventuellement utilisés: ! " Site dont la consultation est susceptible de générer directement ou indirectement, une attaque sur l’équipement de consultation, voire de faire encourir un risque sur le système d’information associé. Site susceptible d’héberger des informations ou des programmes dont l’utilisation est répréhensible au titre de la Loi Française. Aucune garantie ne peut être apportée sur l'innocuité de ces sites, et en particulier, sur la qualité des applets et autres ressources présentées au navigateur WEB. LLaa ddiiffffuussiioonn ddee ccee ddooccuum meenntt eesstt rreessttrreeiinnttee aauuxx cclliieennttss ddeess sseerrvviicceess V VTTS S--R RA APPPPO OR RTT eett V VTTS S--EEN NTTR REEPPR RIIS SEE Les marques et les produits cités dans ce rapport sont la propriété des dépositaires respectifs. APOGEE Communications 15, Avenue du Cap Horn ZA de Courtaboeuf 91940 Les ULIS Pour tous renseignements Offre de veille: http://www.apogee-com.fr/veille Informations: [email protected] © APOGEE Communications - Tous droits réservés Juillet 2005 Au sommaire de ce rapport … PRODUITS ET TECHNOLOGIES LES PRODUITS 7 7 AUDIT 7 MICROSOFT – MBSA V2.0 OWASP – WEBSCARAB IDEFENSE – MULTIPOT V0.3 7 10 11 SERVICES DE SÉCURITÉ 13 DCSSI – CATALOGUE DES PRODUITS QUALIFIÉS V3.0 LES TECHNOLOGIES PROTECTION 13 14 14 UCAM – SÉCURITÉ DES COMPOSANTS MATÉRIELS SEAGATE – DISQUES CHIFFRANTS INFORMATIONS ET LÉGISLATION LES INFORMATIONS 14 16 17 17 TENDANCES 17 SANS – TOP20 2005– LISTE INTERMÉDIAIRE Q2 CSI/FBI – 2005 COMPUTER CRIME AND SECURITY SURVEY CONFÉRENCES CANSECWEST2005 NEW SECURITY ANALYSIS TECHNIQUES LARGE MEMORY USAGE PACKET GENERATION WITH SCAPY OSVDB & VULNERABILITY DATABASES 0WN3D BY AN IPOD: FIREWIRE/1394 ISSUES 0WN3D BY EVERYTHING ELSE: USB/PCMCIA ISSUES HACKING NMAP AND MAPPING TECHNIQUES ADVANCES IN EXPLOIT TECHNOLOGY STACK PROTECTION SYSTEMS (PROPOLICE, XP SP2...) ANTI-VIRUS ISSUES NIST – ETAT DES GUIDES DE LA SÉRIE SP800 SÉCURISATION 17 18 19 19 19 20 20 21 22 22 23 23 24 24 25 26 NSA - CATALOGUE DES GUIDES DE SÉCURITÉ NIST – GUIDES ET CHECKLISTS DE SÉCURISATION LA LÉGISLATION INTERNET 26 27 28 28 USA – MAINMISE SUR LA GESTION DES TLD 28 LOGICIELS LIBRES LES SERVICES DE BASE LES OUTILS 29 29 29 NORMES ET STANDARDS LES PUBLICATIONS DE L’IETF 31 31 LES LES RFC DRAFTS NOS COMMENTAIRES LES RFC RFC4107 / BCP107 LES DRAFTS DRAFT-IETF-INCH-PHISHINGEXTNS-01 ALERTES ET ATTAQUES ALERTES GUIDE DE LECTURE FORMAT DE LA PRÉSENTATION SYNTHÈSE MENSUELLE ALERTES DÉTAILLÉES AVIS OFFICIELS ADOBE APACHE Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 31 31 41 41 41 41 41 43 43 43 44 44 45 45 45 45 Page 2/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 APPLE BITDEFENDER CENTERICQ CISCO CLAMAV CUPS DNRD DRUPAL EDGEWALL EKG ETHEREAL FETCHMAIL FREEBSD GNU IBM K5N.US KDE KERBEROS LINUX LINUX-HA MACROMEDIA MAILENABLE MCAFEE MICROSOFT MOZILLA NETBSD NET-SNMP NOKIA NOVELL ORACLE PERL PHPBB PHYSTECH PROFTPD SAP SCO SERIES60 SGI SHOREWALL SOPHOS SQUIRRELMAIL SSH SUN SYBASE UNIX XEROX ZLIB ALERTES NON CONFIRMÉES 3COM ACCESSREMOTEPC ADOBE ALT-N AOL/NULLSOFT CA CACTI CHECKPOINT CLAMAV CLEARSWIFT ECI F5 NETWORKS FUSE GNU HOSTINGCONTROL IBM JAWS LANTRONIX LINUX DEBIAN MAILENABLE MCAFEE MICROSOFT MOZILLA NAVIGATEURS NETPBM NOVELL OPENLDAP OPERA ORACLE OSTICKET PHP PHPPGADMIN PREVX Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 45 45 46 46 46 46 46 46 47 47 47 47 47 47 48 48 48 48 48 48 49 49 49 49 49 50 50 50 50 50 50 50 51 51 51 51 51 51 51 51 52 52 52 52 52 52 53 53 53 53 53 53 53 54 54 54 54 54 54 54 54 55 55 55 55 55 55 55 56 56 56 57 57 57 57 57 57 57 58 58 58 Page 3/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 RARITAN SIEMENS SKYPE SOPHOS SPI DYNAMICS SUN VERITAS WORDPRESS 58 58 58 58 58 59 59 59 AUTRES INFORMATIONS 59 REPRISES D’AVIS 59 ET CORRECTIFS ADOBE ALT-N AVAYA AWIL SOFTWARE BLUECOAT CIAC CISCO DELL EKG F5 NETWORKS FREEBSD HP IBM IP LINUX DEBIAN LINUX FEDORA LINUX MANDRIVA (MANDRAKE) LINUX REDHAT MICROSOFT MYSQL NETBSD NETSCAPE NOVELL OPENLDAP ORACLE PADL SOFTWARE PHP SCO CALDERA SGI SUN US-CERT US-CERT 59 59 59 60 60 60 63 63 63 63 63 63 64 64 65 65 65 66 66 66 67 67 67 67 67 67 67 68 68 68 69 69 CODES D’EXPLOITATION 69 BULLETINS ET NOTES 70 MICROSOFT ATTAQUES CIAC MICROSOFT VERITAS VIRUS ATTAQUES OUTILS IDEFENSE - MAP Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 69 70 70 70 71 71 72 72 72 Page 4/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Le mot de la rédaction … Le Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques plus connu sous le sigle ‘CERTA’ n’a désormais plus rien à envier à ses homologues anglo-saxons. Outre l’augmentation conséquente du nombre d’articles publiés - avis ou alertes - depuis le début de l’année et la mise à disposition en libre diffusion de ses bulletins hebdomadaires d’actualité, le CERTA ouvre un nouveau service dénommé ‘les mémentos du CERTA’. L’usager y trouvera des exemples de documents qu’il pourra personnaliser et adapter à son contexte. Le tout premier mémento publié porte sur les virus. http://www.certa.ssi.gouv.fr/ De son coté, Mark Russinovich, l’auteur des célèbres outils Windows édités par la société SysInternals dont ‘Process Explorer’, a décidé de partager son expérience par le biais d’un blog personnel. Parmi tous les sujets déjà traités depuis mai dernier, celui publié dimanche 24 juillet nous a particulièrement intéressé. Intitulé ‘Running Windows with No Services’, cet article prouve qu’un environnement Windows XP peut parfaitement fonctionner avec, en tout et pour tout, quatre services actifs. Il s’agit cependant ici d’une approche purement expérimentale: un tel environnement est obtenu non par configuration mais par destruction des services sur un système standard, la majorité des fonctions d’administration n’étant alors plus accessibles. http://www.sysinternals.com/Blog/ Nous terminerons ce très rapide tour d’horizon des faits marquants en signalant l’hommage rendu par le MoD (le ministère de la défense britannique) à Marian Rejewski. Un nom inconnu de tous, à l’exception peut être de quelques passionnés de l’histoire de la cryptographie durant la seconde guerre mondiale et des lecteurs de l’édition révisée de l’ouvrage ‘The CodeBreakers’ de David Kahn, la version initiale ayant été publiée avant que l’histoire de cette personne ne soit révélée. Le lieutenant du corps des transmissions de l’armée polonaise Marian Rejewski est à l’origine du procédé ayant permis de décrypter les messages transmis par l’armée allemande et chiffrés à l’aide du système Enigma. Commencé en Pologne dès 1932, son travail d’analyse s’est poursuivi en France puis en Algérie de 1939 à 1942 et enfin en Angleterre de 1943 jusqu’à la fin de guerre. Il aura fallu attendre les années 1970 pour que cette histoire couverte par le secret militaire, et par de sombres intérêts politiques - des copies de la machine Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 5/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Enigma ayant été volontairement diffusées dans les pays membres du Commonwealth - commence à être révélée. Marian Rejewski est mort en 1980. http://news.mod.uk/news/press/news_headline_story.asp?newsItem_id=3339 http://en.wikipedia.org/wiki/Marian_Rejewski Nous souhaitons de bonnes vacances d’été à nos lecteurs qui ne seraient pas encore partis, et une bonne reprise d’activité aux autres. L’équipe de Veille Technologique Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 6/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 PR RO OD DU UIIT TS SE ET T TE EC CH HN NO OL LO OG GIIE ES S LES PRODUITS AUDIT MICROSOFT – MBSA V2.0 # Description En début de mois, Microsoft annonçait la mise à disposition de la version 2 de son outil d’audit et d’analyse dit ‘MBSA’, contraction de ‘Microsoft Baseline Security Analyser’. Rappelons que cet outil a initialement été développé pour Microsoft par la société ‘Shavlik’, cette dernière commercialisant une version plus évoluée sous l’appellation ‘Shavlik Enterprise Inspector’ (Rapports N°66 - Janvier 2004 et N°70 – Mai 2004). L’outil MBSA est destiné à valider, non seulement la bonne installation des correctifs et des mises à jour diffusées via le service Windows Update, mais aussi la bonne application des règles de configuration permettant la mise en place d’une politique de sécurité de référence dite ‘baseline’. Cette nouvelle version se caractérise par les fonctionnalités suivantes: - Compatibilité avec le service Server Update Services dit SUS, - Intégration du procédé d’identification CVE, - Identification de la gravité des problèmes détectés, - Prise en charge des environnements XP Embedded et 64 bits, - Prise en charge des mises à jour Microsoft Office XP, - Assistance pour la recherche des mises à jour et l’identification des actions à engager L’outil MBSA peut être exécuté en mode ligne de commande en utilisant la commande ‘mbsacli.exe’. L’option ‘/h’ permet alors, classiquement, d’afficher l’ensemble des paramètres reconnus ainsi que quelques exemples bien pratiques. Après installation, les exécutables et les fichiers de configuration – hors rapports - occupent moins de 2Mo. La section ‘Checks’ du fichier d’aide en ligne ‘/Help/mbsahelp.htm’ détaille les tests qui sont effectués ainsi que la configuration requise pour les différents modes d’exploitation de l’outil. La lecture de l’intégralité de cette page d’aide, avant toute utilisation de l’outil, est très fortement recommandée. Nous nous permettons de reproduire ci-dessous in extenso la section listant les contrôles effectués: Vérifications des mises à jour de la sécurité L'analyse des mises à jour de sécurité est effectuée sur les ordinateurs avec Windows Server Update Services. MBSA permet l'intégration des administrateurs Update Services et se présente sous la forme d'un outil autonome complet destiné aux informaticiens professionnels. Vérification des mises à jour de sécurité, des correctifs cumulatifs et des SP publiés sur Microsoft Update Vérifications Windows Vérification de l'expiration du mot de passe du compte Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 7/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Recherche du type de système de fichiers sur les disques durs Vérifier si la fonctionnalité Ouverture de session est activée Vérifier si le compte Invité est activé Vérification du paramètre du Registre RestrictAnonymous Vérification du nombre de comptes Administrateur locaux Recherche des mots de passe simples ou vides des comptes d'utilisateurs locaux Vérifier si des services indésirables sont en cours d'exécution Liste des partages disponibles dans l'ordinateur Vérifier si l'audit Windows est activé Vérification de la version Windows exécutée sur l'ordinateur analysé Vérifier si le pare-feu de connexion Internet est activé Vérifier si la fonctionnalité Mises à jour automatiques est activée Vérifier si des mises à jour incomplètes nécessitent le redémarrage de l'ordinateur Vérifications IIS Vérifier si l'outil de verrouillage IIS (version 2.1) a été exécuté sur l'ordinateur Vérifier si des exemples d'applications IIS sont installés Vérifier si les chemins d'accès aux répertoires parents IIS sont activés Vérifier si le dossier virtuel IIS Admin est installé Vérifier si les répertoires virtuels MSADC et Scripts sont installés Vérifier si la journalisation IIS est activée Vérifier si les services Internet (IIS) sont exécutés sur un contrôleur de domaine Vérifications SQL Server Vérifier si le groupe Administrateurs est répertorié en tant que membre du rôle Sysadmin Vérifier si le rôle est limité exclusivement à Sysadmin Vérifier si SQL Server est exécuté sur un contrôleur de domaine Vérifier si le mot de passe du compte d'administrateur système (sa) est exposé Vérification des autorisations d'accès des dossiers d'installation de SQL Server Vérifier si le compte Invité a accès aux bases de données <check5339.html> Vérifier si le groupe Tout le monde a accès aux clés du Registre SQL Server Vérifier si les comptes de service SQL Server sont membres du groupe Administrateurs local Vérifier si les comptes SQL Server utilise des mots de passe simples ou vides Vérification du mode d'authentification de SQL Server Vérification du nombre de membres du rôle Sysadmin Vérifications des applications bureautiques Liste des paramètres de sécurité Internet Explorer de chaque utilisateur local Vérifier si la configuration de la sécurité renforcée Internet Explorer est activée pour les administrateurs Vérifier si la configuration de la sécurité renforcée Internet Explorer est activée pour des utilisateurs Liste des paramètres de sécurité des produits Microsoft Office de chaque utilisateur local L’étude détaillée des fichiers livrés avec MBSA conduit à identifier deux fichiers permettant, semble-t-il, de modifier certaines options non détaillées dans l’interface. Le fichier ‘NoExpireOk.txt’ contient la liste des comptes pour lesquels le contrôle de la présence d’une date d’expiration ne sera pas effectué. Le fichier ‘Services.txt’ regroupe lui les noms des services dont l’état – arrêté ou démarré – sera précisé dans le rapport d’analyse. Le tableau suivant est issu de la table comparative accessible sur le site de chargement de l’outil MBSA. Sont mises en évidence les différences entre les versions MBSA 1.2.1 (Rapport N°66 - Janvier 2004), MBSA 2.0 et l’utilitaire ‘Enterprise Update Scan Tool’ dit ‘EST’ par ailleurs librement accessible dans sa version 2.0 datée du 14 juin 2005. Produits MBSA Windows 2000 SP3 ou SP4 Windows XP Windows Server 2003 Windows Server 2003 64bits Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 2.0 X X X X EST 1.2.1 X X X Page 8/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Windows XP 64bits Windows XP Embedded Edition Windows Messenger Windows Media Player 10 DirectX .NET Framework FrontPage Server Extensions (Office XP et suivant) Script 5.1, 5.5, 5.6 Outlook Express SQL Server 2000 SP4 Exchange 2000 SP3 Office XP Word Viewer 2003 (MS05-023) MSN Messenger (MS05-009, MS05-022) Visual Studio 2002, 2003 FoxPro 8.0 ISA Server 2000 (MS05-034) Services for UNIX (MS05-033) Interactive Training (MS05-031) Picture It!, Digital Image Pro 7.0, 9.0, 2002, Greetings 2002, Producer for PowerPoint (MS04-028) Office 2000 (MS04-027, MS03-050, MS04-033) SQL Server 7.0, 2000 SP3a (MS03-031) Exchange 5.0 (MS05-012), Exchange 5.5 (MS05-012, MS05-029, MS03-046, MS03-047, MS04-026) SQL Server 7.0, 2000 (SP3a uniquement) Host Integration Server 2000, 2004, SNA Server 4.0 BizTalk Server 2000, 2002, 2004 Commerce Server 2000, 2002 Content Management Server 2001, 2002 X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X Les différences en ces outils apparaissent immédiatement et s’expliquent par le projet de fédérer la gestion des mises à jour des produits autour d’un catalogue unique. Depuis la mi-juillet, la dernière version – la version 6 - du service Windows Update offre la possibilité d’accéder à un nouveau service dénommé Microsoft Update, lui aussi en version 6. Ce service permet d’assurer la mise à jour de tous les produits du catalogue et non plus seulement le système d’exploitation et ses principaux composants. Dans l’article consacré à l’outil ‘EST’, Microsoft déclare ainsi que: ‘À long terme, Microsoft sera à même de proposer une détection complète en utilisant le catalogue Microsoft sur tous les outils d'analyse qui exploitent l'infrastructure serveur Windows Update. Ces outils comprennent MBSA 2.0, Microsoft Operations Manager (MOM) et l'Outil d'inventaire de Microsoft Systems Management Server 2003 pour les mises à jour Microsoft. Lorsque le catalogue Microsoft sera complètement rempli, il n'y aura plus besoin de l'outil d'analyse des mises à jour pour l'entreprise.’ On constatera que les utilisateurs ont de quoi se perdre dans le méandre de la stratégie de la gestion des mises à jour (majeures ou mineures, applicatives et/ou systèmes) et des correctifs qu’ils soient de sécurité où non. Pour simplifier, et sauf erreur d’analyse de notre part, l’utilitaire ‘EST’ doit actuellement être considéré comme un correctif destiné à palier les imperfections et erreurs de détection des outils de gestion existant dont l’outil MBSA. L’origine des différences de couverture entre les versions 1.2.1 et 2.0 de ce dernier provient de la période de transition due à la migration de l’architecture. La version MBSA 2.0 s’appuie sur le catalogue central utilisé par Microsoft Update, catalogue qui n’a pas encore été totalement mis à jour, notamment avec les références de correctifs portant sur des produits jusqu’alors non pris en charge. Dans ces conditions, le recouvrement entre les deux versions – deux bases de références – est encore incomplet. Microsoft indique ainsi pudiquement dans la présentation de la version 2.0 de MBSA que: MBSA 1.2.1 and the Enterprise Update Scan Tool (EST) support several products that Microsoft Update may not support when MBSA 2.0 is released. If Microsoft Update does not provide a security update, we will provide users of MBSA 2.0 a way to detect the update. Le lecteur traduira par ‘dans un avenir plus ou moins proche, MBSA 2.0 assurera une couverture complète mais, en attendant, l’exploitant soucieux de garantir la sécurité de son système devra continuer à s’appuyer sur les outils MBSA V1.2.1 et EST’. Fort heureusement, tous ces outils et versions coexistent parfaitement sur un même poste. L’heure de la désinstallation de MBSA V1.2.1 n’est pas encore venue. Nous admettrons que ces contraintes restent accessoires face à l’intérêt pour l’exploitant – mais aussi, il faut le rappeler, pour Microsoft dans le cadre de la gestion des licences – de pouvoir enfin disposer d’un système de gestion des mises à jour cohérent. L’utilisateur se voit ainsi proposer de valider l’authenticité de son installation – le fameux programme ‘Genuine Microsoft Software’ - préalablement au téléchargement de l’outil MBSA 2.0. En cas de refus, le téléchargement reste autorisé mais Microsoft annonce qu’à terme les chargements ne seront pas aussi performants et que certaines mises à jour pourront être refusées … # Complément d'information http://www.microsoft.com/technet/security/tools/mbsahome.mspx Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés - Outil MBSA 2.0 Page 9/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 http://support.microsoft.com/kb/894193/ http://www.microsoft.com/technet/security/tools/mbsa2/datasheet.mspx#EFAA http://support.microsoft.com/?scid=kb;en-us;895660 http://www.microsoft.com/genuine/downloads/whyValidate.aspx - Outil EST - Spécifications - Informations détaillées - Genuine Microsoft Software OWASP – WEBSCARAB # Description A l’occasion de la conférence OWASP Europe 2005, Rogan Dawes présentait une nouvelle version de ‘WebScarab’, un outil Java facilitant l’audit des applications WEB ainsi que la journalisation des échanges HTTP et HTTPS entre un client et un serveur WEB (Rapport N°83 – Juin 2005). Prenant la forme d’une passerelle applicative – ou Proxy dans le jargon – ‘WebScarab’ peut être aisément enrichi en terme de fonctionnalités par le biais de modules d’extension. La version présentée en juin dernier contenait ainsi les quatre modules suivants: - Fragments: ce module permet d’extraire les scripts et les commentaires HTML des pages collectées, - SessionID: ce module permet de collecter les cookies ou tout autre paramètre évolutif afin de déterminer la qualité aléatoire et la non prédictibilité. - Spider: ce module permet de collecter les URL référencées sur le site. - Proxy: ce module permet d’observer mais aussi de modifier le trafic échangé entre le client et le serveur. Les flux HTTPS sont gérés par le biais de l’établissement d’une session SSL entre le client et le proxy. Divers modules spécifiques permettent d’automatiser les opérations à effectuer sur les requêtes et/ou réponses, de transformer les champs cachés en champs de texte éditables plus faciles à manipuler, ou encore de réduire le débit des échanges afin de simuler une connexion effectuée depuis une liaison à très bas débit. La nouvelle version qui vient d’être diffusée intègre trois nouveaux modules: - Fuzzer: ce module autorise la génération et l’envoi des combinaisons de différents paramètres préalablement définis. Il est ainsi possible de tester le comportement et la robustesse d’une application face à des combinaisons de paramètres inattendues ou si situant hors du domaine de validité. - Search: ce module permet d’exécuter un script quelconque en lui fournissant en paramètre le contenu d’une requête, et son origine, ainsi que la réponse à cette requête. Les conversations pour lesquelles le script aura retourné la valeur ‘True’ seront affichées. - Compare: ce module permet de comparer une conversation de référence à l’une des conversations acquises. La méthode retenue pour assurer cette comparaison repose sur une mesure de distance prenant en compte le nombre de mots à ajouter, modifier ou enlever pour passer de la conversation de référence à la conversation étudiée. L’auteur lance un appel à la communauté pour identifier un composant java en licence GPL ou LGPL permettant d’effectuer cette comparaison et de présenter les résultats graphiquement. L’utilitaire ‘WebScarab’ fonctionne non seulement parfaitement mais il offre de nombreuses fonctionnalités d’analyse et de décodage qui en font un remarquable outil de déboguage et d’audit, et ceci en n’imposant d’autres contraintes que la disponibilité d’une machine virtuelle java sur le poste. Il se positionne en concurrent sérieux d’outils tels Paros, ou encore Fiddler dédié à l’environnement Internet Explorer. On notera à ce propos qu’une nouvelle version de Fiddler (version 1.0.0) est disponible depuis début Juillet (Rapport 81 - Avril 2005). Détail d’une conversation Cette dernière version corrige divers bogues mineurs mais n’offre hélas toujours pas le support du protocole HTTPS. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 10/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Visualisation de l’ensemble des conversations # Complément d'information http://www.owasp.org/software/webscarab.html IDEFENSE – MULTIPOT V0.3 # Description Le 14 juillet dernier, la société iDefense confirmait son rachat par la société Verisign et dans le même temps, son entité R&D annonçait dans de multiples listes de diffusion la mise à disposition du pot de miel ‘MultiPot’ dont une première version non publique a été développée dès 2004. Ce pot de miel, fonctionnant en environnement Windows, a été spécialement conçu pour émuler certains services illicites installés par différents codes malicieux, et ainsi, faciliter la collecte des données transmises. Incidemment, cet utilitaire facilitera la détection de la présence de ceux-ci sur les postes d’un réseau local Dans sa version courante, MultiPot émule sept services correspondant à des services connus, ou à des portes dérobées illégales: # La porte dérobée installée par le virus MyDoom sur le port TCP/3127, # La porte dérobée installée par le cheval de Troie Optix sur le port TCP/2060, le port TCP/500 étant aussi surveillé ici, # La porte dérobée installée par le virus Bagle en écoute sur le port TCP/2745. Le port TCP/12345 normalement associé au cheval de Troie NetBus étant lui aussi surveillé. # La porte dérobée installée par le virus Kuang2 en écoute sur le port TCP/17300, # Le point de connexion de l’outil de prise de contrôle à distance SubSeven sur le port TCP/27347, # Le service associé à l’outil de sauvegarde ‘Veritas Backup Exec’ qui utilise les ports TCP/6101 et TCP/10000. # Le service LSASS qui utilise le port TCP/445 par défaut, objet de nombreuses tentatives d’exploitation. Dans le cas présent, l’activation de l’émulation nécessite que le service original ne soit pas actif sur le poste. Pour mémoire, et dans le cas du service TCP/445, il suffira d’exécuter la commande ‘net stop rdr’ puis ‘net stop netbt’ sur le poste. L’émulation de tous ces services autorise, au minimum, l’engagement des échanges initiaux avec le client sans toutefois offrir l’ensemble des fonctionnalités proposées par le service original. La lecture des sources révèle que ces Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 11/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 fonctionnalités vont de la simple acceptation d’une connexion jusqu’à un échange d’authentification assez complet, ce qui est par exemple le cas du service SubSeven. Un mécanisme de protection, dit ‘Anti-Hammer’, permet d’interdire, pour une durée paramétrable, l’accès à un service par une adresse IP déjà détectée sur celui-ci. Cette fonction permet d’éviter de saturer le pot de miel par les tentatives de re-connexion que pourraient effectuer les clients distants. L’outil offre par ailleurs la possibilité de bannir certaines adresses IP. Un journal permet de conserver l’historique de toutes les tentatives d’accès ayant été détectées avec un niveau de détail configurable. Les données échangées durant la phase de connexion sont sauvegardées dans des fichiers enregistrés sous un répertoire portant le nom du service utilisé. Dans le cas de l’émulation d’un service vulnérable – dans la version actuelle les services ‘LSASS’ et ‘Veritas’ – le ShellCode transmis est non seulement analysé mais aussi conservé pour analyse ultérieure. Afin de limiter les risques de déni de service liés à cette fonctionnalité de journalisation, la taille maximale d’un fichier de sauvegarde est limitée à 3Mo. On regrettera que le répertoire utilisé par le système de journalisation ait un nom (‘honeypot’ ) et une localisation imposée (la racine du volume système), et ce, quel que soit l’emplacement de l’exécutable. De la qualité de l’émulation dépend le taux de réussite de la capture, et particulièrement dans le cas de l’émulation de services vulnérables. Idéalement, le mécanisme d’émulation devrait être à même d’adapter dynamiquement son comportement pour tenir compte des altérations induites par l’exploitation de la vulnérabilité et l’exécution du ShellCode. Dans bien des cas, ce dernier active une porte dérobée, ou engage un transfert de données sur les protocoles HTTP ou FTP, actions que l’émulation devra reproduire pour leurrer l’agresseur et collecter encore plus de données. Sans aller jusqu’à ce niveau de détails dans l’émulation, cette évolution est inscrite dans le plan de développement des prochaines versions, ‘MultiPot’ intègre un mécanisme fort astucieux permettant d’analyser statiquement le code d’exploitation reçu afin de détecter des séquences caracté-ristiques significatives d’un comportement connu: - ouverture d’un interpréteur de commande ‘CMD.EXE’ sur un port TCP/IP local, - ouverture d’un port TCP/IP et sauvegarde des données dans un fichier stocké sur le disque, - présence d’URL utilisant les protocoles HTTP, FTP, TFTP ou d’un séquence de type ‘echo’, - téléchargement d’un fichier par le biais du protocole ‘tftp’, - séquences spécifiques à certaines vulnérabilités, en l’occurrence, celles du service Veritas. Lorsque l’une des ces caractéristiques est découverte dans le code reçu, un gestionnaire spécifique va engager les actions requises pour maintenir active la session et collecter les données – en général un exécutable - en reproduisant le comportement attendu. L’utilitaire ‘MultiPot’ pourra ainsi, par exemple, rapatrier automatiquement la ressource référencée par une URL dans le code d’exploitation. Une interface accessible via l’option ‘Test shellcode handlers’ permet de valider le comportement des cinq gestionnaires livrés avec l’utilitaire face à un quelconque ‘shellcode’. L’auteur de ‘MultiPot’ décrit de manière synthétique dans le fichier d’aide la technique à employer pour écrire un nouveau gestionnaire. Il précise cependant que l’approche qu’il a retenue souffre de nombreuses limitations qu’il envisage pouvoir lever avec un nouveau procédé actuellement intégré à l’un des outils de la boîte à outil ‘MAP’ tout juste mise à disposition. Un second mécanisme permet d’identifier l’exécutable collecté en appliquant un classique procédé de recherche d’une signature caractéristique - dans la version courante la taille de l’exécutable - référencée dans une base de données livrée avec l’utilitaire. Quelques 159 codes sont actuellement identifiés dans cette base au format ‘mdb’ et donc lisible avec ‘Microsoft Access’. Cette même base est utilisée pour conserver l’historique des codes collectés. Ces exécutables sont sauvegardés dans le répertoire d’archivage associé au service émulé, ceux ayant fait l’objet d’une identification positive sont présentés dans la fenêtre principale du produit. Un menu contextuel permet alors de copier le fichier, de modifier son nom, d’éditer son contenu avec un éditeur hexadécimal ou encore de recherche les données d’enregistrement de l’adresse IP source de l’agression via le service ‘WhoIs’. Cette dernière option fait appel à un client ‘whois’ externe et non livré avec le paquetage. L’appel à ce client utilise la syntaxe de l’utilitaire Unix reconnue par de nombreux portages sous Windows. Pour notre part, nous avons utilisé la version libre proposée dans le paquetage ‘INET32UT.zip’ accessible sur de nombreux serveurs d’archives. Nous avons testé ‘MultiPot’ en installant celui-ci sur un système Windows XP préalablement reconfiguré pour désactiver tous les services non indispensables dont ceux utilisant le port TCP/445. Cette machine a ensuite été connectée directement sur l’Internet sans aucune protection spécifique. Nous avons ainsi pu collecter un exécutable de 127Ko et cinq ShellCode différents - en moins de deux heures, tous sur le service générique ‘LSASS’. Cinq systèmes à l’origine de ces nuisances ont occasion pu être identifiés par la même. Entièrement écrit en Visual Basic 6.0 et livré avec toutes les sources, cet utilitaire permet de disposer d’un excellent outil d’observation et de collecte en environnement Windows, gratuit et d’une installation on ne peut plus simple. On regrettera l’absence de finitions (fenêtre principale mal dimensionnée sous Windows XP, journalisation imprécise ou difficilement lisible dans certains cas), ainsi que certains choix de conception limitant la capacité d’évolution et la modularité du produit. Le passionné pourra toutefois aisément y intégrer ses propres fonctionnalités dont, pourquoi pas, de nouvelles émulations. Il devra cependant préalablement installer les librairies ‘Ado developers Kit’ et ‘Vb developers Kit’ gracieusement mises à disposition par l’éditeur ‘SandSprites’. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 12/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 # Complément d'information http://www.idefense.com/iia/labs-software.jsp http://sandsprite.com/products.html - Multipot - Librairies complémentaires SERVICES DE SECURITE DCSSI – CATALOGUE DES PRODUITS QUALIFIES V3.0 # Description La DCSSI vient de publier une nouvelle version de son ‘catalogue des produits qualifiés’. Celui-ci regroupe les différentes attestations de sécurité ayant été délivrées par la DCSSI et correspondant, soit à une certification de type ‘Critère Communs’, soit à une qualification établie en référence à l’un des trois niveaux définis par la DCSSI (standard, renforcé ou élevé), soit encore à un agrément ou à une caution jugeant de l’aptitude à assurer la protection d’informations classifiées ou d’informations sensibles. Malgré un passage du numéro de version de 2.4 à 3.0, ce catalogue n’a subi aucune évolution majeure, ni sur le fond ni dans la forme. Il recense toujours les produits dits ‘d’usage général’ qualifiés ou en cours de qualification. La liste complète des produits certifiés au titre du décret 2002-535, relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information, est publiée séparément sur le site du SSI. Les produits recensés dans cette nouvelle version du catalogue sont au nombre de 16 (16 dans la version 2.4) répartis comme suit: Produit Editeur Security Crypto Box MSI TrustWay PCI BULL Certification EAL4+ élevé EAL4+ élevé Qualification Standard Elevé Catégorie Ressources Cryptographique Ressources Cryptographique Fast Fox Sis Netwall V6.2 ARKOON Thalès ACE BULL EAL2+ E4 moyen E3 moyen EAL2+ visé Standard En préparation Firewall Firewall Firewall Firewall NETASQ IPS V5 M>Tunnel Mistral TrustWay VPN NETASQ EADS THALES BULL EAL2+ EAL2+ EAL3+ EAL2+ Standard Standard Standard Standard Chiffrement Chiffrement Chiffrement Chiffrement IDEAL’X IGC KeyOne MetaPKI IDX PKI EADS BULL EAL2+ visé EAL2+ visé EAL2+ visé En préparation En préparation En préparation IGC IGC IGC Applatoo AnySign Fast Signature Personal CAT PDF FT DICTAO CdC Silcor EAL2+ EAL3+ visé EAL2+ visé EAL3+ visé Standard préparation En préparation En préparation Signature Signature Signature Signature Secphone ERCOM EAL2+ visé Lancée 07/04 Téléphonie Légende: C: Obtention de la certification T: Changement de TOE Q: Obtention de la qualification N: Nouvel entrant V3.0 D D IP / Firewall IP IP IP C/Q C/Q T N D: Disparu Deux nouvelles certifications ont été délivrées (‘Mistral’ de Thalès au niveau EAL3+ et ‘Applatoo’ de France Telecom au niveau EAL2+) associées à la qualification au niveau de sécurité standard de ces deux même produits. La cible de sécurité d’un produit a été modifiée (‘AnySign’ de Dictao). On notera que le produit ‘Fox’ de Thalès, mystérieusement disparu de la version 2.4 du catalogue, réapparaît dans cette édition mais que les produits ‘SIS’ d’ACE et ‘Netwall’ de Bull disparaissent à leur tour ! # Complément d'information http://www.ssi.gouv.fr/fr/politique_produit/catalogue/index.html http://www.ssi.gouv.fr/fr/politique_produit/catalogue/catalogue.zip http://www.ssi.gouv.fr/fr/confiance/certificats.html http://www.ssi.gouv.fr/fr/confiance/pp.html http://www.ssi.gouv.fr/fr/confiance/evaluations.htm Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés - Présentation du catalogue - Catalogue Version 3.0 (30Mo) - Produits certifiés Critère Communs - Profils de protection validés - Profils de protection en cours d’évaluation Page 13/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 LES TECHNOLOGIES PROTECTION UCAM – SECURITE DES COMPOSANTS MATERIELS # Description Publié en avril dernier, le Technical Report N°630 du laboratoire informatique de l’université de Cambridge s’avère probablement devoir devenir ‘la référence’ en matière de techniques d’attaque des assemblages de composants électroniques: cartes à puce, clefs USB et autres dispositifs de sécurité à base de microcontrôleurs … Publié par Sergei Skorobogatov dans le cadre d’un travail présenté en septembre 2004 pour l’obtention d’un doctorat, ce rapport de 144 pages s’intitule ‘Semi-Invasive attacks – A new approach to hardware security analysis’. On rappellera que ce chercheur s’était déjà fait remarquer en publiant dès 2001 un rapport d’expérimentation concernant la résistance des dispositifs ‘anti-copie’ embarqués dans la plupart des microcontrôleurs (Rapport N°39 – Octobre 2001) puis en 2002 avec une remarquable étude qui mettait en évidence la facilité avec laquelle l’état d’un bit de mémoire statique peut être modifié sous réserve, toutefois, d’avoir préalablement ‘pelé’ le circuit objet de l’attaque (Rapport N°46 – Mai 2002). Son dernier rapport doit être considéré comme étant une remarquable compilation d’une partie de l’expérience accumulée depuis les années 2000 par la division ‘Tamper’ - dont le responsable n’est autre que le célèbre expert Ross Anderson - dans le domaine de l’analyse de la résistance des dispositifs électroniques aux attaques et atteintes externes. ‘Tamper’ vaut ici pour l’acronyme bien choisi de ‘Tamper And Monitoring Protection Engineering Research’. Dans ces conditions, le terme ‘new’ présent dans l’intitulé du rapport n’aura d’autre valeur que la mise en évidence d’un travail innovant dans ce domaine, les techniques présentées étant, à quelques exceptions, déjà couramment utilisées dans nombre de laboratoires d’analyse et de certification. Le mérite de ce rapport est de démontrer qu’il n’est point nécessaire de disposer d’un laboratoire et d’outillages hors de prix pour mener à bien de nombreuses attaques. Ainsi, de nos jours, et en s’appuyant sur les services d’un célèbre site d’enchères en ligne, nous considérons qu’un amateur, bon bricoleur, pourra se procurer la quasi-totalité des matériels de mesure requis pour moins de 1000€. Certains instruments optiques et matériels de micro-soudure ultrasonique sont régulièrement proposés à la vente à des prix modiques sur la version anglo-saxonne de ce site. Fort heureusement, et l’auteur le précise dès le second chapitre, les techniques de protections ont considérablement évolué aussi bien sur le plan de la protection contre l’intrusion physique et de l’accès direct aux données que sur celui de l’analyse des effets de bords induits par les caractéristiques même du circuit notamment sur sa consommation. On appréciera particulièrement les microphotographies des différents dispositifs de protection qui accompagnent ce chapitre et dont un exemple est proposé ci-contre. Dans ce domaine, comme dans celui de la protection contre l’intrusion physique classique, les procédés sont en constante évolution afin de parer aux dernières techniques d’attaque. Les trois grandes catégories d’attaques –passive, semi-intrusive et intrusive - sont abordées dans le détail, l’auteur montrant une nette prédilection pour les microcontrôleurs d’origine MicroChip - 12C50x et 16F84 – fer de lance de nombreux développements il y a quelques années mais désormais considérés comme obsolètes. Ce choix expliqué par la date d’engagement de l’étude n’en invalide nullement les résultats, et les procédés décrits restent parfaitement valables dans bien des cas, en particulier lorsque l’aspect sécuritaire n’a pas été suffisamment intégré dans la phase de conception, ou lorsque des contraintes pratiques interdisent l’évolution du cœur du système, le microprocesseur. Le chapitre ‘8’ consacré aux parades est fort intéressant, en particulier la section ‘8.1’ intitulée ‘Unmarking, Remarking and Repackaging’ que nous pourrions traduire sans grand contresens par ‘la sécurité par l’obscurité’. Les exemples pratiques cités sont extraordinaires car mettant en avant l’incroyable naïveté de certains concepteurs qui auront pourtant engagé un effort conséquent pour protéger leur conception: si le fond est bon, la manière ne l’est pas. On admirera ainsi le procédé consistant à couper le boîtier en éliminant les connexions non utilisées puis à câbler celui-ci la face du dessus dessous et enfin à sérigraphier une référence quelconque afin d’induire en erreur les personnes mal intentionnées ! La table des matières détaillée de cet ouvrage présenté ci-après révèle l’étendue des techniques abordées par l’auteur: 1 Introduction 1.1 Previous work and knowledge 1.2 The subject of hardware security 1.3 Motivation and overview 2 Background 2.1 Security evolution in silicon chips 2.1.1 Memory types 2.1.2 Types of security protection Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 14/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 2.2 Developers and attackers 2.3 Failure analysis techniques 3 Attack technologies 3.1 Introduction 3.1.1 Protection levels 3.1.2 Attack categories 3.1.3 Attack scenarios 3.2 Non-invasive attacks 3.3 Invasive attacks 3.4 Semi-invasive attacks 4 Non-invasive attacks 4.1 Obscurity vs security 4.2 Timing attacks 4.3 Brute force attacks 4.4 Power analysis 4.5 Glitch attacks 4.5.1 Clock glitches 4.5.2 Power glitches 4.6 Data remanence 4.6.1 Low temperature data remanence in SRAM 4.6.2 Data remanence in non-volatile memories 4.6.3 Requirements for reliable data deleting from memory 5 Invasive attacks 5.1 Sample preparation 5.1.1 Decapsulation 5.1.2 Deprocessing 5.2 Reverse engineering 5.2.1 Optical imaging for layout reconstruction 5.2.2 Memory extraction 5.3 Microprobing 5.3.1 Laser cutter 5.3.2 FIB workstation 5.4 Chip modification 6 Semi-invasive attacks 6.1 UV attacks 6.1.1 Locating the security fuses 6.1.2 Toothpick attack 6.1.3 EEPROM and Flash issues 6.2 Backside imaging techniques 6.3 Active photon probing 6.3.1 Laser scanning techniques 6.3.2 Reading the logic state of CMOS transistors 6.4 Fault injection attacks 6.4.1 Changing SRAM contents 6.4.2 Non-volatile memory contents modification 6.5 Modelling the attacks 6.5.1 Modelling the logic state reading 6.5.2 Modelling the fault injection attack 7 Hardware security analysis 7.1 Evolution against UV attacks 7.2 Semi-invasive analysis of different security implementations 7.2.1 Using laser scanning technique for analysis 7.2.2 Using fault injection technique for analysis 8 Defence technologies 8.1 Unmarking, remarking and repackaging 8.2 Multilevel and multipoint protection 8.3 Burning access circuit and destroying test interface 8.4 Smartcards and tamper protection 8.5 Asynchronous logic 9 Conclusion and further work Appendix. Overview of different microcontrollers and smartcards Glossary Bibliography Il va sans dire que tout lecteur un tant soit peu intéressé par l’électronique, et les microcontrôleurs en particulier, dévorera comme nous l’avons fait cette véritable bible du reverse-engineering et de la sécurité matérielle. # Complément d'information http://www.cl.cam.ac.uk/~sps32/ http://www.cl.cam.ac.uk/TechReports/UCAM-CL-TR-630.pdf http://www.ftp.cl.cam.ac.uk/ftp/users/rja14/faultpap3.pdf Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés - Page d’accueil de l’auteur - Rapport TR-630 - Etude ‘Optical Fault Induction attacks’ Page 15/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 http://www.cl.cam.ac.uk/~sps32/mcu_lock.html http://www.cl.cam.ac.uk/~sps32/mcu_sec.html - Etude ‘Copy Protection in Modern Microcontrollers’ - Etude ‘Using Semi-Invasive Attacks for Reverse Engineering’ SEAGATE – DISQUES CHIFFRANTS # Description La société Seagate, fournisseur de disques dur bien connu, annonce la disponibilité d’une famille de disques durs 2.5’’ disposant d’un mécanisme de chiffrement embarqué. La série ‘Momentus 5400 FDE’ (Full Disk Encryption) référence des disques d’une capacité de 40, 60, 80, 100 et 120 Go conçus plus particulièrement pour les systèmes mobiles. En dehors de la maîtrise technologique requise pour concevoir et intégrer un composant de chiffrement à très haut débit dans un équipement de très faible taille, cette offre n’a rien de très innovant mais répond à un réel besoin. Dès les années 90, des contrôleurs chiffrant ST506 puis IDE étaient proposés par quelques grandes sociétés spécialisées puis par divers fournisseurs de portables. La réduction de la taille des composants et l’augmentation des performances des bus d’accès ne pouvaient que conduire à l’intégration d’un tel composant au plus près du disque. Les spécifications techniques montrent que le débit offert ne souffre nullement des opérations de chiffrement/déchiffrement effectuées au fil de l’eau, et ce malgré l’utilisation d’un chiffrement de type 3DES, et de l’algorithme IDEA pour les prochaines évolutions. Aucune information précise n’est actuellement disponible sur les fonctionnalités de gestion et les contraintes associées à l’activation de ce dispositif. Il est fort probable que celle-ci soit liée à la commande ‘SECURITY SET PASSWORD’ définie dans les spécifications de l’interface d’accès au bus ATA, dite ‘ATAPI’. Dans ce cas, la simple saisie d’un mot de passe par l’utilisateur sur les systèmes disposant d’un BIOS gérant cette commande permettrait d’activer le chiffrement au fil de l’eau en s’appuyant sur une clef dérivée du mot de passe saisi, et probablement d’informations complémentaires spécifiques au disque. L’annonce commerciale laisse entendre qu’un mécanisme de recouvrement serait intégré au produit pour autoriser la récupération des données par l’entreprise en cas de problème. # Complément d'information http://www.seagate.com/cda/newsinfo/newsroom/releases/article/0,,2732,00.html http://www.seagate.com/content/docs/pdf/marketing/PO-Momentus-FDE.pdf http://www.seagate.com/support/disc/manuals/ata/d1153r17.pdf Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés - Annonce commerciale - Spécification du disque - Interface d’accès logique ATA Page 16/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 IN NF FO OR RM MA AT TIIO ON NS SE ET T LE EG GIIS SL LA AT TIIO ON N LES INFORMATIONS TENDANCES SANS – TOP20 2005– LISTE INTERMEDIAIRE Q2 # Description Depuis maintenant quatre années, et en collaboration avec le NIPC, le Sans Institute propose une liste des dix vulnérabilités les plus critiques en environnement Windows et UNIX. Dénommée ‘Sans TOP20 Internet Security Vulnerabilties’, cette liste est établie de manière consensuelle par une équipe d’experts qui considèrent que les vulnérabilités qui y sont inscrites doivent faire l’objet d’une attention toute particulière. Elle est officiellement publiée en octobre. Les tableaux suivants présentent les listes publiées en 2003 et 2004. W1 W2 W3 W4 W5 W6 W7 W8 W9 W10 U1 U2 U3 U4 U5 U6 U7 U8 U9 U10 Windows 2003 Internet Information Services (IIS) Microsoft SQL Server (MSSQL) Windows Authentication Internet Explorer (IE) Windows Remote Access Services Microsoft Data Access Components (MDAC) Windows Scripting Host (WSH) Microsoft Outlook and Outlook Express Windows Peer to Peer File Sharing (P2P) Simple Network Management Protocol (SNMP) Unix 2003 BIND Domain Name System Remote Procedure Calls (RPC) Apache Web Server Auth. Accounts with no pass. or weak passwords Clear Text Services Sendmail Simple Network Management Protocol (SNMP) Secure Shell (SSH) Misconfiguration of Enterprise Services NIS/NFS Open Secure Sockets Layer (SSL) Windows 2004 Web Servers & Services Workstation Service Windows Remote Access Services Microsoft SQL Server (MSSQL) Windows Authentication Web Browsers File-Sharing Applications LSAS Exposures Mail Client Instant Messaging Unix 2004 BIND Domain Name System Web Server Authentication Version Control Systems Mail Transport Service Simple Network Management Protocol (SNMP) Open Secure Sockets Layer (SSL) Misconfiguration of Enterprise Services NIS/NFS Databases Kernel La liste publiée en 2004 reflète une évolution dans l’organisation du TOP20 puisque ce sont désormais majoritairement des catégories de vulnérabilités qui sont référencées en lieu et place de vulnérabilités spécifiques. En mai 2005, face à l’augmentation conséquente du nombre de vulnérabilités, les responsables du projet décidaient de publier chaque trimestre une liste intermédiaire contenant les vulnérabilités critiques nécessitant une intervention immédiate. Afin d’assurer une continuité avec la démarche engagée, les vulnérabilités présentées dans cette liste trimestrielle sont rattachées, lorsque cela est possible, à l’une des catégories de la liste TOP20. On notera, à cette occasion, la définition d’au moins une nouvelle catégorie qui sera probablement intégrée à la nouvelle liste TOP20 attendue pour le mois d’octobre 2005. Une synthèse des listes trimestrielles publiées en mai puis en juillet dernier est proposée dans les tableaux suivants: Liste Q1 2005 Windows License Logging Service Overflow Microsoft Server Message Block(SMB) Vulnerability Internet Explorer Vulnerabilities Microsoft HTML Help ActiveX Control Vulnerability Microsoft DHTML Edit ActiveX Remote Code Execution Microsoft Cursor and Icon Handling Overflow Microsoft PNG File Processing Vulnerabilities Computer Associates License Manager Buffer Overflows DNS Cache Poisoning Vulnerability Multiple Antivirus Products Buffer Overflow Vulnerabilities Oracle Critical Patch Update Multiple Media Player Buffer Overflows (RealPlayer, Winamp and iTunes) Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés (MS05-010) (MS05-011) (MS05-014) (MS05-008) (MS05-001) (MS05-013) (MS05-002) (MS05-009) W3 W3 W6 W6 W6 W6 W10 Wi Wi Wi Wi Wi Page 17/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Wi Catégorie proposée pour le TOP20-2005 sous l’intitulé ‘Vulnerabilities in Cross Platform Applications’ Liste Q2 2005 Microsoft Internet Explorer Multiple Vulnerabilities Microsoft Exchange Server Extended Verb Overflow Windows Message Queuing Service Overflow Windows SMB Protocol Processing Overflow Windows HTML Help File Parsing Overflow Windows Shell Remote Code Execution Computer Associates BrightStor ARCServe Backup Overflow Veritas Backup Software Multiple Vulnerabilities Computer Associates and Zone Alarm Vet Library Overflow Oracle Cumulative Update April 2005 RealNetworks RealPlayer Multiple Vulnerabilities Apple iTunes MPEG4 File Processing Overflow Mozilla and Firefox Browsers Multiple Vulnerabilities Apple Cumulative Security Update 2005-005 and 2005-006 (MS05-020) (MS05-025) (MS05-021) (MS05-017) (MS05-027) (MS05-026) (MS05-016) ND ND ND ND ND ND ND ND ND ND ND ND ND ND # Complément d'information http://www.sans.org/top20/ CSI/FBI – 2005 COMPUTER CRIME AND SECURITY SURVEY # Description Pour la 10ième année consécutive, le CSI (Computer Security Institute) et le FBI (Federal Bureau of Investigation) nous proposent le résultat d’une enquête menée conjointement sur la fraude et les atteintes à la sécurité et intitulée ‘Computer Crime and Security Survey’. Jusqu’en 2003, cette enquête offrait une référence pour qui souhaitait disposer de chiffres précis et d’un historique fiable permettant d’établir une analyse de tendance réaliste, le questionnaire utilisé n’ayant alors subi que peu de modifications. L’enquête conduite en 2004 bouleversait hélas cette belle stabilité, nombres de questions ayant été modifiées voire même remplacées et regroupées autours des 6 thèmes suivants : 1. Les aspects budgétaires 2. La fréquence, la nature et le coût des failles de sécurité 3. Les technologies de sécurité utilisées 4. Les audits de sécurité et les actions de sensibilisation 5. Le partage de l’information 6. Les effets de la loi Sarbanes-Oxley Ainsi, la typologie des technologies de sécurité, inchangée depuis plus de 5 ans, était partiellement redéfinie, cinq des onze catégories étant profondément modifiées. L’établissement d’une tendance à long terme devenait en conséquence quelque peu problématique. Fort heureusement, l’enquête menée cette année auprès de 700 personnes (494 en 2004, 530 en 2003, 503 en 2002), et publiée à la mi-juillet, a conservé la même structure permettant ainsi de rétablir une analyse de tendance fiable. On notera immédiatement l’augmentation conséquente du nombre de personnes interrogées (+40%) mais aussi l’important baisse enregistrée (-22%) sur l’utilisation – annoncée – de mécanismes détection et de blocage en temps réel des activité réseau illicites, mécanismes regroupés dans la catégorie ‘Intrusion prevention systems’. Technologies utilisées en % Intitulé 2002 2003 2004 2005 Intitulé $ Biometrics 10 11 11 15 Biometrics $ Encrypted files 58 69 42 46 Encrypted files ≈ Firewalls 89 98 98 97 Firewalls ≈ Anti-Virus software 90 99 99 96 Anti-Virus software $ Intrusion detection 60 73 68 72 Intrusion detection Reusable Password 44 47 56 52 Reusable account/login password % $ Digital IDs 38 49 30 35 PKI $ Encrypted Login 50 58 35 42 Smart card/other OTP Password ≈ Access Control 82 92 71 70 Server based Access Control List $ Physical security 84 91 64 68 Encryption for data in transit % PCMCIA 35 40 45 35 Intrusion prevention systems Nous ne reproduirons pas ici les quelques 24 tableaux et graphiques attachés à chaque question - 18 en 2003 et 23 en 2004 - permettant de comparer les résultats depuis 1999 mais nous conclurons en reprenant les résultats les plus importants présentés en page 3 de l’étude: # Contrairement à l’année dernière, une augmentation de l’utilisation non autorisée de systèmes informatiques est notée quand la réduction de la perte financière provoquée par le cyber-crime est toujours constatée. Ces résultats sont en accord avec l’enquête 2005 E-Crime watch menée par le CERT-CC, les services secrets américain et le magazine CSO et dont les résultats ont été publiés le 20 juillet. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 18/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 # Le nombre d’incidents sur les serveurs WEB est en très nette augmentation (+80%). Les attaques virales continuent d’être la principale source de pertes financières, suivie de près par les pertes dues aux accès non autorisés (+588%), et non plus aux dénis de service comme cela était le cas d’année dernière. # Ce sont désormais 87% des entreprises interrogées qui pratiquent des audits de sécurité contre 82% l’année dernière, un effet de bord probable de la loi Sarbanes-Oxley. # Comme chaque année depuis 2002, une diminution du nombre d’incidents effectivement déclarés est constatée. La raison évoquée par les sociétés interrogées ne change pas: il s’agit toujours d’éviter l’effet négatif d’une telle déclaration sur l’image de marque. # Complément d'information http://i.cmpnet.com/gocsi/db_area/pdfs/fbi/FBI2005.pdf http://www.cert.org/archive/pdf/ecrimesummary05.pdf - Enquête CSI/FBI ‘Computer Crime and Security’ - Enquête CERT/‘USSS/CSO ‘2005 e-Crime Watch Survey’ CONFERENCES CANSECWEST 2005 # Description L’édition 2005 de la célèbre conférence ‘CanSecWest’ s’est tenue du 4 au 5 mai dernier à Vancouver. Nous proposons ici une rapide synthèse des présentations traitant d’un sujet innovant et pour lesquelles les supports sont accessibles sur le site officiel. Nous regrettons l’absence de tout support pour de nombreuses présentations dont la présentation ‘éclair’ – 5 mn et trois transparents - la plus remarquée, celle de Gerardo Richarte de Core Security qui, après avoir prouvé que son appareil photo Canon Powershot utilisait un système d’exploitation MSDOS, s’est permis d’installer sur celui-ci une version du jeu Tetris pour y jouer jusqu’à la fin du temps consacré ! New Security Analysis Techniques Christopher Abad Christopher Abad est le responsable de la recherche chez CloudMark, un éditeur de solutions antispam. Il intervient avec un support de présentation inclassable et superbe, proche d’une performance artistique, dans lequel sont jetées pêlemêle milles et une idées provenant de différentes disciplines scientifiques. Nous apprécions particulièrement cette démarche informelle, et non contrainte, de réflexion transverse et interdisciplinaire dans un monde scientifique moderne où chaque discipline tend à se refermer sur elle-même en s’interdisant d’aller chercher chez les autres les ferments qui lui permettraient d’évoluer. Seconde itération d’une démarche de réflexion engagée à l’occasion de la conférence ‘ToorCon 2004’ sous l’intitulé ‘A Survey of Novel Approaches to Information Security’, cette présentation passionnera le lecteur qui devra cependant faire l’effort requis pour assimiler les concepts exposés mais non détaillés. Le document joint, au format PDF, viendra fort à propos compléter cette présentation, le lecteur pouvant préférer cependant la version précédente bien plus ‘classique’. Les techniques variées suggérées par l’auteur - utilisation d’une transformation ‘1/x’ pour optimiser la représentation de certaines séries de données, procédés statistiques facilitant l’identification de transformations, … - sont regroupées autour des cinq thèmes suivants: # Analyse du comportement, # Classification et méthodes d’analyse, # Procédés de regroupement logique, # Modélisation de l’information, # Révélation de l’identité. Le site personnel de l’auteur ‘The-MathClub.net’ mérite une visite, et en particulier, la section consacrée aux différents outils qu’il a développés. Un algorithme et un utilitaire ont ainsi attiré notre attention: - I-Sushi, un algorithme détaillé dans la présentation, conçu pour identifier les structures hiérarchisées potentiellement présentes dans des données non ordonnées. Cet algorithme est dérivé de l’algorithme Sequitur facilitant la recherche de structures syntaxiques dans des chaînes de caractères. De tels algorithmes répondent au problème de la compression de données en optimisant l’utilisation d’un dictionnaire. S’il est possible de décrire une quelconque séquence par le biais d’une hiérarchie de structures imbriquées, l’élément terminal restant une séquence, et que cette construction puisse être décrite à l’aide d’une séquence de taille inférieure à la taille originale, il y aura intérêt à remplacer la séquence originale par la description des règles de construction. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 19/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Le lecteur intéressé pourra tester les performances de cet algorithme à l’aide de l’application disponible en ligne sur le site ‘www.sequitur.info’. Ce simple test conduit immédiatement à imaginer de nombreuses applications dans le domaine de l’analyse de données mais aussi de la sécurité voire de la cryptographie. - NMAP magic, lui aussi cité dans la présentation, est destiné à mettre en évidence certaines caractéristiques structurelles liant différents systèmes à partir des résultats de sondages ‘nmap’ effectués sur ces même systèmes. Bien évidemment, cet outil fait appel à l’algorithme d’analyse structurelle I-Sushi … Le cas de l’algorithme ‘I-Sushi’ est un excellent exemple de la nécessité d’aller puiser son inspiration au delà des frontières conventionnellement établies autour d’un métier ou d’une discipline particulière. Pour finir, et dans un registre n’ayant rien à voir avec la sécurité, nous invitons nos lecteurs à découvrir l’incroyable outil ‘AFP’ permettant de visualiser une vidéo au format MPEG sur une console fonctionnant en mode ASCII … http://the-mathclub.net/site/survey/1.5.2.html http://cansecwest.com/core05/core05_abad.tar.gz Large Memory Usage Gaël Delalleau Gaël Delalleau, un ancien de la société de service française Beijaflore, nous propose un très intéressant tour d’horizon des procédés de gestion de la mémoire virtuelle par les systèmes d’exploitation de type ‘UNIX’. Ce domaine, et les techniques d’exploitation des vulnérabilités liées aux faiblesses de ces procédés, est réputé difficile d’accès au béotien ignorant tout du fonctionnement interne d’un processeur: registres, pointeurs, … Cette présentation de 59 pages relève pourtant avec succès la gageure d’expliquer par le détail le système des allocations et de la répartition de la mémoire entre les différentes structures utilisant celle-ci - pile, tas, mémoire partagée et librairies communes – et ceci sur les systèmes Solaris 10, Linux 2.6 et FreeBSD 5.3 utilisant une architecture Intel. L’auteur met en évidence un problème sous-jacent à la taille non extensible à volonté de la mémoire virtuelle, à savoir, le risque de recouvrement de deux structures critiques, la pile (stack) et le tas (heap). Dans certaines conditions, les données maintenues dans le tas peuvent en effet venir écraser les données maintenues en pile avec les conséquences que l’on sait sur la dynamique du flot d’exécution du processus. Nous nous permettons d’emprunter à la présentation de Gaël Delalleau les figures suivantes qui mettent en évidence ce problème dans la logique de gestion de la mémoire mise en œuvre par le noyau Linux 2.6. le TAS croit vers limite haute Repart de 0 déborde sur la pile avec écrasement Il est dès lors possible d’envisager pouvoir tirer parti des problèmes de débordement du tas jusqu’alors considérés comme quasiment inexploitables car ne permettant pas d’intervenir sur l’ordonnancement du code sauf dans certaines conditions exceptionnelles et rarement reproductibles. Un exemple concret d’exploitation d’un débordement du tas dans le module mod_php 4.30 sur apache 2.0.53 est présenté qui requiert cependant l’allocation de quelques 3Go de mémoire. En pratique, et d’après l’analyse menée par l’auteur, tous les systèmes UNIX ne sont pas logés à la même enseigne. Actuellement, un seul noyau a été identifié comme vulnérable, le noyau Linux 2.6 en mode natif mais aussi émulé sur FreeBSD 5.3. Ce dernier système a été découvert vulnérable, non pas dans le cas de la gestion du TAS, mais de celui de la mémoire partagée. L’auteur annonce que l’utilisation de librairies multi-thread pourrait fragiliser le noyau mais sans donner ni détails ni références. Il termine sa présentation par une analyse des parades susceptibles d’être mises en œuvre dans ces noyaux mais aussi, et surtout, dans la génération du code par les compilateurs C. Le célèbre compilateur ‘gcc’ est ainsi montré du doigt pour l’utilisation d’un procédé d’allocation sur la pile conduisant à masquer la génération d’une exception traduisant normalement l’écrasement de la zone de protection de la pile. Différentes techniques d’exploitation de problèmes liés à la gestion de la mémoire - gestion des pointeurs nuls, allocation en bas de mémoire, sont ensuite détaillés mettant en évidence ici encore la relative fragilité du noyau Linux 2.6. http://cansecwest.com/core05/memory_vulns_delalleau.pdf Packet generation with scapy Philippe Biondi Philippe Biondi, bien connu des lecteurs de MISC ou des participants à la conférence SSTIC, présente ici ‘Scapy’, son outil de construction de paquets réseaux conçu en 2003 et écrit en langage Python. Sa présentation de 169 transparents est organisée en trois chapitres. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 20/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Le premier positionne le problème de la génération de paquets réseaux à la demande dans la logique de l’analyse et de l’audit de la sécurité des systèmes d’information. Nombreux sont en effet les outils de sondage, d’analyse de signatures, de collecte, de test de vulnérabilités mais aucun outil de génération de paquets n’est proposé qui permette de créer rapidement n’importe quel paquet IP en renseignant n’importe lequel des champs, et d’analyser les paquets reçus sans être contraint par les spécificités protocolaires associés. L’approche de Philippe Biondi pour résoudre cette problématique est de proposer, non pas un outil performant mais hélas contraint par l’interface dans les fonctionnalités offertes, mais un véritable langage de génération. Le choix du langage Python pour créer ce langage spécifique apparaît alors être totalement justifié par sa puissance alliée à une grande simplicité d’utilisation, l’auteur de la présentation prouvant que deux transparents suffisent pour acquérir les fondements de Python. Le second chapitre aborde les concepts et l’architecture de ‘Scapy’ dont l’auteur précise qu’il peut réellement être vu comme un habillage du langage Python délivrant les notions de couches protocolaires et de commandes de manipulation. Architecture actuelle du langage Cette approche autorise la création d’un environnement de travail souple et dynamique autorisant toutes les manipulations possibles comme le montre le synoptique ci-contre extrait de la présentation. Le fonctionnement de ‘Scapy’ peut se résumer à cinq principes simples : - Chaque paquet est construit couche par couche: Ethernet, IP, TCP, Application - Chaque couche peut être empilée sur une autre couche, - Chaque couche et chaque paquet peuvent être manipulés, - Chaque champ contient une valeur ou un ensemble de valeurs - Chaque champ est initialisé avec des valeurs par défaut valides et fonctionnelles, Seul un exemple concret permettra d’appréhender la simplicité de cette conception, la seule connaissance requise étant celle des objets manipulés et de leurs attributs et méthodes: a=IP (dst="www.target.com", id = 0x42) Création objet IP, définition d’une adresse destination a.ttl=12 Modification du champ TTL b=TCP(dport=[22,23,25,80,443]) Création objet TCP, définition d’une liste de ports destinations c=a/b Création objet composite de 5 paquets TCP/IP send(c) Transmission des 5 paquets Ici, cinq lignes de code auront suffi pour créer et transmettre 5 paquets TCP/IP ciblant les ports 22, 23, 25, 80 et 443 du système ‘www.target.com’, et encore, une seule ligne aurait pu être utilisée. Peut-on imaginer plus simple ? Les attributs non explicitement renseignés le seront automatiquement avec des valeurs liées au contexte afin de garantir la validité du paquet ainsi généré: somme de contrôle calculée, adresse IP source choisie en accord avec la table de routage pour la destination mentionnée, adresse MAC correspondant à l’interface de sortie, … La liste des combinaisons d’objets n’est aucunement contrainte, autorisant les constructions les plus étonnantes par empilage de protocoles, et donc le test de tunnels ou la création d’encapsulations complexes. Le traitement des paquets acquis permet de dissocier deux cas de figure en gérant deux listes disjointes: une liste contenant les couples (paquet transmis, paquet reçu) et la liste des paquets transmis n’ayant jamais reçu de réponse. Ces listes peuvent non seulement être manipulées avec les opérateurs du langage Python mais aussi faire l’objet de traitements spécifiques définis par quelques opérateurs ‘Scapy’ spécialisés dont un opérateur de présentation graphique assez exceptionnel. Ce langage n’est pas limité à la création et à l’acquisition de paquets comme le prouve l’exemple d’un serveur DNS minimaliste proposé par l’auteur en conclusion du second chapitre. Le dernier chapitre regroupe différents exemples d’utilisation de ‘Scapy’ dans le cadre de campagnes d’attaque ou d’audit: création de paquets destinés à générer un déni de service, à polluer une table ARP, techniques de sondage dynamique de ports, ou de services, ou encore découverte des règles de translation d’adresses et de ports. Nous ne pouvons que recommander la lecture de cette présentation aux lecteurs qui ne seraient pas déjà des utilisateurs convaincus du langage ‘Scapy’. http://cansecwest.com/core05/scapy_csw05.pdf OSVDB & Vulnerability Databases B.Martin & J.Kouns Brian Martin et Jake Kouns de l’Open Security Foundation abordent ici un thème d’actualité, celui des bases de données de vulnérabilités ou VDB (Vulnerability Data Bases). Après un rapide historique des bases de données de vulnérabilités, leur présentation de 57 pages propose une très intéressante réflexion sur le contenu et les objectifs d’une telle base mais aussi sur la complexité de la gestion de ce type d’information. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 21/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Sont ainsi abordés par le détail les problèmes inhérents à ces bases et à la fiabilité des informations qui y sont entreposées: légalité de la démarche, problématique de la couverture, de la mise à jour, de l’organisation et du nommage, de la validation, de la mesure de la gravité ou de la dangerosité, … Dans la liste dressée par les auteurs, et de notre point de vue, deux problèmes sont particulièrement difficiles à résoudre: l’identification de sources fiables et cohérentes et les liens, dénommés incestueux par les auteurs, existant entre les gestionnaires des différentes bases vis à vis du référencement des sources. Les auteurs – rappelons qu’ils sont les créateurs du projet OSVDB - mettent ainsi en évidence une politique de refus systématique de référencement de certaines sources par certains sites. Le tableau ci-dessous résume la situation actuellement constatée par Brian Martin et Jake Kouns. CVE BID ISS Secunia S. Tracker OSVDB Nessus CVE OUI OUI OUI OUI OUI BID OUI REFUS REFUS REFUS REFUS ISS OUI OUI OUI OUI REFUS Secunia OUI REFUS S. Tracker OUI OUI OUI OSVBD OUI OUI OUI OUI OUI OUI Nessus OUI OUI OUI On y découvre que trois sites ayant une approche ‘commerciale’ refusent systématiquement de citer la remarquable base de données libre OSVDB (Open Source Vulnerability Data Base). On notera une intéressante analyse comparative des sept sources ici présentées, complétées du CERT et du CIAC (diapositives 30 à 47). Cette présentation pose beaucoup de questions de fond sans pour autant proposer de réelles solutions en dehors de la mise en place d’une normalisation des définitions. Elle reflète parfaitement la complexité de la gestion d’un service de veille, et nous sommes bien placés pour juger de la réalité des problèmes soulevés. site ↓ cite source → http://cansecwest.com/core05/vdbs05.ppt 0wn3d by an iPod: Firewire/1394 Issues Maximillian Dornseif Maximillian Dornseif de l’université technologique d’Aachen s’intéresse ici aux risques posés par le bus de transfert de données développé par Apple et Texas Instrument au milieu des années 80, dénommé ‘FireWire’ puis normalisé sous la référence IEEE-1394. Livré pré-installé sur de nombreux PC haut de gamme, ce bus également utilisé par Sony sous le nom ‘iLink’ n’avait pas réellement percé, en dehors des amateurs de montage vidéo pour sa vitesse de transfert, jusqu’à l’arrivée en 2001 du lecteur MP3 iPod. Avant d’aborder les risques posés par ce bus, l’auteur en détaille les caractéristiques: - transfert de données à haut débit (3200Mbps en version IEEE 1394b) entre périphériques (nodes), - capacité d’accueil de 63 périphériques connectés en série, - fourniture d’alimentation en 24V pour une puissance totale de 15W, - transferts synchrones et asynchrones entre périphériques basiques. Conçu pour se configurer automatiquement sans requérir la présence d’un ordinateur maître, ce bus fonctionne sur le principe du transfert direct de zones mémoires entre périphériques en s’appuyant sur un adressage hiérarchisé ‘Bus/Nœud/Mémoire’ de 64 bits utilisant respectivement 10 bits soit 1024 bus, 6 bits soit 64 nœuds et 48 bits d’adressage direct dans la mémoire du nœud désigné. Son fonctionnement est organisé autour de 3 commandes et 6 primitives: lecture de données (demande de lecture sur une adresse, réponse à la demande), écriture de données (demande d’écriture à une adresse, réponse à la demande), et verrouillage du bus (demande et réponse). Ces requêtes sont directement gérées par le contrôleur de bus, ou OHCI, qui assurera leur traduction s’il y a besoin sur le bus interne de l’équipement. Cette simplicité de fonctionnement alliée au mécanisme de transfert similaire en tout point à celui de l’accès mémoire direct, ou DMA, entre périphériques d’un même microprocesseur autorise d’excellentes performances en terme de débit. Cette simplicité de fonctionnement est aussi un facteur de risque en ouvrant l’accès à la mémoire interne de l’équipement à tout périphérique tiers qui en fait la demande, du moins tant que le contrôleur de bus accepte d’honorer cette demande. On imagine aisément le danger d’une telle implémentation sur un système complexe tel qu’un micro-ordinateur dans l’hypothèse où aucun contrôle complémentaire ne serait assuré par le système: accès à la mémoire physique, aux données privées des processus, … Les auteurs démontrent, exemples à l’appui, que certains environnements dont FreeBSD, MacOS (hors 10.3.9) et Linux (partiellement) sont effectivement susceptibles d’être manipulés par des périphériques tiers dont le lecteur iPod par le biais du bus Firewire. A contrario, ces même manipulations offrent une élégante solution au problème de l’acquisition de l’image mémoire d’un système actif dans le cas d’une investigation informatique, preuve s’il en est que les défauts de l’un sont autant de qualités pour l’autre … http://cansecwest.com/core05/2005-firewire-cansecwest.pdf 0wn3d by everything else: USB/PCMCIA Issues David Maynor David Maynor travaille dans l’équipe X-Force de la société ISS. Il s’intéresse aux vulnérabilités liées au mécanisme d’accès aux données en mémoire connu sous l’acronyme DMA ou ‘Direct Memory Access’. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 22/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Sa présentation, assez étonnante, démarre sur les chapeaux de roue avec un extrait de code assembleur mettant en évidence, sans autre indication, la fonction incriminée dans le bogue à l’origine de l’alerte MS05-017 ‘Vulnerability in Message Queuing Could Allow Code Execution’. Au lecteur d’analyser les tenants et aboutissants de cette honteuse – dixit l’auteur - erreur de codage … Ce dernier continue d’ailleurs sa présentation par un florilège d’erreurs de codage similaires, c’est à dire susceptibles de provoquer un débordement de buffer ou d’autoriser la prise de contrôle du flot d’exécution, dont la plupart ont été mises en évidence dans certains gestionnaires de périphériques Windows mais aussi en environnement UNIX. Face à ce genre de problèmes, la vraie question est de déterminer si l’erreur de codage ne conduira qu’à un simple dysfonctionnement relevant du bogue, ou à une possibilité d’exploitation à distance. Ce dernier cas suppose que le problème puisse être déclenché à partir d’une interface externe accessible par l’agresseur. Ce risque, limité à l’origine par le petit nombre de moyens d’accès distants disponibles – écran/clavier, interface réseau classique, liaison série, … - est multiplié par l’avènement des nouveaux périphériques d’accès: liaisons USB, cartes PCMCIA, interfaces sans-fils, … Partant du principe que l’on s’intéresse prioritairement à sécuriser les applications au détriment des gestionnaires de périphériques, David Maynor s’est intéressé au mécanisme de transfert de données commun à la majorité des périphériques, l’accès direct en mémoire. Il a ainsi mis en évidence diverses failles dans la gestion de ce mécanisme susceptibles d’être exploitées depuis un périphérique pour prendre le contrôle de tout ou partie du système. Bien que certaines approches n’aient pas donné toute la satisfaction attendue, l’auteur annonce avoir pu exploiter – avec difficulté - une faille présente dans la gestion du DMA à partir d’un périphérique USB de type téléphone mobile. D’après lui, les périphériques PCMCIA, CardBUS pourraient eux aussi fournir un point d’accès exploitable. On regrettera l’aspect très théorique de cette présentation, aucun détail précis n’étant fourni sur la ou les vulnérabilités exploitées dans la gestion du DMA par le gestionnaire de périphérique USB. http://cansecwest.com/core05/DMA.ppt Hacking NMAP and mapping techniques Fyodor Fyodor , le célèbre auteur du non moins célèbre outil de sondage ‘nmap’, vient présenter un recueil de techniques et d’astuces permettant d’optimiser l’utilisation de son outil en s’appuyant sur deux cas concrets: 1. Recherche d’un service spécifique: dans le cas présent, la recherche d’un serveur WEB offrant des images gratuites dans le domaine ‘playboy.com’. Un exemple pratique alléchant mais qui ne tiendra pas toutes ses promesses, ‘nmap’ ne permettant pas de distinguer un contenu spécifique. La démonstration de l’utilisation de cet outil dans le cas de la recherche de services actifs à travers un domaine spécifique reste cependant très intéressante. 2. Traversée d’un pare-feu: ici et en pratique, la recherche des ports ouverts sur le système ‘docsrv.caldera.com’ situé derrière un pare-feu, et donc normalement non visible depuis l’Internet. La démonstration est d’autant plus intéressante que les deux services découverts sont spécifiques à l’environnement Windows ce qui permet à l’auteur d’introduire certaines techniques propres à cet environnement. En introduction de sa présentation de 33 pages, Fyodor aura préalablement rappelé les combinaisons d’options les plus favorables à l’accomplissement d’une tâche précise. On notera la mise à disposition d’une version dédiée dite ‘CSW’ (en référence à CanSecWest) de l’utilitaire ‘nmap’ dans sa version 3.82, une version non encore officiellement disponible. La lecture du fichier ‘ChangeLog’ livré dans le paquetage montre que cette version corrige divers bogues, présente une nouvelle bannière – un dragon en ‘ASCII Art’ - lors de la compilation en environnement UNIX, intègre une mise à jour des tests d’identification, des signatures ‘smtp’, des numéros de programme RPC, propose l’option ‘—privileged’ signalant un fonctionnement en mode privilégié et surtout l’option ‘-PR’ permettant l’envoi de requêtes ARP pour déterminer l’état d’une cible. Cette dernière option, qui n’est hélas disponible qu’en environnement UNIX, justifie à elle seule le chargement de cette version préliminaire sans attendre la diffusion de la version définitive. http://www.insecure.org/presentations/CanSecWest05/html/index.html Advances in Exploit Technology H D Moore & spoonm Les auteurs de cette présentation sont aussi les développeurs de MetaSploit, un environnement écrit en langage ‘perl’ facilitant le développement et l’utilisation de codes d’exploitation réutilisables (Rapport N°64 – Novembre 2003). Ils nous proposent un excellent état de l’art technique en parcourant les différents problèmes liés au développement de codes génériques, ou du moins modulaires, et ce en environnements UNIX et Windows. L’objectif ultime de tout développeur dans ce domaine devrait en effet être l’écriture, non pas de démonstrateurs – PoC ou Proof of Concept – ne fonctionnant que dans certaines conditions très (trop) spécifiques, mais bien de codes capables de s’adapter au contexte et des outils associés facilitant, voire automatisant, la recherche de points d’entrée exploitables dans l’exécutable cible. C’est dans cette logique d’atelier de génie logiciel spécialisé que l’environnement MetaSploit a été conçu, que l’utilitaire d’analyse des exécutables Windows ‘mfspescan’ a été développé et que la base ‘Opcode’ est mise à disposition. On notera que cette dernière contient à ce jour quelques 10 millions d’enregistrements référençant des séquences d’instructions intéressantes dans les librairies dynamiques de l’environnement Windows. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 23/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 La présentation se conclut par une intéressante analyse des enseignements acquis durant le développement de la version courante de l’atelier MetaSploit (V2.4 à ce jour), enseignements ayant permis d’établir le cahier des charges de la version 3.0. On en retiendra principalement que 98% de la population active dans le domaine de l’attaque des systèmes d’information utilise le système Windows (nous restons très étonnés de cette affirmation), que la portabilité pose de gros problèmes aucunement solutionnés par la librairie de compatibilité Cygwin et enfin que la tendance s’oriente vers l’amélioration des fonctionnalités des charges utiles au détriment de l’écriture des codes d’exploitation. La version 3.0 prendra en compte ces conclusions en s’appuyant sur un langage simple et performant, en se concentrant sur les principaux systèmes d’exploitation et en fournissant les mécanismes permettant l’automatisation de certaines tâches par l’utilisateur. A l’heure actuelle, les auteurs semblent s’orienter vers le langage ‘ruby’ pour ses capacités d’abstraction ‘objet’ mais aussi parce qu’une version compilée et optimisée pour l’environnement Windows est disponible, la version émulée par le biais de la librairie Cygwin pouvant toujours être utilisée en cas de problèmes. http://cansecwest.com/core05/core05_metasploit.pdf Stack Protection Systems (ProPolice, XP SP2...) Hiroaki Eto Hiroaki Eto est chercheur au laboratoire IBM de recherche japonais. Il présente les résultats d’un travail visant à comparer en détail quatre implémentations d’un mécanisme de protection contre les débordements de buffer. L’auteur commence par rappeler les conditions conduisant à l’écrasement des données maintenues dans la pile de travail d’un microprocesseur. Les trois scénarios d’exploitation, désormais classiques, sont ensuite détaillés: 1. Par modification dans la pile de l’adresse de retour vers la fonction appelante, 2. Par modification dans la pile de données référençant les adresses de fonctions utilisées dans l’application, 3. Par modification dans la pile du pointeur de frame et donc de l’adresse de retour vers la fonction appelante. Sont ensuite abordées les contre-mesures envisageables pour limiter de tels débordements, mesures matérielles utilisant les mécanismes de protection intégrés au système de gestion de la mémoire physique et logique par le microprocesseur mais aussi mesures purement logicielles mettant en œuvre un procédé de détection de la corruption de la pile. Dans ce dernier cas, la détection de corruption pourra être réalisée de deux manières: systématiquement lors de l’exécution de fonctions de bas niveau du système (choix de la société Avaya pour le projet GPL LibSafe) ou encore par le compilateur qui insérera les routines de contrôle lors de la génération du code cible: # L’approche StackGuard développée dès 1998 dans le cadre du projet Immunix consiste à vérifier l’intégrité d’un marqueur placé près de l’adresse de retour, l’écrasement de cette dernière conduisant à modifier le marqueur. Plusieurs versions ont vu le jour qui diffèrent principalement par la forme et la position de ce marqueur, les routines associées étant intégrées au compilateur ‘C’ GNU sous la forme d’un patch. # Avec SSP (ex ProPolice), IBM a choisi de s’attaquer au problème de fond, à savoir celui de l’organisation même de la pile en réorganisant judicieusement celle-ci afin de réduire les conséquences de son écrasement par une donnée incontrôlée. Le compilateur ‘C’ GNU est ainsi modifié pour utiliser cette nouvelle organisation de la pile et insérer des contrôles d’intégrité complémentaires basés sur la présence d’une zone de garde dans la pile. # Face à l’augmentation du nombre de débordements de buffer exploitables dans le code de son système d’exploitation Windows 2000, Microsoft décidait d’ajouter un mécanisme de protection – combinaison des deux approches précédentes - à son compilateur ‘C’ et de livrer un noyau entièrement recompilé à l’occasion de la diffusion du Service Pack 2 de Windows XP. Ce mécanisme intégré à partir de la version 7 du compilateur C est activé par le biais de l’option ‘/Gs’. Ces approches ont toutes leurs défauts, des mécanismes de contournement, plus ou moins complexes de mise en œuvre, ayant été découverts et publiquement divulgués qui, cependant, ne justifient pas de ne pas les utiliser. A ceux qui pourraient penser que les performances des applications ainsi protégées pourraient en souffrir, Hiroaki SG: StackGuard Eto répond par le tableau ciDifférentes options contre détaillant l’impact des MS: Microsoft différentes implémentations en Option /Gs nombre de cycles perdus et impact sur les performances de deux applications types. http://cansecwest.com/core05/propolice-cansec2005.ppt Anti-Virus Issues Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés A.Wheeler & N.Mehta Page 24/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Assurée par Alex Wheeler et Neel Mehta de la société ISS, cette présentation est identique à celle effectuée lors de la conférence BlackHat Europe 2005 que nous n’avions cependant pas commenté à l’époque. Les auteurs y analysent l’attrait qu’offrent les solutions et produits antivirus pour les fouineurs et développeurs de codes malicieux ou de virus. Force est de constater que depuis maintenant deux bonnes années, de plus en plus nombreux sont les virus contenant une charge active dont la première tâche consiste à désactiver, voire désinstaller, les solutions de protection du poste de travail. Après avoir brièvement rappelé les principes de fonctionnement de ces solutions, les auteurs abordent le cœur du sujet, à savoir les erreurs de conception et défauts couramment rencontrés, pour la plupart dus à la complexité des structures et formats devant être analysés par le produit. Afin de structurer la recherche des erreurs de conception, les auteurs proposent une approche méthodologique de l’audit de code, nullement restreinte à l’audit des produits anti-virus et ayant été mise en pratique pour auditer les produits de quatre grands éditeurs (Symantec, McAfee, TrendMicro et F-Secure). Les résultats de cette campagne sont présentés sans pour autant détailler les références exactes des produits testés ni la durée et les conditions dans lesquelles se sont déroulés les tests. L’auteur conclut sa présentation en listant quelques points particuliers méritant d’être investigués, en particulier la gestion de fichiers de très grande taille avec tous les problèmes classiques de programmation et d’effets de bord liés à l’utilisation de grands nombres mais aussi les nouveaux formats et les fonctions d’administration des produits. A n’en pas douter, la recherche de vulnérabilités et de techniques de contournement dans le domaine des solutions anti-virus a encore un grand avenir devant elle ! http://cansecwest.com/core05/0wning-Antivirus1.ppt # Complément d'information http://www.cansecwest.com/resources.html - Archivage des présentations NIST – ETAT DES GUIDES DE LA SERIE SP800 # Description La publication pour commentaires du guide SP800-53a ‘Guide for Assessing the Security Controls in Federal Information Systems’ ainsi que la mise à jour et publication pour commentaires du SP800-56 ‘Recommendation for Pair-Wise Key Establishment Schemes Using Discrete Logarithm Cryptography’ (anciennement ‘Recommendation on Key Establishment Schemes’ publié en Janvier 2003) nous conduit à devoir mettre à jour notre liste des documents de la série spéciale ‘SP800’. SP800-26 Security Self-Assessment Guide for Information Technology Systems SP800-27a Engineering Principles for Information Technology Security – Rev A SP800-28 Guidelines on Active Content and Mobile Code SP800-29 Comparison of Security Reqs for Cryptographic Modules in FIPS 140-1 & 140-2 SP800-30 Underlying Technical Models for Information Technology Security – Rev A SP800-31 Intrusion Detection Systems SP800-32 Introduction to Public Key Technology and the Federal PKI Infrastructure SP800-33 Underlying Technical Models for Information Technology Security SP800-34 Contingency Planning Guide for Information Technology Systems SP800-35 Guide to Selecting IT Security Products SP800-36 Guide to IT Security Services SP800-37 Guidelines for the Security C&A of Federal Information Technology Systems SP800-38A Recommendation for Block Cipher Modes of Operation – Method and Techniques SP800-38B Recommendation for Block Cipher Modes of Operation - RMAC SP800-38C Recommendation for Block Cipher Modes of Operation - CCM SP800-40 Applying Security Patches SP800-41 Guidelines on Firewalls and Firewall Policy SP800-42 Guidelines on Network Security testing SP800-43 System Administration Guidance for Windows2000 SP800-44 Guidelines on Securing Public Web Servers SP800-45 Guide On Electronic Mail Security SP800-46 Security for Telecommuting and Broadband Communications SP800-47 Security Guide for Interconnecting Information Technology Systems SP800-48 Wireless Network Security: 802.11, Bluetooth™ and Handheld Devices SP800-49 Federal S/MIME V3 Client Profile SP800-50 Building an Information Technology Security Awareness & Training Program SP800-51 Use of the Common Vulnerabilities and Exposures Vulnerability Naming Scheme SP800-52 Guidelines on the Selection and Use of Transport Layer Security SP800-53 Recommended Security Controls for Federal Information Systems SP800-53A Guide for Assessing the Security Controls in Federal Information Systems SP800-55 Security Metrics Guide for Information Technology Systems SP800-56 Pair-Wise Key Establishment Schemes Using Discrete Logarithm Cryptography SP800-57 Recommendation for Key Management, Part 1: General Guideline Recommendation for Key Management, Part 2: Best Practices SP800-58 Security Considerations for Voice Over IP Systems Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés [F] [F] [F] [F] [F] [F] [F] [F] [F] [F] [F] [F] [F] [D] [F] [F] [F] [F] [F] [F] [F] [F] [F] [F] [F] [F] [F] [D] [F] [R] [F] [R] [D] [D] [F] 11/2001 06/2004 10/2001 10/2001 01/2004 11/2001 02/2001 12/2001 06/2002 10/2003 10/2003 04/2004 12/2001 12/2001 05/2004 09/2002 01/2002 10/2003 11/2002 09/2002 09/2002 09/2002 09/2002 11/2002 11/2002 03/2003 09/2002 09/2004 02/2005 07/2005 07/2003 07/2005 03/2005 03/2005 03/2005 Page 25/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 SP800-59 SP800-60 SP800-61 SP800-63 SP800-64 SP800-65 SP800-66 SP800-67 SP800-68 SP800-70 SP800-72 SP800-73 SP800-76 SP800-77 SP800-78 SP800-79 Guideline for Identifying an Information System as a National Security System Guide for Mapping Types of Information & Information Systems to Security Categories Computer Security Incident Handling Guide Recommendation for Electronic Authentication Security Considerations in the Information System Development Life Cycle Recommended Common Criteria Assurance Levels An Introductory Resource Guide for Implementing the HIPAA Security Rule Recommendation for the Triple Data Encryption Algorithm (TDEA) Block Cipher Guidance for Securing Microsoft Windows XP Systems for IT Professionals The NIST Security Configuration Checklists Program Guidelines on PDA Forensics Integrated Circuit Card for Personal Identity Verification Biometric Data Specification for Personal Identity Verification Guide to IPsec VPNs Cryptographic Algorithms and Key Sizes for Personal Identity Verification Guidelines for Certification & Accreditation of PIV Card Issuing Organizations [F] Finalisé [R] Pour commentaire et relecture [F] [F] [F] [F] [F] [F] [F] [F] [F] [D] [F] [R] [D] [R] [F] [F] 08/2003 06/2004 01/2004 09/2004 07/2004 01/2005 03/2005 05/2004 06/2004 07/2004 11/2004 01/2005 01/2005 02/2005 07/2005 07/2005 [*] Récemment finalisé [D] En cours de développement # Complément d’information http://csrc.nist.gov/publications/nistpubs/index.html http://csrc.nist.gov/publications/drafts/sp800-53A-ipd.pdf http://csrc.nist.gov/publications/drafts/SP800-56_7-5-05.pdf - SP800-53A - SP800-56 SECURISATION NSA - CATALOGUE DES GUIDES DE SECURITE # Description La NSA vient de diffuser la version finale du guide de sécurisation de l’environnement Mac OS/X ‘Apple Mac OS X v10.3.x Security configuration guide’ ainsi qu’une version consacrée à la sécurisation de la configuration serveur ‘Apple Mac OS X Server v10.3.x Security configuration guide’. Nous proposons en conséquence une mise à jour de notre tableau de synthèse. I G R P Document d’information et/ou de synthèse Guide de mise en œuvre et/ou manuel d’utilisation Recommandations et principes élémentaires Procédures et mise en application & ' O Document récemment mis à jour Document nouvellement publié Document obsolète Windows XP Système G Guide to Securing Microsoft Windows XP V1.1 01/12/2003 V1.0 V1.08 19/04/2001 02/03/2001 V1.1 V1.21 V1.01 V1.0 V1.0 V1.1 V1.02 V1.02 13/10/2001 01/12/2003 26/11/2002 09/04/2001 01/01/2001 27/06/2001 01/05/2001 23/01/2001 V1.0 V1.0 06/03/2001 01/12/2000 V2.11 V2.02 V3.1 10/10/2001 10/10/2001 08/04/2002 V1.5 V1.4 V1.3 V1.0 V1.0 V1.2 08/08/2002 16/01/2004 19/07/2002 02/07/2001 13/08/2001 24/11/2003 Windows 2000 Références I I Microsoft Windows 2000 Network Architecture Guide Group Policy Reference Systèmes G I P P P P P R Guide to Securing Microsoft Windows 2000 Group Policy Guide to Securing Microsoft Windows 2000 Group Policy: Security Configuration Tool Guide to Securing Microsoft Windows 2000 File and Disk Resources Guide to Securing Microsoft Windows 2000 DNS Guide to Securing Microsoft Windows 2000 Encrypting File System Guide to Windows 2000 Kerberos Settings Microsoft Windows 2000 Router Configuration Guide Guide to Securing Windows NT/9x Clients in a Windows 2000 Network Annuaire I I Guide to Securing Microsoft Windows 2000 Schema Guide to Securing Microsoft Windows 2000 Active Directory Certificats R R R Guide to the Secure Config. & Admin. of Microsoft W2K Certificate Services Guide to the Secure Config. & Admin. of Microsoft W2K Certificate Services (check) Guide to Using DoD PKI Certificates in Outlook 2000 Services annexes I P P P P P Guide to Secure Configuration & Administration of Microsoft ISA Server 2000 Guide to the Secure Configuration & Administration of Microsoft IIS 5.0 Guide to Securing Microsoft Windows 2000 DHCP Guide to Securing Microsoft Windows 2000 Terminal Services Microsoft Windows 2000 IPsec Guide Guide to the Secure Configuration and Administration of Microsoft Exchange 2000 Windows NT Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 26/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 P Guide to Securing Microsoft Windows NT Networks V4.2 18/09/2001 Guide to the Secure Configuration of Solaris 8 Apple Mac OS X v10.3.x Security configuration guide Apple Mac OS X Server v10.3.x Security configuration guide V1.0 V1.1 V1.0 09/09/2003 21/12/2004 08/07/2005 Router Security Configuration Guide, Executive Summary Router Security Configuration Guide Cisco IOS Switch Security Configuration Guide V1.0c V1.1b V1.0 10/02/2003 10/02/2003 21/06/2004 V1.0 25/01/2005 V3.0 V3.0 V1.1 ND ND 14/11/2003 07/01/2002 20/12/1999 08/02/2002 05/02/2004 ND V1.73 V1.33 V1.33 V1.12 V1.14 V1.1 V1.0 V1.5 V1.1 V1.2 V1.0 V1.4 ND 03/07/2001 04/03/2002 04/03/2002 24/04/2001 05/10/2001 18/02/2002 07/2002 15/01/2003 04/2003 30/10/2003 01/04/2004 22/09/2004 Unix P P P Cisco R P P Sans-Fils G Guidelines for the Development and Evaluation of IEEE 802.11 IDS Contenus exécutables O O O R R Outlook E-mail Security in the Wake of Recent Malicious Code Incidents Guide to the Secure Configuration and Administration of Microsoft Exchange 5 Microsoft Office 97 Executable Content Security Risks and Countermeasures Microsoft Office 2000 Executable Content Security Risks and Countermeasures Microsoft Office 2003 Executable Content Security Risks and Countermeasures Documents de Support I O O O O R R R R R R R R Defense in Depth Guide to the Secure Configuration & Administration of iPlanet Web Serv Ent. Ed. 4.1 Guide to the Secure Conf. and Admin. of Microsoft IIS 4.0 Guide to the Secure Conf. and Admin. of Microsoft IIS 4.0 (Checklist Format) Secure Config. of the Apache Web Server, Apache Server V1.3.3 on Red Hat Linux 5.1 Microsoft NetMeeting 3.0 Security Assessment and Configuration Guide The 60 Minute Network Security Guide Guide to Securing Microsoft Internet Explorer 5.5 Using Group Policy Guide to the Secure Configuration and Administration of Microsoft SQL Server 2000 Guide to Securing Netscape Navigator 7.02 Guide to the Secure Configuration and Administration of Oracle9i Guide to Sun Microsystems Java Plug-in Security Guide to Microsoft .NET Framework Security # Complément d'information http://www.nsa.gov/snac/ - Portail d’accès aux guides NIST – GUIDES ET CHECKLISTS DE SECURISATION # Description La mise à jour de la version préliminaire définitive (final draft) des guides ‘OS/390 MVS’ et ‘Wireless’ et de trois addenda au guide ‘Wireless’ nous conduit à mettre à jour et à réorganiser notre synthèse: STIG Checklist [5 mises à jour, 0 nouveau document] APPLICATIONS Applications (Générique) 2.1.6 15/04/05 DOC ESM (Générique + Oracle, SQL Server) 1.0 29/09/04 PDF Database (Générique + Oracle, SQL Server) 7.1 29/10/04 PDF 7.1 15/04/05 DOC VoIP 2.0 30/12/04 PDF 1.1 30/07/04 DOC ENVIRONNEMENTS Desktop (Windows uniquement) 2.1 29/10/04 PDF 1.1.9 15/04/05 DOC Secure Remote Computing 1.1.0 14/02/03 DOC Sharing peripheral across the network 1.0.1 11/03/05 PDF RESEAU Network (Générique) 5.2 29/09/04 PDF 5.2.4 04/04/05 DOC Network (Draft) 6.2.1 04/05/04 PDF 6.2 28/02/05 PDF Network Comment Matrix 6.1.2 04/05/04 DOC Cisco (Supplément) 5.2.1 01/06/04 DOC Juniper (Supplément) 5.2.1 25/06/04 DOC Wireless (First version + FrameWork) 3.1 15/04/04 PDF 3.1.1 11/01/04 DOC # Wireless (Final Draft) 4.02 06/06/05 PDF # Mobile & Wireless Addendum 1.0 10/02/05 PDF # Wireless LAN Security Framework Addendum 2.01 05/06/05 PDF # Wireless LAN Site Survey Addendum 1.01 05/06/05 PDF SERVICES DNS 2.2 11/03/05 PDF 2.1.1 12/05/04 DOC Web Servers (Générique + IIS, Netscape, Apache) 5.1 29/10/04 PDF 4.1.6 22/04/05 DOC SYSTEMES OS/390 MVS 5.0 26/07/04 DOC # OS/390 MVS (Final Draft) 5.1 21/01/05 PDF # OS/390 Logical Partition 2.2 04/03/05 PDF 2.1.2 25/06/04 DOC Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 27/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 OS/390 RACF OS/390 ACF2 OS/390 TSS MacOS X SOLARIS (2.6 à 2.9) TANDEM UNISYS UNIX/LINUX VM IBM VMS VAX Windows 2000 Windows 2000 (DOT) Windows 2003 Windows XP Windows NT (NSA) Windows NT/2000/XP Addendum TECHNOLOGIES Peripheral Biométrie (DOD) 1.1 15/06/04 PDF 2.2 7.0 4.4 2.2 04/03/05 15/01/05 15/09/03 04/03/05 1.8 3.1 4.1 12/01/03 PDF 26/12/02 DOC 26/02/04 DOC 1.0 1.2 29/09/04 PDF 23/08/04 DOC PDF PDF DOC PDF 4.1.4 4.1.4 4.1.4 1.1.1 2.1.1 6.1.2 4.4.0 2.1.1 2.2 4.112 4.0.0 4.112 4.115 29/09/04 29/09/04 29/09/04 18/02/05 20/01/04 02/09/03 15/10/03 15/03/05 07/03 01/01/05 22/04/05 20/01/04 22/04/05 22/04/05 22/04/05 1.21 DOC DOC DOC DOC DOC DOC DOC DOC DOC DOC DOC DOC DOC DOC DOC 23/08/04 DOC # Complément d'information http://csrc.nist.gov/pcig/cig.html LA - Catalogue des STIG et Checklists LEGISLATION INTERNET USA – MAINMISE SUR LA GESTION DES TLD # Description Ce qui était à craindre est arrivé: les Etats-Unis ont annoncé fin juin dans un document intitulé ‘U.S. Principles on the Internet’s Domain Name and Addressing System’ qu’ils conserveraient leur rôle historique dans la gestion du fichier racine du service de nom de l’Internet. Ce fichier contient les noms de domaine racines dits ‘Top Level Domains ou TLD’ autorisés et les références des serveurs gérant ces domaines. Rappelons qu’il était prévu que cette responsabilité soit transférée vers une organisation non gouvernementale et internationale. Le document publié par le NTIA (National Telecommunication & Information Administration) énonce les quatre principes mis en application dans le cadre de la gestion du DNS et du système d’adressage, principes établis pour assurer ‘la stabilité et la sécurité des mécanismes fondamentaux de l’Internet’: # Les Etats-Unis veulent préserver la sécurité et la stabilité du système de nommage et d’adressage de l’Internet. En conséquence, ils conservent leur rôle historique dans l’autorisation des modifications et changements effectués dans le fichier des zones racines. # Les gouvernements ont un intérêt légitime dans la gestion de leur domaine racine dits ‘ccTLD’. Les Etats-Unis travailleront avec les instances internationales pour gérer ces préoccupations en conservant à l’esprit la nécessité d’assurer la sécurité et la stabilité du système de nommage de l’Internet. # L’ICANN est le gestionnaire technique le mieux placé pour gérer le système de nommage de l’Internet. Les EtatsUnis soutiendront le travail de cet organisme pour toutes les opérations techniques et continueront de faire le nécessaire pour que l’ICANN atteigne ses objectifs. # Les échanges liés à la gouvernance de l’Internet doivent continuer autour des multiples forums d’intérêts, ce sujet ne pouvant être abordé dans son entièreté par le biais d’un forum unique. Les Etats-Unis continueront de soutenir les approches commerciales et celles du secteur privé dans le développement de l’Internet. Cette annonce est un véritable camouflet pour les opposants à un Internet sous la dominance exclusive des Etats-Unis qui militaient pour une gouvernance de l’Internet confiée à un organisme International prenant en compte les besoins des pays les plus pauvres. Les réflexions sur la gouvernance de l’Internet, inscrites au prochain SMIS (Sommet Mondial sur la Société de l’Information) qui aura lieu à Tunis en novembre prochain, risquent d’être bien agitées. Oubliées les nobles idées d’un Internet géré par une organisation telle que l’ONU ou l’ITU. Internet semble bien être hélas devenu le lieu de tous les conflits politiques futurs, la richesse mondiale qu’il faut contrôler pour assurer le nouvel ordre mondial si cher aux Etats-Unis. Qui contrôle Internet contrôle le monde … # Complément d'information http://www.ntia.doc.gov/ntiahome/domainname/USDNSprinciples_06302005.htm http://www.itu.int/wsis/ Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés - Annonce américaine - SMITS Page 28/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 LO OG GIIC CIIE EL LS S LIIB BR RE ES S LES SERVICES DE BASE Les dernières versions des services de base sont rappelées dans les tableaux suivants. Nous conseillons d’assurer rapidement la mise à jour de ces versions, après qualification préalable sur une plate-forme dédiée. RÉSEAU Nom Fonction BIND Gestion de Nom (DNS) 9.3.1 8.4.6 Serveur d’adresse 3.0.2 Serveur de temps 4.2.0 Serveur de temps 3.7 Serveur de fichiers 2.6.2p ( DHCP NTP4 OpenNTPD WU-FTP Ver. Date Source 11/03/05 11/03/05 22/07/05 15/10/03 4/06/05 28/08/03 http://www.isc.org/ http://www.isc.org/ http://ntp.isc.org/bin/view/Main/SoftwareDownloads http://www.openntpd.org/ http://www.wu-ftpd.org MESSAGERIE Nom Fonction Ver. Relevé courrier Relevé courrier Relevé courrier Serveur de courrier 2004e 4.0.8 1.0.0 8.13.4 Nom Fonction Ver. APACHE Serveur WEB IMAP4 POP3 ( POPA3D SENDMAIL Date Source 21/06/05 13/05/03 26/07/05 27/03/05 ftp://ftp.cac.washington.edu/imap/ ftp://ftp.qualcomm.com/eudora/servers/unix/popper/ http://www.openwall.com/popa3d/ ftp://ftp.sendmail.org/pub/sendmail/RELEASE_NOTES WEB ( ModSSL ( MySQL SQUID 1.3.33 2.0.54 API SSL Apache 1.3.33 2.8.23 Base SQL 4.1.13 Cache WEB 2.5s9 Date Source 28/10/04 11/04/05 06/07/05 15/07/05 29/02/05 http://httpd.apache.org/dist http://www.modssl.org http://dev.mysql.com/doc/mysql/en/news-4-1-x.html http://www.squid-cache.org AUTRE Nom Fonction Ver. Date Source INN OpenCA OpenLDAP OpenReg Samba Gestion Gestion Gestion Gestion Gestion 2.4.1 0.9.2.2 2.3.4 1.0.2 3.0.14a 07/01/04 10/03/05 13/06/05 22/03/04 15/04/05 http://www.isc.org/ http://www.openca.org/openca/download-releases.shtml ftp://ftp.openldap.org/pub/OpenLDAP/openldap-release/ http://www.isc.org/sw/openreg/ http://us1.samba.org/samba/ LES des news de certificats de l’annuaire DNS de fichiers OUTILS Une liste, non exhaustive, des produits et logiciels de sécurité du domaine public est proposée dans les tableaux suivants. LANGAGES Nom Fonction Ver. SPLINT Perl PHP Analyse de code Scripting WEB Dynamique 3.1.1 5.8.7 4.3.11 5.0.4 Date Source 25/05/03 http://lclint.cs.virginia.edu 02/06/05 http://www.cpan.org/src/README.html 31/04/05 http://www.php.net/downloads.php 03/04/05 ANALYSE RÉSEAU Nom ( Big Brother Dsniff EtterCap ( Ethereal IP Traf Nstreams SamSpade TcpDump Libpcap TcpFlow WinPCap Fonction Ver. Visualisateur snmp Boîte à outils Analyse & Modification Analyse multiprotocole Statistiques IP Générateur de règles Boîte à outils Analyse multiprotocole Acquisition Trame Collecte données Acquisition Trame 1.9h 2.3 0.7.3 0.10.12 2.7.0 1.0.3 1.14 3.9 0.9.0 0.21 3.1b4 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Date Source 10/07/05 17/12/00 29/05/05 26/07/05 19/05/02 06/08/02 10/12/99 06/04/05 06/04/05 07/08/03 04/11/04 http://www.bb4.org/ http://www.monkey.org/~dugsong/dsniff http://ettercap.sourceforge.net/index.php?s=history http://www.ethereal.com http://cebu.mozcom.com/riker/iptraf/ http://www.hsc.fr/ressources/outils/nstreams/download/ http://www.samspade.org/ssw/ http://www.tcpdump.org/ http://www.tcpdump.org/ http://www.circlemud.org/~jelson/software/tcpflow/ http://www.winpcap.org/news.htm Page 29/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 ANALYSE DE JOURNAUX Nom Fonction Ver. Analog fwLogWatch OSSIM SnortSnarf WebAlizer Journaux serveur http Analyse log Console de gestion Analyse Snort Journaux serveur http 6.00 1.0.0 0.9.8 050314.1 2.01-10 Date Source 19/12/04 25/04/04 18/05/05 05/03/05 24/04/02 http://www.analog.cx http://cert.uni-stuttgart.de/projects/fwlogwatch/ http://www.ossim.net/ http://www.snort.org/dl/contrib/data_analysis/snortsnarf/ http://www.mrunix.net/webalizer/download.html ANALYSE DE SÉCURITÉ ( ( ( ( Nom Fonction Ver. Date Source curl FIRE Nessus Helix Nikto Nmap SAC Saint Sara Wikto Whisker Analyse http et https Boîte à outils Vulnérabilité réseau Boîte à outils Analyse http et https Vulnérabilité réseau Boîte à outils Vulnérabilité réseau Vulnérabilité réseau Analyse http et https LibWhisker 7.14.0 0.4a 2.2.5 1.6 1.35 3.81 200605 5.8.7 6.0.5 1.61 2.2 16/05/05 14/05/03 22/07/05 12/03/05 20/05/05 04/03/05 15/06/05 26/07/05 26/07/05 16/07/05 31/12/04 http://curl.haxx.se/ http://sourceforge.net/projects/biatchux/ http://www.nessus.org http://www.e-fense.com/helix/ http://www.cirt.net/nikto/ http://www.insecure.org/nmap/nmap_changelog.html http://www.remote-exploit.org/index.php/Auditor_mirrors http://www.saintcorporation.com/updates.html http://www.www-arc.com/sara/downloads/ http://www.sensepost.com/research/wikto/ http://www.wiretrip.net/rfp/lw.asp Fonction Ver. Date Source Signature/Chiffrement Signature/Chiffrement Signature/Chiffrement 1.4.2 1.9.17 1.2.1 CONFIDENTIALITÉ Nom ( GPG GPG S/MIME LibGCrypt 27/07/05 http://www.gnupg.org/(fr)/news.html 21/06/05 http://www.gnupg.org/(fr)/news.html 09/01/05 http://www.gnupg.org/(fr)/news.html CONTRÔLE D’ACCÈS Nom Fonction Ver. Date TCP Wrapper Xinetd Accès services TCP Inetd amélioré 7.6 2.3.13 ftp://ftp.cert.org/pub/tools/tcp_wrappers 01/02/04 http://synack.net/xinetd/ Source Date CONTRÔLE D’INTÉGRITÉ Nom Fonction Ver. Aide RootKit hunt ChkRootKit RKRevealer Intégrité LINUX Compromission UNIX Compromission UNIX Compromission WIN 0.1 1.2.7 0.45 1.55 Source 27/11/03 24/05/05 22/02/05 22/06/05 http://sourceforge.net/projects/aide http://www.rootkit.nl http://www.chkrootkit.org/ http://www.sysinternals.com DÉTECTION D’INTRUSION Nom Fonction Ver. P0f Snort Shadow Identification passive IDS Réseau IDS Réseau 2.0.5 2.3.3 1.8 Date Source 14/09/04 http://lcamtuf.coredump.cx/p0f.shtml 22/04/05 http://www.snort.org/dl/ 30/04/03 http://www.nswc.navy.mil/ISSEC/CID/ GÉNÉRATEURS DE TEST Nom Fonction Ver. FireWalk IDSWakeUp NetDude &all Analyse filtres Détection d’intrusion Rejeu de paquets 5.0 1.0 0.4.6 Date Source 20/10/02 http://www.packetfactory.net/firewalk 13/10/00 http://www.hsc.fr/ressources/outils/idswakeup/download/ 05/05/04 http://netdude.sourceforge.net/download.html PARE-FEUX Nom DrawBridge IpFilter ( NetFilter Fonction Ver. PareFeu FreeBsd Filtre datagramme Pare-Feu IpTables 4.0 4.1.8 1.3.2 Fonction Ver. Pile Crypto IP (CIPE) Encapsulation http Pile SSL Pile SSH 1 et 2 Pile IPSec 1.6 3.0.5 0.9.8 4.1 2.3.1 1.0.9 0.58 4.10 3.1.3 2.4.1 Date Source 23/04/04 http://drawbridge.tamu.edu 30/03/05 http://coombs.anu.edu.au/ipfilter/ip-filter.html 10/07/05 http://www.netfilter.org/downloads.html TUNNELS Nom CIPE http-tunnel ( OpenSSL OpenSSH OpenSwan PuTTY Terminal SSH2 Stunnel Proxy https TeraTerm Pro Terminal SSH2 Zebedee Tunnel TCP/UDP Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Date Source 04/08/04 06/12/00 05/07/05 26/05/05 09/04/05 25/01/05 05/04/05 26/03/05 08/10/02 29/05/02 http://sites.inka.de/sites/bigred/devel/cipe.html http://www.nocrew.org/software/httptunnel.html http://www.openssl.org/ http://www.openssh.com/ http://www.openswan.org/code/ http://www.openswan.org/code/ http://www.chiark.greenend.org.uk/~sgtatham/putty/download.html http://www.stunnel.org http://www.ayera.com/teraterm/ http://www.winton.org.uk/zebedee/ Page 30/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 NO OR RM ME ES SE ET T ST TA AN ND DA AR RD DS S LES LES PUBLICATIONS DE L’IETF RFC Du 28/06/2005 au 28/07/2005, 26 RFC ont été publiés dont 6 RFC ayant trait à la sécurité. RFC TRAITANT DE LA SÉCURITÉ Thème KERB MIME PPVPN TLS Num Date Etat Titre 4120 4121 4130 4134 4111 4132 07/05 07/05 07/05 07/05 07/05 07/05 Pst Pst Pst Inf Inf Pst The Kerberos Network Authentication Service (V5) The Kerberos Version 5 Generic Security Service Application Program Interface Mechanism: V2 MIME-Based Secure Peer-to-Peer Business Data Interchange Using HTTP, Applicability Statement 2 Examples of S/MIME Messages Security Framework for Provider-Provisioned Virtual Private Networks (PPVPNs) Addition of Camellia Cipher Suites to Transport Layer Security (TLS) RFC TRAITANT DE DOMAINES CONNEXES À LA SÉCURITÉ Thème Num Date Etat Titre UUID 4122 07/05 Pst A Universally Unique IDentifier (UUID) URN Namespace AUTRES RFC Thème CAPWAP CARD CXTP GEOPRIV IETF IPV4 IPV6 MPLS PPVPN QOS SEAMOB SIP VoIP LES Num Date Etat Titre 4118 4066 4067 4079 4101 4116 4068 4124 4125 4126 4127 4128 4139 4110 4115 4065 4117 4123 4024 06/05 07/05 07/05 07/05 06/05 07/05 07/05 06/05 06/05 06/05 06/05 06/05 07/05 07/05 07/05 07/05 06/05 07/05 07/05 Inf Exp Exp Inf Inf Inf Exp Pst Exp Exp Exp Inf Inf Inf Inf Exp Inf Inf Inf Architecture Taxonomy for Control and Provisioning of Wireless Access Points (CAPWAP) Candidate Access Router Discovery (CARD) Context Transfer Protocol (CXTP) A Presence Architecture for the Distribution of GEOPRIV Location Objects Writing Protocol Models IPv4 Multihoming Practices and Limitations Fast Handovers for Mobile IPv6 Protocol Extensions for Support of Diffserv-aware MPLS Traffic Engineering Maximum Allocation Bandwidth Constraints Model for Diffserv-aware MPLS Traffic Engineering Max Allocation with Reservation Bandwidth Constraints Model for Diffserv-aware MPLS Traffic … Russian Dolls Bandwidth Constraints Model for Diffserv-aware MPLS Traffic Engineering Bandwidth Constraints Models for Diffserv-aware MPLS Traffic Engineering: Performance Evaluation Requirements for GMPLS Signaling Usage and Extensions for Automatically Switched Optical Net. A Framework for Layer 3 Provider-Provisioned Virtual Private Networks (PPVPNs) A Differentiated Service Two-Rate, Three-Color Marker with Efficient Handling of in-Profile Traffic Instructions for Seamoby and Experimental Mobility Protocol IANA Allocations Transcoding Services Invocation in SIP Using Third Party Call Control (3pcc) Session Initiation Protocol (SIP)-H.323 Interworking Requirements Voice Messaging Client Behaviour DRAFTS Du 28/06/2005au 28/07/2005, 188 drafts ont été publiés: 679 drafts mis à jour, XX nouveaux drafts, dont 31 drafts ayant directement trait à la sécurité. NOUVEAUX DRAFTS TRAITANT DE LA SÉCURITÉ Thème Nom du Draft Date Titre AAA draft-kwon-aaa-nemo-00 draft-vidya-mipshop-handover-keys-aaa-00 draft-ietf-bmwg-acc-bench-meth-opsec-00 draft-ota-dhc-auth-chap-00 draft-mahy-eap-enrollment-00 draft-girao-generic-privacy-framework-00 draft-matos-hip-privacy-extensions-00 draft-ietf-msec-ipsec-extensions-00 draft-dondeti-msec-inband-key-updates-00 draft-devarapalli-mip4-mobike-connectivity-00 draft-zhao-mobopts-rr-ext-00 draft-irtf-mobopts-location-privacy-ps-00 13/07 30/06 14/07 30/06 13/07 11/07 11/07 11/07 14/07 12/07 14/07 15/07 BMWG DHCP EAP GENERIC HIP IPSEC IPV4 IPV6 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés AAA for NEMO Handover Keys Using AAA Benchmarking Accelerated Stress with Operational Security CHAP-based Authentication for DHCPv6 An Extensible Authentication Protocol (EAP) Enrollment Method A Generic Location Privacy Framework Host Identity Protocol Location Privacy Extensions Multicast Ext. to the Security Architecture for the Internet Protocol Piggybacking Key Material with Security Encapsulated Data Secure Connectivity and Mobility using Mobile IPv4 and MOBIKE Security and Performance of MIP6 Return Routability Test IP Address Location Privacy and Mobile IPv6: Problem Statement Page 31/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 L2TP PANA PKIX RADIUS RFC2821 SCTP SIP TESLA TRUST TUNNEL draft-davies-v6ops-icmpv6-filtering-bcp-00 draft-vives-v6ops-distributed-security-fr..-00 draft-kelkar-l2tpext-eap-proxy-authen-ext-00 draft-hiko-pana-fpana-00 draft-ieft-pana-aaa-interworking-00 draft-moreau-pkix-takrem-00 draft-aboba-radext-fixes-00 draft-weber-radius-attr-guidelines-00 draft-klensin-rfc2821-security-00 draft-hohendorf-secure-sctp-00 draft-cao-sip-response-auth-00 draft-rosenberg-sip-identity-privacy-00 draft-ietf-sip-e2m-sec-00 draft-wing-sipping-multipart-mixed-00 draft-polk-sipping-e2e-sec-assurance-00 draft-faurite-rmt-tesla-for-alc-norm-00 draft-ono-trust-path-discovery-00 draft-weniger-rota-00 draft-yamamoto-v6tc-security-consi…-00 12/07 13/07 15/07 11/07 25/07 18/07 11/07 13/07 12/07 12/07 12/07 12/07 12/07 12/07 13/07 11/07 12/07 12/07 12/07 Best Current Practice for Filtering ICMPv6 Messages in Firewalls Distributed Security Framework L2tp Proxy Authenticate Extensions for EAP Combining PANA and FMIPv6 for fast authentication at handover PANA AAA Interworking. Trust Anchor Key Renewal Method Applied to X.509 Self-signed C Common RADIUS Implementation Issues and Suggested Fixes Design Guidelines for RADIUS Attributes Security Considerations Issues for RFC 2821bis Secure SCTP Response Identity and Authentication in Session Initiation Protocol Identity Privacy in the Session Initiation Protocol (SIP) End-to-middle Security in the Session Initiation Protocol (SIP) SIP Offer/Answer and Middlebox Comm. with End-to-End Security Reqs for Assured End-to-End Signaling Security within SIP TESLA source authentication in the ALC and NORM protocols Trust Path Discovery Route Optimization and Location Privacy using Tunneling Agents Security Considerations for the Tunnel Broker Model MISE À JOUR DE DRAFTS TRAITANT DE LA SÉCURITÉ Thème Nom du Draft Date Titre BGP BMWG CRYPTO draft-ietf-rpsec-bgpsecrec-02 draft-ietf-bmwg-ipsec-term-06 draft-popov-cryptopro-cpalgs-03 draft-manral-rp-existingcrypto-01 draft-ietf-dnsext-dnssec-opt-in-07 draft-ietf-dnsext-rfc2536bis-dsa-06 draft-ietf-dnsext-rfc2539bis-dhk-06 draft-ietf-dnsext-ecc-key-07 draft-ietf-dnsext-nsec3-02 draft-ietf-dnsext-dnssec-experiments-01 draft-iab-dos-02 draft-ietf-eap-keying-07 draft-tschofenig-eap-ikev2-07 draft-bersani-eap-psk-08 draft-arkko-eap-service-identity-auth-03 draft-ietf-geopriv-policy-06 draft-ietf-geopriv-common-policy-05 draft-ietf-geopriv-radius-lo-04 draft-tschofenig-hiprg-hip-natfw-traversal-02 draft-ietf-inch-phishingextns-01 draft-ietf-mip6-precfgkbm-03 draft-ietf-mip6-ikev2-ipsec-02 draft-dupont-mip6-privacyext-02 draft-kempf-mobopts-ringsig-ndproxy-01 draft-arkko-mipshop-cga-cba-01 draft-tschofenig-omipv6-multihoming-01 draft-ietf-v6ops-security-overview-02 draft-ietf-kink-kink-09 draft-ietf-cat-kerberos-pk-init-27 draft-ietf-krb-wg-kerberos-referrals-06 draft-zhu-kerb-enctype-nego-03 draft-jaganathan-kerberos-http-01 draft-behera-ldap-password-policy-09 draft-zeilenga-ldap-x509-02 draft-bajko-nsis-fw-reqs-02 draft-ietf-openpgp-rfc2440bis-14 draft-ietf-opsec-efforts-01 draft-ietf-opsec-current-practices-01 draft-ietf-pana-pana-10 draft-ietf-pana-ipsec-07 draft-ietf-pana-statemachine-01 draft-ietf-pki4ipsec-mgmt-profile-rqts-03 draft-ietf-pkix-scvp-19 draft-ietf-pkix-rfc3280bis-01 draft-lior-radius-prepaid-extensions-08 draft-zorn-radius-keyreq-04 draft-zorn-radius-keywrap-07 draft-lior-radext-end-to-end-caps-01 draft-nakhjiri-radius-mip4-01 draft-zorn-radius-encattr-01 draft-lior-radius-bandwidth-capability-01 draft-tschofenig-radext-qos-01 draft-ietf-radext-digest-auth-03 21/07 21/07 22/07 21/07 20/07 19/07 19/07 19/07 29/06 20/07 21/07 19/07 20/07 19/07 20/07 20/07 20/07 18/07 20/07 19/07 30/06 19/07 12/07 18/07 20/07 20/07 20/07 20/07 21/07 21/07 21/07 20/07 19/07 19/07 19/07 11/07 11/07 20/07 18/07 14/07 14/07 21/07 20/07 20/07 19/07 11/07 12/07 21/07 15/07 15/07 21/07 20/07 21/07 DNS DOS EAP GEOPRIV HIP INCH IPV6 KINK KRB LDAP NSIS OPENPGP OPSEC PANA PKI4IPS PKIX RADIUS Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés BGP Security Requirements Terminology for Benchmarking IPsec Devices Additional cryptographic algo. for use with GOST 28147-89, … Issues with Cryptographic Protection Methods for Routing Protoc. DNSSEC Opt-In DSA Keying and Signature Information in the DNS Storage of Diffie-Hellman Keying Information in the DNS Elliptic Curve KEYs in the DNS DNSSEC Hash Authenticated Denial of Existence DNSSEC Experiments Internet Denial of Service Considerations Extensible Authentication Protocol Key Management Framework EAP IKEv2 Method (EAP-IKEv2) The EAP-PSK Protocol: a Pre-Shared Key EAP Method Authenticated Service Information for EAP Document Format for Expressing Privacy Preferences for Loc. Inf. A Document Format for Expressing Privacy Preferences Carrying Location Objects in RADIUS Traversal of HIP aware NATs and Firewalls IODEF-Document Class for Phishing, Fraud, Other Non-Network … Securing Mobile IPv6 Route Optim. Using a Static Shared Key Mobile IPv6 Operation with IKEv2 and the revised IPsec Arch. A Simple Privacy Extension for Mobile IPv6 Secure IPv6 Address Proxying using MCGAs Applying CGA and Credit-Based Authorization OMIPv6 OMIPv6 Multi-Homing and Privacy IPv6 Transition/Co-existence Security Considerations Kerberized Internet Negotiation of Keys (KINK) Public Key Cryptography for Initial Authentication in Kerberos Generating KDC Referrals to locate Kerberos realms Kerberos Cryptosystem Negotiation Extension Kerberos based HTTP Authentication in Windows Password Policy for LDAP Directories LDAP schema definitions for X.509 Certificates Requirements for Firewall Configuration Protocol OpenPGP Message Format Security Best Practices Efforts and Documents Operational Security Current Practices Protocol for Carrying Authentication for Network Access (PANA) PANA Enabling IPsec based Access Control State Machines for PANA Requirements for an Ipsec Certificate Management Profile Simple Certificate Validation Protocol (SCVP) Internet X.509 Public Key Infrastructure Certificate and CRL PrePaid Extensions to Remote Authentication Dial-In User Service Session Key Transport in RADIUS RADIUS Attributes for Key Delivery End-to-End Capabilities Support for RADIUS RADIUS Mobile IPv4 extensions Transmitting Confidential Data in RADIUS Network Bandwidth Parameters for RADIUS RADIUS Quality of Service Support RADIUS Extension for Digest Authentication Page 32/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 RC4 RFC2618 RFC2619 RFC2620 RFC2621 RTP SASL SECURITY SIP SMIME SSH TLS UMAC draft-jaganathan-rc4-hmac-01 draft-nelson-rfc2618bis-01 draft-nelson-rfc2619bis-01 draft-nelson-rfc2620bis-01 draft-nelson-rfc2621bis-01 draft-ietf-avt-profile-savpf-02 draft-ietf-sasl-rfc2831bis-06 draft-tschofenig-ecrit-security-threats-01 draft-jennings-sip-sec-flows-03 draft-ono-sipping-smime-keyreuse-01 draft-ietf-sipping-certs-02 draft-ietf-smime-gost-04 draft-harris-ssh-rsa-kex-03 draft-ietf-secsh-x509-02 draft-salowey-tls-ticket-03 draft-krovetz-umac-04 20/07 18/07 18/07 19/07 19/07 20/07 19/07 20/07 18/07 20/07 19/07 21/07 15/07 15/07 15/07 15/07 The RC4-HMAC Kerberos encryption type RADIUS Auth Client MIB (IPv6) RADIUS Auth Server MIB (IPv6) RADIUS Acct Client MIB (IPv6) RADIUS Acct Server MIB (IPv6) Extended Secure RTP Profile for RTCP-based Feedback Using Digest Authentication as a SASL Mechanism Security Threats and Requirements for Emergency Calling Example call flows using SIP security mechanisms Key reuse in Secure MIME for the Session Initiation Protocol(SIP) Certificate Management Service for The Session Initiation Protocol Using the GOST algorithms with CMS RSA key exchange for the SSH Transport Layer Protocol X.509 authentication in SSH2 TLS Session Resumption without Server-Side State UMAC: Message Authentication Code using Universal Hashing DRAFTS TRAITANT DE DOMAINES CONNEXES À LA SÉCURITÉ Thème Nom du Draft Date Titre AAA draft-alfano-aaa-qosprot-03 draft-tschofenig-mip6-aaa-ha-diameter-00 draft-ietf-bmwg-dsmterm-11 draft-ietf-bmwg-benchres-term-06 draft-ietf-bmwg-acc-bench-term-06 draft-ietf-bmwg-acc-bench-meth-03 draft-ietf-bmwg-acc-bench-meth-ebgp-00 draft-ietf-dhc-proxyserver-opt-04 draft-allman-dkim-ssp-00 draft-pashalidis-nsis-gimps-nattraversal-00 draft-ietf-hip-mm-02 draft-ietf-hip-dns-02 draft-ietf-hip-rvs-03 draft-stiemerling-hip-nat-05 draft-koponen-hip-registration-01 draft-ietf-ipv6-ndproxy-03 draft-liumin-v6ops-silkroad-03 draft-jee-mip6-bootstrap-pana-01 draft-massar-v6ops-tunneldiscovery-00 draft-ietf-l2vpn-arp-mediation-02 draft-ietf-l3vpn-ppvpn-mcast-reqts-01 draft-zhang-l3vpn-vr-mcast-01 draft-ietf-ldapbis-user-schema-10 draft-zeilenga-ldap-ext-08 draft-zeilenga-ldap-uuid-06 draft-zeilenga-ldap-dontusecopy-01 draft-ietf-mmusic-ice-05 draft-ietf-mobike-design-03 draft-poretsky-mpls-protection-meth-04 draft-ietf-behave-nat-udp-03 draft-jennings-behave-test-results-01 draft-hoffman-behave-tcp-02 draft-shen-nsis-tunnel-00 draft-poretsky-protection-term-00 draft-ietf-tsvwg-rsvp-dste-00 draft-nalawade-kapoor-tunnel-safi-03 draft-ietf-shim6-failure-detection-00 draft-ietf-sieve-spamtestbis-01 draft-ietf-simple-pres-policy-caps-00 draft-ietf-simple-common-policy-caps-00 draft-jennings-sip-hashcash-02 draft-rosenberg-sipping-sip-arch-01 draft-ietf-sipping-spam-01 draft-ietf-syslog-protocol-14 draft-ietf-syslog-transport-udp-05 draft-baker-nested-vpn-routing-01 20/07 12/07 12/07 21/07 18/07 18/07 14/07 13/07 12/07 12/07 19/07 14/07 14/07 14/07 14/07 15/07 15/07 18/07 12/07 21/07 14/07 21/07 11/07 22/07 19/07 19/07 20/07 20/07 18/07 19/07 18/07 19/07 12/07 12/07 21/07 21/07 12/07 19/07 12/07 12/07 18/07 20/07 20/07 14/07 15/07 19/07 BMWG BMWG DHCP DKIM GIMPS HIP IPV6 L2VPN L3VPN LDAP MMUSIC MOBIKE MPLS NAT NSIS PROTECT RSVP SAFI SHIM6 SIEVE SIMPLE SIP SYSLOG VPN Diameter Quality of Service Application Diameter applicability for AAA-HA Interface in Mobile IPv6 Benchmarking Network-layer Traffic Control Mechanisms Benchmarking for Resource Reservation Capable Routers Terminology for Accelerated Stress Benchmarking Methodology Guidelines for Accelerated Stress Benchmarking Benchmarking Accelerated Stress with EBGP Instabilities DHCP Option for Proxy Server Configuration DKIM Sender Signing Policy NAT Traversal for GIMPS End-Host Mobility and Multihoming with the Host Identity Protocol Host Identity Protocol DNS Extensions Host Identity Protocol (HIP) Rendezvous Extension Middlebox Traversal Issues of HIP Communication Host Identity Protocol (HIP) Registration Extension Neighbor Discovery Proxies (ND Proxy) Tunneling IPv6 with private IPv4 addresses through NAT devices Diameter Mobile IPv6 Bootstrapping Application using PANA IPv6 Tunnel Discovery ARP Mediation for IP Interworking of Layer 2 VPN Requirements for Multicast in L3 Provider-Provisioned VPNs Multicast in Virtual Router-based IP VPNs LDAP: Schema for User Applications Considerations for LDAP Extensions The LDAP entryUUID operational attribute The LDAP Don't Use Copy Control A Methodology for NAT Traversal for Offer/Answer Protocols Design of the MOBIKE Protocol Benchmarking Methodology for MPLS Protection Mechanisms NAT Behavioral Requirements for Unicast UDP NAT Classification Test Results NAT Behavioral Requirements for Unicast TCP NSIS Operation Over IP Tunnels Benchmarking Terminology for Protection Performance Aggregation of RSVP Reservations over MPLS TE/DS-TE Tunnels Tunnel SAFI Failure Detection and Locator Selection Design Considerations SIEVE Email Filtering: Spamtest and Virustest Extensions XML Representation for Expressing Presence Policy Capabilities (XML Representation for Expressing Policy Capabilities Computational Puzzles for SPAM Reduction in SIP Architecture and Design Principles of SIP The Session Initiation Protocol (SIP) and Spam The syslog Protocol Transmission of syslog messages over UDP Routing across Nested VPNs AUTRES DRAFTS Thème Nom du Draft Date Titre 2717BIS 6LOWPAN draft-hansen-2717bis-2718bis-uri-guide…-05 draft-daniel-6lowpan-load-adhoc-routing-01 draft-daniel-6lowpan-sslp-00 draft-daniel-6lowpan-interoperability-01 draft-daniel-6lowpan-hilow-hier…-routing-00 draft-jeong-adhoc-ip-addr-autoconf-05 30/06 19/07 11/07 19/07 14/07 20/07 ADHOC Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Guidelines and Registration Procedures for new URI Schemes 6LoWPAN Ad Hoc On-Demand Distance Vector Routing (LOAD) Simple Service Location Protocol (SSLP) for 6LoWPAN Interoperability of 6LoWPAN Hierarchical Routing over 6LoWPAN (HiLow) Ad Hoc IP Address Autoconfiguration Page 33/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 draft-sethom-adhoc-gateway-selection-00 draft-metz-aii-aggregate-00 draft-legg-xed-asd-04 draft-montenegro-lowpan-aodv-00 draft-hares-asconfed-edge-01 draft-li-as-hopcount-01 draft-ietf-atompub-format-10 draft-nottingham-atompub-feed-history-02 AUTOCON draft-clausen-autoconf-criteria-00 AVT draft-wenger-avt-avpf-ccm-00 BARM draft-zhang-barm-congestion-01 BFD draft-ietf-bfd-mpls-02 draft-ietf-bfd-base-03 draft-ietf-bfd-multihop-03 draft-ietf-bfd-v4v6-1hop-03 draft-ietf-bfd-generic-00 BGP draft-walton-bgp-route-oscillation-stop-01 draft-nalawade-bgp-soft-notify-01 draft-dubois-bgp-pm-reqs-02 draft-suping-bfd-bgp-static-app-02 draft-kapoor-nalawade-idr-bgp-ssa-01 BOCCI draft-shah-bocci-pwe3-ms-pw-signaling-01 BOUNDED draft-white-bounded-longest-match-01 CALDAV draft-dusseault-caldav-07 CAPWAP draft-calhoun-capwap-taxonomy-recom…-01 CARRIER draft-haberler-carrier-enum-00 draft-otani-ccamp-gmpls-ospf-mib-00 CISCO draft-leung-cisco-mip4-host-config-02 CONGEST draft-alexander-congestion-status-prec…-00 CONN draft-ruffino-conn-scenarios-01 CONTENT draft-leibzon-content-digest-edigest-00 CRTP draft-koren-avt-ecrtp-reorder-01 DATA draft-boschi-data-exchange-quest-00 DCCP draft-burness-dccp-interactive-apps-00 DHCP draft-ietf-dhc-ddns-resolution-09 draft-ietf-dhc-vpn-option-05 draft-ietf-dhc-server-override-02 draft-ietf-dhc-subnet-alloc-03 draft-ietf-dhc-dual-stack-03 draft-ietf-dhc-bcmc-options-02 draft-yan-dhc-dhcpv6-opt-dnszone-03 draft-raj-dhc-tftp-addr-option-01 draft-venaas-dhc-dual-stack-merge-00 DKIM draft-allman-dkim-base-00 DMSP draft-engelsma-dmsp-00 DNA draft-ietf-dna-link-information-02 draft-ietf-dna-cpl-01 draft-ietf-dna-hosts-01 draft-jinchoi-dna-frd-01 draft-pentland-dna-protocol-01 draft-jinchoi-dna-protocol2-01 draft-vogt-dna-relocation-01 draft-koodli-dna-fmip-00 DNS draft-ietf-dnsext-mdns-41 draft-ietf-dnsext-insensitive-06 draft-ietf-dnsext-2929bis-00 draft-ietf-dnsext-dns-name-p-s-00 draft-ietf-dnsop-bad-dns-res-04 draft-ietf-dnsop-ipv6-dns-issues-11 draft-ietf-dnsop-respsize-02 draft-iab-dns-assumptions-03 draft-jeong-dnsop-ipv6-dns-discovery-05 draft-rosen-dns-sos-02 draft-austein-dnsext-nsid-02 draft-fujiwara-dnsop-bad-dns-auth-03 draft-morishita-dnsop-anycast-node-req…-01 draft-minda-dnsop-using-in-bailiwick-na…-01 draft-massar-dnsop-service-00 DSTM draft-bound-dstm-exp-03 draft-jaehwoon-dstm-multitep-02 draft-shin-dstm-ports-00 DTNRG draft-irtf-dtnrg-bundle-spec-03 draft-irtf-dtnrg-arch-03 draft-irtf-dtnrg-ltp-03 draft-irtf-dtnrg-ltp-motivation-01 draft-irtf-dtnrg-ltp-extensions-01 draft-lindgren-dtnrg-prophet-01 AII ANS.X AODV AS AS ATOMPUB Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 13/07 14/07 15/07 12/07 25/07 15/07 14/07 15/07 14/07 13/07 22/07 18/07 12/07 12/07 12/07 15/07 15/07 21/07 20/07 19/07 21/07 19/07 15/07 19/07 18/07 11/07 12/07 14/07 13/07 21/07 11/07 21/07 12/07 11/07 29/06 30/06 30/06 30/06 13/07 30/06 21/07 30/06 12/07 12/07 11/07 21/07 15/07 11/07 19/07 19/07 19/07 20/07 15/07 18/07 20/07 11/07 14/07 19/07 19/07 21/07 20/07 20/07 19/07 20/07 20/07 20/07 19/07 12/07 15/07 14/07 30/06 20/07 19/07 21/07 21/07 21/07 19/07 Gateway Selection in Multi-homed Ad Hoc Networks AII Types for Aggregation Abstract Syntax Notation X (ASN.X) AODV for IEEE 802.15.4 Networks Dynamic AS Switching at AS Confederation Edge The AS_HOPCOUNT Path Attribute The Atom Syndication Format Feed History: Enabling Stateful Syndication Evaluation Criteria for MANET Autoconf Mechanisms Codec Control Messages in the Audio-Visual Profile with Feedback Binomial Congestion Control At Receivers for Multicast (BARM) BFD For MPLS LSPs Bidirectional Forwarding Detection BFD for Multihop Paths BFD for IPv4 and IPv6 (Single Hop) Generic Application of BFD BGP Persistent Route Oscillation Solution BGPv4 Soft-Notification Message Requirements for planned maintenance of BGP sessions BFD initializtion with BGP and static routes BGPv4 SAFI-Specific Attribute Multi-Segment Pseudo Wire Signaling Bounding Longest Match Considered Calendaring Extensions to WebDAV (CalDAV) CAPWAP Taxonomy Recommendations Combined User and Carrier ENUM in the e164.arpa tree Extensions to the OSPF MIB in support of GMPLS Cisco's Mobile IPv4 Host Configuration Extensions A Congestion Status Precondition for SIP Connectivity Scenarios for MANET Content-Digest and EDigest Header Fields Packet reordering in Extended CRTP (ECRTP) Inter-domain Data Exchange Questionnaire Interactive Applications using DCCP Resolution of FQDN Conflicts among DHCP Clients Virtual Subnet Selection Option DHCP Server-ID Override Suboption Subnet Allocation Option DHCP: IPv4 and IPv6 Dual-Stack Issues DHCP Options for Broadcast and Multicast Control Servers Domain Suffix Option for DHCPv6 TFTP Server Address DHCP Option Dual-stack clients and merging of data from DHCPv4 and DHCPv6 DomainKeys Identified Mail (DKIM) Distributed Multimodal Synchronization Protocol Link-layer Event Notifications for Detecting Network Attachments DNA with unmodified routers: Prefix list based approach DNA in IPv6 - Best Current Practices for hosts. Fast Router Discovery with L2 support Detecting Network Attachment in IPv6 Networks (DNAv6) DNA Solution: Link Identifier based approach Analysis of IPv6 Relocation Delays FMIPv6 Usage with DNA Protocol Linklocal Multicast Name Resolution (LLMNR) Domain Name System (DNS) Case Insensitivity Clarification Domain Name System (DNS) IANA Considerations Derivation of DNS Name Predecessor and Successor Observed DNS Resolution Misbehavior Operational Considerations and Issues with IPv6 DNS DNS Response Size Issues What's in a Name: False Assumptions about DNS Names IPv6 Router Advertisement Option for DNS Configuration Emergency Call Information in the Domain Name System EDNS NSID Extension DNS authoritative server misconfiguration and countermeasure BGP Anycast Node for Authotitative Name Server Requirements Using In-Bailiwick Namesevers in .ARPA The _service domain and prefix Dual Stack IPv6 Dominant Transition Mechanism (DSTM) Multiple TEP Extension to DSTM Ports Option Support in DSTM Bundle Protocol Specification Delay-Tolerant Network Architecture Licklider Transmission Protocol - Specification Licklider Transmission Protocol - Motivation Licklider Transmission Protocol - Extensions Probabilistic Routing Protocol for Intermittently Connected Net. Page 34/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 E2E EAP ECN ECRIT EMAIL EMAILAD ENROLL ENUM FILTER FORCES GENART GEOPRIV GROW H323 HIP HTTP IANA IBGP IDR IETF IKE IM IMAP INFRAST IP IPDVB IPFIX IPPM IPSEC IPTEL IPTV draft-bocci-bryant-pwe3-ms-pw-arch-00 draft-abid-eap-osfr-00 draft-floyd-ecn-alternates-01 draft-schulzrinne-ecrit-requirements-01 draft-hardie-ecrit-iris-02 draft-lilly-extensible-internet-message-p01-00 draft-lilly-extensible-internet-message-p02-00 draft-lilly-extensible-internet-message-p03-00 draft-lilly-extensible-internet-message-p04-00 draft-klensin-emailaddr-i18n-03 draft-tschofenig-enroll-bootstrapping-saml-01 draft-lendl-enum-validation-token-00 draft-mayrhofer-enum-validation-arch-00 draft-morrow-filter-caps-01 draft-ietf-forces-model-05 draft-ietf-forces-protocol-04 draft-ietf-forces-tcptml-01 draft-doria-genart-experience-00 draft-ietf-geopriv-location-types-registry-02 draft-ietf-geopriv-pdif-lo-profile-01 draft-mahy-geopriv-sip-loc-pkg-01 draft-guenther-geopriv-saml-policy-01 draft-ietf-grow-anycast-01 draft-ma-h323-sip-conf-requirement-00 draft-irtf-hip-experiment-01 draft-tschofenig-hiprg-host-identities-02 draft-henderson-hip-applications-01 draft-cam-winget-eap-fast-provisioning-01 draft-tschofenig-hiprg-hip-srtp-00 draft-nottingham-hdrreg-http-05 draft-winterbottom-http-location-delivery-01 draft-klensin-iana-reg-policy-01 draft-fenner-iana-exp-2780-00 draft-klockar-ibgp-oscillation-00 draft-ietf-idr-route-filter-12 draft-ietf-idr-as4bytes-10 draft-ietf-idr-bgp4-mibv2-05 draft-ietf-idr-rfc3065bis-04 draft-nalawade-idr-mdt-safi-02 draft-zhang-idr-bgp-entire-routes-reflect-01 draft-klensin-nomcom-term-00 draft-palet-ietf-meeting-venue-selection-..-00 draft-klensin-stds-review-panel-00 draft-otis-newtrk-rfc-set-00 draft-ietf-mobike-protocol-01 draft-jennings-impp-vcard-05 draft-saintandre-xmpp-simple-04 draft-niemi-simple-chat-03 draft-ietf-imapext-i18n-05 draft-maes-lemonade-p-imap-07 draft-melnikov-imap-ext-abnf-03 draft-melnikov-imap-createparams-00 draft-maes-lemonade-deliver-00 draft-maes-lemonade-lzip-01 draft-maes-lemonade-monoincuid-01 draft-maes-lemonade-lconvert-01 draft-maes-lemonade-notifications-server-.-01 draft-ietf-lemonade-profile-03 draft-ietf-lemonade-reconnect-03 draft-maes-lemonade-http-binding-01 draft-maes-lemonade-mobile-email-04 draft-lind-infrastructure-enum-reqs-00 draft-aleksandrov-ip-extension-00 draft-bernardos-manet-autoconf-survey-00 draft-sethom-dynamic-router-selection-00 draft-cantillo-ipdvb-s2encaps-00 draft-ietf-ipfix-info-09 draft-ietf-ipfix-protocol-17 draft-dressler-ipfix-aggregation-01 draft-niccolini-ippm-storetraceroutes-01 draft-morton-ippm-composition-00 draft-eronen-ipsec-ikev2-clarifications-04 draft-ietf-iptel-tgrep-06 draft-ietf-iptel-tel-np-07 draft-rosen-iptel-dialstring-02 draft-lkchoi-mmusic-iptvdbs-req-00 draft-kim-mmusic-iptv-req-00 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 12/07 13/07 14/07 11/07 15/07 12/07 12/07 12/07 12/07 19/07 20/07 11/07 11/07 20/07 21/07 19/07 21/07 13/07 18/07 19/07 15/07 15/07 20/07 13/07 21/07 20/07 19/07 19/07 12/07 29/06 19/07 19/07 12/07 11/07 14/07 14/07 14/07 13/07 21/07 19/07 12/07 12/07 12/07 15/07 15/07 18/07 14/07 20/07 14/07 13/07 18/07 12/07 13/07 19/07 19/07 19/07 19/07 19/07 18/07 13/07 19/07 15/07 11/07 13/07 14/07 19/07 14/07 15/07 21/07 21/07 12/07 15/07 21/07 14/07 19/07 14/07 14/07 An Architecture for Multi-Segment Pseudo Wire Emulation E2E OSFR (Optimized network Selection for Fast Roaming) Specifying Alternate Semantics for ECN Field Reqs for Emergency Context Resolution with Internet Techno. An IRIS schema for Emergency Service contact URIs Extensible Message Application Interchange Language : P1 Extensible Message Application Interchange Language : P2 Extensible Message Application Interchange Language :P3 Extensible Message Application Interchange Language : P4 Internationalization of Email Addresses Enriching Bootstrapping with Authorization Information ENUM Validation Token Format Definition ENUM Validation Architecture Filtering Capabilities for IP Network Infrastructure ForCES Forwarding Element Model ForCES Protocol Specification TCP/IP based TML (Transport Mapping Layer) for ForCES protocol Experience with the General Area Review Team Location Types Registry GEOPRIV PIDF-LO Usage Clarification, Considerations & Recom. A Location Event Package using the Session Initiation Protocol SAML in Authorization Policies Operation of Anycast Services interworking between IPv4-based H.323 system and IPv6 SIP HIP Experiment Report Interaction between SIP and HIP Using HIP with Legacy Applications Dynamic Provisioning using EAP-FAST Using SRTP transport format with HIP HTTP Header Field Registrations HTTP Enabled Location Delivery (HELD) Registration Policies for the IETF and IANA Experimental Values In IPv4, IPv6, ICMPv4, ICMPv6, UDP & TCP Oscillation Prevention in I-BGP Cooperative Route Filtering Capability for BGP-4 BGP support for four-octet AS number space Definitions of Managed Objects for the Fourth Version of BGP 4 Autonomous System Confederations for BGP MDT SAFI Entire Route Reflect capability Appointments for Nomcom-selected IETF Leadership Positions IETF Meeting Venue Selection Criteria Review and Approval of IETF Standards-Track Documents XML structure for Set of RFC Descriptors IKEv2 Mobility and Multihoming Protocol (MOBIKE) vCard Extensions for Instant Messaging (IM) Basic Messaging and PIM between XMPP and SIP for IM IM Sessions using the Message Session Relay Protocol (MSRP) Internet Message Access Protocol Internationalization Push Extensions to the IMAP Protocol (P-IMAP) Collected extensions to IMAP4 ABNF IMAP CREATE parameters LDELIVER LZIP Monotonically increasing IMAP UID LCONVERT Server to Client Notifications and Filtering Lemonade Profile IMAP4 Extensions for Quick Reconnect Lemonade HTTP Binding Lemonade and Mobile e-mail Infrastructure ENUM Requirements Internet Protocol (IP) Extension for a Real Time Service Survey of IP address autoconfiguration mechanisms for MANETs Dynamic router selection Requirements for transmission of IP datagrams over DVB-S.2 Information Model for IP Flow Information Export IPFIX Protocol Specification IPFIX Aggregation How to store traceroute measurements and related metrics Composition of Metrics IKEv2 Clarifications and Implementation Guidelines A Telephony Gateway REgistration Protocol (TGREP) New Parameters for the "tel" URI to Support Number Portability Dialstring parameter for the sip URI Requirement of service provider for the Data Broadcasting Service Internet Media Guides on Internet Protocol Television Services Page 35/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 IPV4 IPV4V6 IPV6 IRIS iSCSI ISIS ISMS iSNS ISP JET KRB L1VPN L2VPN L3VPN LDAP LDP LOCATIO LOWPAN LRDP LSRP LTANS LTRU MAGMA draft-ietf-mobileip-lowlatency-handoffs-v4-10 draft-cheshire-ipv4-acd-04 draft-irtf-mobopts-ipv4ro-00 draft-soliman-v4v6-mipv4-02 draft-ietf-6lowpan-format-00 draft-ietf-6lowpan-problem-00 draft-ietf-ipngwg-icmp-name-lookups-12 draft-ietf-ipngwg-icmp-v3-07 draft-ietf-ipv6-host-load-sharing-04 draft-ietf-ipv6-link-scoped-mcast-09 draft-ietf-ipv6-2461bis-04 draft-ietf-mip6-bootstrap-ps-03 draft-ietf-mip6-dsmip-problem-00 draft-elmalki-mobileip-bicasting-v6-06 draft-ata-ipv6-anycast-resolving-03 draft-chakrabarti-ipv6-addrselect-api-03 draft-doi-ipv6-anycast-func-term-04 draft-lee-v6ops-natpt-mobility-01 draft-daley-ipv6-tsllao-02 draft-choi-pcemp-ipv6-02 draft-chown-v6ops-renumber-thinkabout-03 draft-yan-ipv6-ra-dns-01 draft-wakikawa-manet-ipv6-support-01 draft-ata-anycast-mip6-01 draft-jang-mipshop-fh80216e-00 draft-narten-ipv6-3177bis-48boundary-00 draft-lee-v6ops-mipv6-deployment-00 draft-cui-mobopts-hcf-wlan-00 draft-jaehwoon-mipshop-flush-mipv6-00 draft-pashby-ipv6-detecting-spoofing-00 draft-pashby-ipv6-network-discovery-00 draft-pashby-ipv6-mc-scoped-addr-00 draft-roberts-inband-qos-ipv6-00 draft-ietf-v6ops-ent-analysis-03 draft-ietf-v6ops-bb-deployment-scenarios-03 draft-ietf-v6ops-vlan-usage-00 draft-ietf-crisp-iris-areg-12 draft-ietf-crisp-iris-lwz-04 draft-ietf-crisp-iris-common-transport-02 draft-ietf-crisp-iris-xpc-02 draft-ietf-enum-iris-ereg-01 draft-kengo-crisp-iris-rreg-01 draft-ietf-ips-iwarp-da-03 draft-ietf-ips-iser-04 draft-ietf-ips-iscsi-impl-guide-00 draft-ietf-isis-wg-mib-22 draft-kaushik-isms-btsm-01 draft-ietf-ips-isns-mib-07 draft-stephan-isp-templates-00 draft-lee-jet-ima-00 draft-ietf-krb-wg-ocsp-for-pkinit-06 draft-takeda-l1vpn-framework-04 draft-takeda-l1vpn-applicability-03 draft-ietf-l2vpn-vpls-ldp-07 draft-ietf-l2vpn-signaling-04 draft-ietf-l2vpn-ipls-02 draft-ietf-l2vpn-oam-req-frmk-03 draft-sajassi-l2vpn-vpls-bridge-interop-01 draft-serbest-l2vpn-vpls-mcast-03 draft-raggarwa-l2vpn-vpls-mcast-01 draft-raggarwa-l2vpn-vpls-mcast-ctrl-00 draft-ietf-l3vpn-gre-ip-2547-04 draft-zeilenga-ldap-adlist-11 draft-balus-mh-pw-control-protocol-02 draft-minei-ldp-operational-experience-01 draft-stein-ldp-auto-00 draft-winterbottom-location-uri-00 draft-chakrabarti-lowpan-ipv6-nd-00 draft-stirbu-lrdp-00 draft-laouiti-manet-olsr-address-autoconf-01 draft-ietf-ltans-reqs-04 draft-ietf-ltans-ltap-00 draft-ietf-ltru-registry-09 draft-ietf-ltru-matching-03 draft-ietf-ltru-initial-02 draft-ietf-magma-mgmd-mib-05 draft-pashby-magma-simplify-mld-snoo…-00 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 19/07 14/07 15/07 19/07 13/07 13/07 14/07 14/07 30/06 21/07 19/07 14/07 15/07 18/07 20/07 14/07 21/07 19/07 19/07 15/07 20/07 21/07 19/07 20/07 12/07 12/07 12/07 12/07 14/07 14/07 14/07 14/07 20/07 11/07 15/07 13/07 15/07 14/07 14/07 14/07 19/07 21/07 29/06 29/06 12/07 11/07 14/07 18/07 11/07 29/06 21/07 29/06 19/07 18/07 20/07 19/07 18/07 22/07 19/07 19/07 12/07 21/07 19/07 18/07 22/07 12/07 12/07 13/07 29/06 20/07 19/07 19/07 14/07 29/06 13/07 18/07 14/07 Low Latency Handoffs in Mobile IPv4 IPv4 Address Conflict Detection Mobile IPv4 Route Opti. Using Mobile IPv6 Return Routability Dual Stack Mobile IPv6 Transmission of IPv6 Packets over IEEE 802.15.4 Networks 6LoWPAN: Overview, Assumptions, Problem Statement and Goals IPv6 Node Information Queries ICMPv6 for the Internet Protocol Version 6 (IPv6) Specification IPv6 Host to Router Load Sharing A Method for Generating Link Scoped IPv6 Multicast Addresses Neighbor Discovery for IP version 6 (IPv6) Problem Statement for bootstrapping Mobile IPv6 Mobility mgmt for Dual stack mobile nodes A Problem Statement Simultaneous Bindings for Mobile IPv6 Fast Handovers A Protocol for Anycast Address Resolving IPv6 Socket API for source address selection IPv6 Anycast Terminology Definition Considerations for Mobility Support in NAT-PT Source Link-Layer Address Options for IPv6 Neighbour Discovery Fast IPv6 PCE peer Advertisement using PCEMP Things to think about when Renumbering an IPv6 network DNS update in IPv6 stateless configuration IPv6 Support on Mobile Ad-hoc Network Mobile IPv6-based Global Anycasting Mobile IPv6 Fast Handovers over IEEE 802.16e Networks IPv6 Address Allocation to End Sites Mobile IPv6 Deployment Scenarios for Broadband Wireless Handover Control Function Based Handover for Mobile IPv6 Flushing Mechanism to Notify Binding Update in MIPv6 IPv6 Neighbor Discovery and Host Redirection Spoofing Changes Needed to Allow for IPv6 Network Discovery Multicast Scoped Address Assignment Guidance In-Band QoS Signaling for IPv6 IPv6 Enterprise Network Analysis ISP IPv6 Deployment Scenarios in Broadband Access Networks Use of VLANs for IPv4-IPv6 Coexistence in Enterprise Networks IRIS - An Address Registry (areg) Type for IRIS A Lightweight UDP Transfer Protocol for IRIS A Common Schema for IRIS Transfer Protocols XML Pipelining with Chunks IRIS An ENUM Registry Type for IRIS IRIS - A Routing Registry (rreg) Type for IRIS Datamover Architecture for iSCSI (DA) iSCSI Extensions for RDMA Specification iSCSI Implementer's Guide Management Information Base for IS-IS A BEEP Profile for SNMPv3 PDUs Definitions of Managed Objects for iSNS IPFIX templates for common ISP usages Internationalized eMail Address (IMA) OCSP Support for PKINIT Framework and Requirements for Layer 1 Virtual Private Networks Applicability analysis of GMPLS protocols to Layer 1 VPN Virtual Private LAN Services over MPLS Provisioning Models and Endpoint Identifiers in L2VPN Signaling IP-Only LAN Service (IPLS) L2VPN OAM Requirements and Framework VPLS Interoperability with CE Bridges Supporting IP Multicast over VPLS Multicast in VPLS Propagation of VPLS IP Multicast Group Membership Information Use of PE-PE GRE or IP in BGP/MPLS IP Virtual Private Networks Requesting Attributes by Object Class in LDAP Multi-Segment Pseudowire Setup and Maintenance using LDP Experience with the LDP protocol LDP-based Autodiscovery for L2 Services Rationale for Location by Reference LowPan Neighbor Discovery Extensions LRDP: The Lightweight Remote Display Protocol Autoconfiguration in Optimized Link State Routing Protocol Long-Term Archive Service Requirements Long-term Archive Protocol (LTAP) Tags for Identifying Languages Matching Tags for the Identification of Languages Initial Language Subtag Registry Multicast Group Membership Discovery MIB Simplifying IPv6 MLD Snooping Switches Page 36/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 MANET draft-ietf-manet-smf-00 draft-perkins-manet-bcast-02 draft-wakikawa-manet-globalv6-04 draft-clausen-manet-olsrv2-00 MANRAL draft-bhatia-manral-diff-isis-ospf-01 MAT draft-inayat-mat-00 MBONED draft-ietf-mboned-routingarch-01 MDC draft-vitali-ietf-avt-mdc-lc-00 MEDIA draft-boulton-media-server-control-00 META draft-levis-meta-qos-class-00 MIB draft-ietf-disman-event-mib-v2-06 MIP4 draft-jin-mip4-ha-switch-00 MIP6 draft-montavont-mip6-mmi-02 draft-momose-mip6-mipsock-00 draft-deng-mip6-vrrp-homeagent-reliab…-00 draft-li-mip6-ha-init-bootstrap-00 MIPSHOP draft-haddad-mipshop-omm-01 draft-kempf-mipshop-nhood-discovery-00 draft-yokota-mipshop-3gfh-00 MO draft-glenn-mo-aggr-mib-05 MOBIKE draft-schilcher-mobike-pfkey-extension-01 draft-schilcher-mobike-trigger-api-01 MOBOPTS draft-irtf-mobopts-ro-enhancements-01 draft-melia-mobopts-niho-fmip-01 draft-ohba-mobopts-mpa-implementation-01 draft-ogawa-mobopts-dhcpv4-fho-00 MPA draft-ohba-mobopts-mpa-framework-01 MPLS draft-ietf-ccamp-gmpls-rsvp-te-ason-04 draft-bernstein-ccamp-gmpls-vcat-lcas-00 draft-ietf-ccamp-rsvp-restart-ext-03 draft-ietf-ccamp-inter-domain-rsvp-te-01 draft-ietf-ccamp-lsp-stitching-01 draft-ietf-ccamp-gmpls-ason-routing-eval-01 draft-ietf-iporpr-basic-00 draft-ietf-mpls-icmp-02 draft-ietf-mpls-oam-requirements-06 draft-ietf-mpls-lsr-self-test-05 draft-ietf-mpls-rsvp-te-p2mp-02 draft-oki-ccamp-gmpls-ip-interworking-06 draft-caviglia-mp2cpcp2mp-02 draft-otani-ccamp-interas-gmpls-te-03 draft-shiomoto-ccamp-gmpls-mrn-reqs-02 draft-leroux-ccamp-ctrl-saturation-01 draft-otani-ccamp-gmpls-cspf-constraints-01 draft-leroux-ccamp-gmpls-mrn-eval-01 draft-kumaki-ccamp-mpls-gmpls-inter….-01 draft-satoru-mpls-bgp-multipoint-02 draft-minei-mpls-ldp-p2mp-01 draft-papadimitriou-ccamp-gmpls-ethernet-00 draft-decraene-mpls-ldp-interarea-00 draft-leroux-mpls-mp-ldp-reqs-01 draft-nadeau-ccamp-gmpls-oam-require…-00 draft-nadeau-mpls-interas-lspping-01 draft-ashwood-ccamp-gmpls-constraint-…-00 draft-imajuku-ccamp-gmpls-vcat-lagr-req-00 draft-raggarwa-mpls-rsvp-ldp-upstream-00 MSCL draft-burger-mscl-thoughts-00 MSGHEAD draft-newman-msgheader-originfo-05 NEMO draft-ietf-nemo-multihoming-issues-03 draft-ietf-nemo-mib-01 draft-kumazawa-nemo-tbdnd-02 draft-kuntz-nemo-multihoming-test-02 draft-kniveton-nemo-prefix-delegation-01 draft-morioka-nemo-mrcoop-00 draft-bernardos-nemo-miron-00 NETCONF draft-ietf-netconf-prot-07 draft-atarashi-netconfmodel-architecture-02 draft-adwankar-netconf-reporting-00 draft-chisholm-netconf-event-00 draft-romascanu-netconf-datatypes-00 NEWS draft-ietf-usefor-usefor-05 draft-ietf-usefor-usepro-04 NEWTRK draft-lear-newtrk-decruft-experiment-01 draft-loughney-newtrk-one-size-fits-all-00 NFS draft-robinson-curstateid-00 NSIS draft-kappler-nsis-qosmodel-controlledload-02 draft-dressler-nsis-metering-nslp-02 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 14/07 30/06 19/07 12/07 22/07 14/07 12/07 13/07 29/06 30/06 20/07 12/07 15/07 12/07 12/07 13/07 20/07 11/07 12/07 19/07 19/07 20/07 20/07 19/07 19/07 12/07 19/07 20/07 11/07 19/07 19/07 15/07 20/07 12/07 20/07 21/07 19/07 19/07 19/07 30/06 20/07 19/07 18/07 21/07 19/07 21/07 20/07 19/07 11/07 11/07 20/07 11/07 19/07 12/07 12/07 12/07 11/07 28/05 20/07 19/07 12/07 20/07 21/07 12/07 13/07 30/06 15/07 12/07 12/07 14/07 11/07 18/07 14/07 13/07 15/07 15/07 21/07 Simplified Multicast Forwarding for MANET IP Flooding in Ad hoc Mobile Networks Global connectivity for IPv6 Mobile Ad Hoc Networks The Optimized Link-State Routing Protocol version 2 IS-IS and OSPF Difference Discussions Architecture for Supporting Node Mobility in Wireless IP Networks Overview of the Internet Multicast Routing Architecture Standard-compatible MDC and LC of Audio/Video Streams Media Server Request Protocol The Meta-QoS-Class concept Event MIB Mobile IPv4 Home Agent Switch Message Mobile IPv6 for multiple interfaces (MMI) API to exchange mobility information with Mobility subsystem Reliability and Load Balance among multiple Home Agents Home Agent Initiated Bootstrap for Mobile IPv6 Micromobility Management for Active and Dormant Mobile Nodes NEighborhood Discovery (NED) for Wireless Networks Mobile IPv6 Fast Handovers for 3G CDMA Networks The Managed Object Aggregation MIB MOBIKE Extensions for PF_KEY API to a Trigger Database for MOBIKE A Taxonomy and Analysis of Enhancements to Mobile IPv6 Route Network initiated handover in fast mobile IPv6 MPA Implementation Results DHCPv4 Extensions and Option for Fast Handovers A Framework of Media-Independent Pre-Authentication (MPA) GMPLSRSVP-TE Signalling in support of ASON VCAT and LCAS with Generalized Multi-Protocol Label Switching Extensions to GMPLS RSVP Graceful Restart Inter domain GMPLS Traffic Engineering - RSVP-TE extensions LSP Stitching with Generalized MPLS Traffic Engineering Evaluation of Routing Protocols against ASON Routing Requir. Mapping of IP/MPLS Packets into IEEE 802.17 ICMP Extensions for MultiProtocol Label Switching OAM Requirements for MPLS Networks Label Switching Router Self-Test Extensions to RSVP-TE for Point to Multipoint TE LSPs IP/MPLS-GMPLS interworking in support of IP/MPLS to GMPLS GMPLS Signaling Extensions for the Transfer of Ownership of LSP GMPLS Inter-domain Traffic Engineering Requirements Requirements for GMPLS-based MRN/MLN Procedure to handle (G)MPLS-TE control plane saturation GMPLS constraints consideration for CSPF path computation Evaluation of existing GMPLS Protocols against MLN/MRN Operational, Deployment and Interworking Considerations BGP Point to Multipoint LSP Label Distribution Protocol Extensions for Point-to-Multipoint LSP A Framework for Generalized MPLS (GMPLS) Ethernet LDP extensions for Inter-Area LSP Requirements for point-to-multipoint extensions to the LDP OAM Requirements for GMPLS Networks Detecting MPLS Data Plane Failures in Inter-AS and inter-provider Link Viability Constraints Requirements for GMPLS-enabled nets GMPLS extension reqs. for virtual concat. link aggregation control MPLS Upstream Label Assignment for RSVP-TE and LDP Media Server Control Language and Protocol Thoughts Originator-Info Message Header Analysis of Multihoming in Network Mobility Support NEMO Management Information Base Token based Duplicate Network Detection for split mobile network Evaluating Multiple Mobile Routers and Multiple NEMO-Prefixes Mobile Network Prefix Delegation Mobile Router Cooperation Protocol Mobile IPv6 Route Optimisation for Network Mobility (MIRON) NETCONF Configuration Protocol Netconf Architecture Model Reporting Schema for NetConf Protocol Netconf Event Messages Data Types for Netconf Data Models Netnews Article Format News Article Architecture and Protocols Getting rid of the cruft: an experiment to identify obsolete std A Single-Stage Standards Process NFSv4 current stateid QoS Model for Signal IntServ Controlled-Load Service with NSIS NSLP for Metering Configuration Signaling Page 37/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 draft-stiemerling-nsis-natfw-mrm-02 draft-juchem-nsis-ping-tool-02 draft-fessi-nsis-m-nslp-framework-01 draft-cheng-nsis-flowid-issues-01 draft-loughney-nsis-ext-01 draft-jeong-nsis-3gpp-qosm-01 draft-hancock-nsis-pds-problem-01 draft-ash-nsis-vertical-interface-00 draft-lee-nsis-multihoming-mobility-00 draft-ietf-nsis-qos-nslp-07 draft-ietf-nsis-nslp-natfw-07 draft-ietf-nsis-ntlp-07 draft-ietf-nsis-qspec-05 draft-ietf-nsis-applicability-mobility-signa..-02 NSLP draft-werner-nsis-natfw-nslp-statemachine-01 NTP draft-ietf-ntp-ntpv4-proto-00 draft-ietf-ntp-reqs-00 OLSR draft-clausen-olsr-passive-dad-00 draft-clausen-olsrv2-link-hysteresis-00 OPES draft-ietf-opes-smtp-use-cases-03 ORDERED draft-francois-ordered-fib-00 OSPF draft-ogier-manet-ospf-extension-04 draft-roy-ospf-smart-peering-00 draft-mirtorabi-ospf-tag-00 PANA draft-ohba-pana-preauth-00 draft-ietf-pana-framework-05 PCE draft-choi-pce-e2e-centralized-restor…srlg-03 draft-choi-pce-metric-protocol-02 draft-choi-pce-l1vpn-framework-02 draft-choi-pce-p2mp-framework-01 draft-vasseur-pce-pcep-01 draft-ietf-pce-architecture-01 draft-ietf-pce-comm-protocol-gen-reqs-01 draft-ietf-pce-discovery-reqs-01 PIM draft-ietf-pim-mib-v2-03 PKIX draft-pinkas-pkix-conf-crl-validation-02 draft-ietf-pkix-lightweight-ocsp-profile-02 pNFS draft-welch-pnfs-ops-03 draft-zelenka-pnfs-obj-01 draft-black-pnfs-block-01 PRIVACY draft-haddad-privacy-omipv6-anonymity-00 PWE3 draft-pan-pwe3-over-sub-ip-01 draft-pan-pwe3-protection-01 draft-frost-pwe3-timing-pw-reqs-00 draft-ietf-pwe3-pw-mib-06 draft-ietf-pwe3-pw-mpls-mib-07 draft-ietf-pwe3-pw-tc-mib-06 draft-ietf-pwe3-cep-mib-06 draft-ietf-pwe3-enet-mib-06 draft-ietf-pwe3-vccv-05 draft-ietf-pwe3-tdm-mib-03 draft-ietf-pwe3-cell-transport-03 draft-ietf-pwe3-segmented-pw-00 draft-ietf-pwe3-tdm-control-protocol-ext..-00 RADIUS draft-ietf-radext-rfc2486bis-06 draft-ietf-radext-ieee802-00 RDDP draft-ietf-rddp-rdmap-05 draft-ietf-rddp-ddp-05 RFC1888 draft-gray-rfc1888bis-01 RFC2413 draft-kunze-rfc2413bis-03 RFC2445 draft-cstoner-rfc2445bis-00 RFC2821 draft-klensin-rfc2821bis-00 RMONMIB draft-ietf-rmonmib-rmon2-v2-03 RMT draft-neumann-rmt-flute-file-aggregation-01 draft-roca-rmt-ldpc-00 draft-ietf-rmt-bb-lct-revised-00 draft-ietf-rmt-pi-alc-revised-00 draft-ietf-rmt-bb-fec-basic-schemes-rev…-00 ROHC draft-ietf-rohc-rtp-impl-guide-13 draft-ietf-rohc-sigcomp-impl-guide-05 draft-ietf-rohc-sigcomp-user-guide-02 draft-ietf-rohc-sigcomp-torture-tests-01 RSERPOO draft-silverton-rserpool-api-01 draft-ietf-rserpool-comp-10 draft-ietf-rserpool-asap-12 draft-ietf-rserpool-enrp-12 draft-ietf-rserpool-common-param-09 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 19/07 20/07 21/07 19/07 20/07 20/07 20/07 11/07 12/07 20/07 20/07 20/07 14/07 20/07 19/07 11/07 12/07 12/07 14/07 15/07 11/07 20/07 12/07 12/07 11/07 14/07 15/07 15/07 15/07 15/07 15/07 19/07 15/07 18/07 15/07 19/07 18/07 18/07 19/07 18/07 29/06 15/07 21/07 13/07 21/07 19/07 21/07 20/07 21/07 19/07 15/07 14/07 11/07 12/07 20/07 12/07 19/07 15/07 21/07 20/07 15/07 11/07 20/07 30/06 29/06 12/07 12/07 15/07 19/07 15/07 20/07 20/07 20/07 13/07 20/07 19/07 20/07 Loose End Message Routing Method for NATFW NSLP A stateless Ping tool for simple tests of GIMPS implementations Framework for Metering NSLP NSIS Flow ID and packet classification issues NSIS Extensibility Model 3GPP QoS Model for Networks Using 3GPP QoS Classes A Problem Statement for Path-Decoupled Signalling in NSIS User Application-to-User Plane Vertical Interface NSIS Signaling Protocols in Multihomed Mobile Networks NSLP for Quality-of-Service signalling NAT/Firewall NSIS Signaling Layer Protocol (NSLP) GIMPS: General Internet Messaging Protocol for Signaling QoS-NSLP QSPEC Template Applicability Statement of NSIS Protocols in Mobile Environments NAT/FW NSLP State Machine The Network Time Protocol Version 4 Protocol Specification Requirements for Network Time Protocol Version 4 OLSR Passive Duplicate Address Detection OLSRv2 Link Hysteresis OPES SMTP Use Cases Loop-free convergence using ordered FIB updates MANET Extension of OSPF using CDS Flooding Adjacency Reduction in OSPF using SPT Reachability Extensions to OSPFv2 for Advertising Optional Route/Link Attr Pre-authentication Support for PANA PANA Framework Fast End-to-End Restoration Mechanism with SRLG Path Computation Element Metric Protocol (PCEMP) Framework of PCEMP based Layer 1 Virtual Private Network Considerations of point-to-multipoint route opt.n using PCEMP PCE communication Protocol (PCEP) - Version 1 Path Computation Element (PCE) Architecture PCE Communication Protocol Generic Requirements Requirements for Path Computation Element (PCE) Discovery Protocol Independent Multicast MIB Conforming CRL validation for relying parties Lightweight OCSP Profile for High Volume Environments pNFS Operations Object-based pNFS Operations pNFS Block/Volume Layout Anonymity and Unlinkability Extension for CGA-OMIPv6 Dry-Martini: Supporting Pseudo-wires in Sub-IP Access Networks Pseudo Wire Protection Requirements for Pseudo Wires carrying Timing and Sync. Pseudo Wire (PW) Management Information Base Pseudo Wire (PW) over MPLS PSN Management Information Base Textual Conventions and OBJECT-IDENTITIES for Pseudo-Wires SONET/SDH CEP Management Information Base Using SMIv2 Ethernet Pseudo Wire (PW) Management Information Base Pseudo Wire Virtual Circuit Connectivity Verification (VCCV) Managed Objects for TDM over Packet Switched Network (PSN) PWE3 ATM Transparent Cell Transport Service Segmented Pseudo Wire Control Protocol Extensions for Setup of TDM Pseudowires The Network Access Identifier VLAN, Priority, and Filtering Attributes An RDMA Protocol Specification Direct Data Placement over Reliable Transports Internet Code Point Assignments The Dublin Core Metadata Element Set Internet Calendaring and Scheduling Core Object Specification Simple Mail Transfer Protocol Remote Network Monitoring Management Information Base V2 A File Aggregation Scheme for FLUTE Low Density Parity Check (LDPC) Forward Error Correction Layered Coding Transport (LCT) Building Block Asynchronous Layered Coding (ALC) Protocol Instantiation Basic Forward Error Correction (FEC) Schemes ROHC Implementer's Guide Implementer's Guide for SigComp SigComp Users' Guide SigComp Torture Tests Reliable Server Pooling Sockets API Extensions Comparison of Protocols for Reliable Server Pooling Aggregate Server Access Protocol (ASAP) Endpoint Handlespace Redundancy Protocol (ENRP) ASAP and ENRP Parameters Page 38/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 RSVP RSVPTE RTECN RTGWG RTP SCTP SDP SHIM6 SHIN SIEVE SIMPLE SIO SIP draft-ietf-ccamp-rsvp-te-exclude-route-04 draft-raggarwa-rsvpte-pw-02 draft-babiarz-rtecn-marking-00 draft-alexander-rtecn-use-cases-00 draft-dudley-rtecn-simulation-00 draft-ietf-rtgwg-ipfrr-spec-base-04 draft-ietf-rtgwg-microloop-analysis-00 draft-ietf-avt-rtcpssm-09 draft-ietf-avt-rtp-jpeg2000-08 draft-ietf-avt-rtp-midi-format-10 draft-ietf-avt-rtp-midi-guidelines-10 draft-ietf-avt-tfrc-profile-04 draft-ietf-avt-rtcp-xr-mib-02 draft-ietf-avt-rfc2833bisdata-02 draft-ietf-avt-rtp-jpeg2000-beam-01 draft-ietf-avt-rfc3555bis-00 draft-xie-avt-rtp-anti-shadow-01 draft-alexander-rtp-payload-for-ecn-prob…-01 draft-sollaud-avt-rtp-g729-scal-wb-ext-01 draft-perkins-avt-uncomp-video-ext-00 draft-clark-avt-rtcpxr-bis-00 draft-riegel-tuexen-mobile-sctp-05 draft-ietf-mmusic-sdp-new-25 draft-ietf-mmusic-rfc2326bis-10 draft-ietf-mmusic-offer-answer-examples-06 draft-ietf-mmusic-sdp-bfcp-02 draft-westerlund-mmusic-3gpp-sdp-rtsp-01 draft-hautakorpi-mmusic-sdp-media-cont-01 draft-bagnulo-shim6-mip-00 draft-you-shim6-l3shim-state-man….-00 draft-jang-shim6-address-selection-00 draft-ietf-shim6-l3shim-00 draft-ietf-shim6-applicability-00 draft-ietf-shim6-hba-00 draft-ietf-shim6-reach-detect-00 draft-ietf-shim6-functional-dec-00 draft-ra-shin-enum-mobileweb-01 draft-freed-sieve-date-index-00 draft-ietf-sieve-variables-04 draft-ietf-sieve-body-02 draft-ietf-sieve-3028bis-04 draft-burger-simple-imdn-01 draft-mahy-simple-xcap-alternative-01 draft-schulzrinne-simple-composition-00 draft-urpalainen-simple-presence-relaxng-00 draft-ietf-simple-message-sessions-11 draft-ietf-simple-rpid-08 draft-ietf-simple-cipid-06 draft-ietf-simple-presence-rules-03 draft-ietf-simple-msrp-relays-05 draft-ietf-simple-presence-data-model-03 draft-ietf-simple-partial-publish-03 draft-ietf-simple-xcap-diff-01 draft-mahy-mmusic-mbus-remotecc-01 draft-johnston-sipping-rtcp-summary-07 draft-jennings-sip-voicemail-uri-04 draft-hilt-sipping-session-spec-policy-03 draft-niemi-sipping-event-throttle-03 draft-jennings-sipping-instance-id-01 draft-levin-simple-interdomain-reqs-03 draft-jennings-sipping-pay-02 draft-tschofenig-sip-saml-04 draft-nomura-mmusic-img-notify-01 draft-mahy-mmusic-mbus-sdp-01 draft-kyzivat-sipping-gruu-reg-event-03 draft-mahy-sipping-16-02 draft-bryan-sipping-p2p-01 draft-jennings-sip-dtls-01 draft-jennings-sipping-multipart-01 draft-camarillo-sipping-sbc-funcs-01 draft-camarillo-sipping-user-database-01 draft-pskim-sip-mipv6-00 draft-jesske-sipping-tispan-analysis-00 draft-gurbani-sipping-ipv6-sip-00 draft-mahy-sipping-herfp-fix-00 draft-schulzrinne-sipping-id-relationships-00 draft-hasebe-sipping-exceptional-proc…-01 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 19/07 19/07 13/07 13/07 14/07 18/07 14/07 20/07 20/07 29/06 29/06 18/07 14/07 11/07 20/07 13/07 15/07 13/07 14/07 12/07 12/07 11/07 19/07 20/07 29/06 20/07 14/07 21/07 13/07 14/07 14/07 12/07 14/07 14/07 14/07 15/07 19/07 12/07 15/07 15/07 18/07 19/07 14/07 12/07 15/07 20/07 18/07 18/07 20/07 18/07 20/07 20/07 20/07 15/07 20/07 18/07 14/07 21/07 18/07 21/07 19/07 20/07 21/07 15/07 15/07 15/07 18/07 18/07 12/07 20/07 20/07 29/06 30/06 11/07 11/07 11/07 15/07 Exclude Routes - Extension to RSVP-TE Setup and Maintenance of Pseudowires using RSVP-TE Discussion of Congestion Marking with RT-ECN Real-time ECN Use Cases Simulation of RT-ECN based Admission Control and Preemption Basic Specification for IP Fast-Reroute: Loop-free Alternates Minimization of Microloops in Link-state Routing Protocols RTCP Ext for Single-Source Multicast Sessions Unicast Feedback RTP Payload Format for JPEG 2000 Video Streams RTP Payload Format for MIDI An Implementation Guide for RTP MIDI RTP Profile for TCP Friendly Rate Control RTCP XR VoIP Metrics Management Information Base Definition of Events For Modem, FAX, and Text Telephony Signals Enhanced Payload Format for Priority & Header Processing RTP MIME Type Registration of RTP Payload Formats RTP Payloads for Anti-shadow Redundancy RTP Payload Format for ECN Probing RTP payload format for the future scalable and wideband ext. RTP Payload Format for Uncompressed Video RTCP XR - New Parameter Extensions Mobile SCTP SDP: Session Description Protocol Real Time Streaming Protocol (RTSP) Session Description Protocol Offer/Answer Examples SDP Format for Binary Floor Control Protocol (BFCP) Streams SDP and RTSP extensions defined for 3GPP Packet-switched … The SDP (Session Description Protocol) Content Attribute SHIM - MIPv6 Interaction L3Shim state management using Vertical layered Communication Another Aspects of Address Selection in Multi6 Multihoming L3 Shim Approach Shim6 Applicability Statement Hash Based Addresses (HBA) Shim6 Reachability Detection Functional decomposition of the multihoming protocol IANA Registration for Enumservice Mobile Webpage Sieve Email Filtering: Date and Index Extensions Sieve Mail Filtering Language: Variables Extension Sieve Email Filtering: Body Extension Sieve: An Email Filtering Language IMDN for CPIM Messages XCAP for manipulating resource lists and authorization lists Composing Presence Information Combined Presence Schemas Utilizing RELAX NG The Message Session Relay Protocol Rich Presence Extensions to the Presence Information Data fmt CIPID: Contact Information in Presence Information Data Format Presence Authorization Rules Relay Extensions for the Message Sessions Relay Protocol (MSRP) A Data Model for Presence Publication of Partial Presence Information XML)Document Format for Indicating Changes in XCAP Resources Remote Call Control via Mbus and SIP SIP Service Quality Reporting Event Conventions for Voicemail URIs in SIP A Delivery Mechanism for Session-Specific SIP Session Policies SIP Event Notification Extension for Notification Throttling Instance Identifiers for SIP User Agents Inter-domain Requirements for SIP/SIMPLE Payment for Services in Session Initiation Protocol (SIP) Using SAML for SIP SIP Event Notification for Internet Media Guides Setting up Mbus Control Sessions with SIP and SDP Reg Event Package Extension for GRUUs Marketing Buzzword "SIP16" Considered Harmful A P2P Approach to SIP Registration and Resource Location Using DTLS as a Transport for SIP SIP Offer/Answer with Multipart Alternative SIP Unfriendly Functions in Current Communication Architectures SIP P-User-Database Private-Header (P-Header) A New Mechanism for SIP over Mobile IPv6 Analysis of the Input Requirements for theSIP in support for NGN Recommendations on the use of IPv6 in SIP A Solution to HERFP in the Session Initiation Protocol (SIP) Recommended Relationships between Different Types of Identif. Session Initiation Protocol Exceptional Procedure Examples Page 39/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 SMB SMIME SMLT SMTP SMURF SRMP TCP TCPM TIMEZON TIPC TLD TREE TSVWG TWO UDP V6OPS WEBDAV XCAST XCON ZININ draft-dolly-sipping-atis-ptsc-00 draft-schulzrinne-sipping-service-00 draft-rosenberg-sip-route-construct-00 draft-fries-sipping-identity-enterprise-…-00 draft-sohel-sipping-s-bc-concept-arch-00 draft-rosenberg-sipping-reg-sub-00 draft-niemi-sipping-cal-events-00 draft-niemi-sipping-subnot-issues-00 draft-petrie-sipping-sip-dataset-00 draft-ietf-sip-resource-priority-10 draft-ietf-sip-connect-reuse-04 draft-ietf-sip-gruu-04 draft-ietf-sip-refer-with-norefersub-02 draft-ietf-sip-target-dialog-01 draft-ietf-sip-location-conveyance-01 draft-ietf-sip-outbound-00 draft-ietf-sipping-service-examples-09 draft-ietf-sipping-cc-transfer-05 draft-ietf-sipping-config-framework-07 draft-ietf-sipping-app-interaction-fram…-05 draft-ietf-sipping-reason-header-for-pree…-03 draft-ietf-sipping-session-indep-policy-03 draft-ietf-sipping-consent-reqs-01 draft-ietf-sipping-consent-framework-02 draft-ietf-sipping-toip-01 draft-ietf-sipping-v6-transition-00 draft-crhertel-smb-url-09 draft-pinkas-smime-cades-00 draft-lapuh-network-smlt-05 draft-schmeing-smtp-priorities-00 draft-perkins-manet-smurf-00 draft-pullen-srmp-06 draft-ietf-dccp-tfrc-voip-02 draft-ietf-dccp-tfrc-faster-restart-00 draft-ietf-dccp-tfrc-media-00 draft-eggert-tcpm-tcp-retransmit-now-02 draft-ietf-tcpm-tcp-uto-01 draft-royer-timezone-registry-02 draft-maloy-tipc-tml-00 draft-kurtis-tld-ops-00 draft-thubert-tree-discovery-02 draft-babiarz-tsvwg-rtecn-04 draft-baker-tsvwg-vpn-signaled-pre…-03 draft-chan-tsvwg-diffserv-class-aggr-02 draft-saurin-tsvwg-tfrc-testing-00 draft-briscoe-tsvwg-cl-phb-00 draft-briscoe-tsvwg-cl-architecture-00 draft-ietf-tsvwg-tcp-mib-extension-07 draft-ietf-tsvwg-mlpp-that-works-01 draft-ietf-tsvwg-diffserv-service-classes-01 draft-hedayat-two-way-active-m..-protocol-01 draft-ietf-behave-rfc3489bis-02 draft-despres-v6ops-transition-v5roadmap-00 draft-ietf-webdav-rfc2518bis-07 draft-ietf-webdav-bind-12 draft-ooms-xcast-basic-spec-08 draft-hsu-xcast-bcp-2004-01 draft-jennings-xcon-media-control-03 draft-jennings-xcon-cscp-01 draft-garcia-xcon-private-messaging-reqs-01 draft-boulton-xcon-msrp-conferencing-01 draft-ietf-xcon-bfcp-05 draft-ietf-xcon-framework-01 draft-fenner-zinin-rtg-standard-reqts-00 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés 12/07 12/07 12/07 12/07 12/07 13/07 14/07 14/07 21/07 15/07 20/07 14/07 19/07 20/07 19/07 12/07 19/07 19/07 20/07 20/07 19/07 18/07 20/07 20/07 19/07 13/07 14/07 13/07 18/07 14/07 12/07 30/06 21/07 21/07 22/07 29/06 19/07 11/07 11/07 14/07 15/07 18/07 19/07 19/07 12/07 13/07 13/07 18/07 19/07 18/07 14/07 20/07 14/07 18/07 22/07 22/07 18/07 18/07 29/06 13/07 20/07 18/07 11/07 ATIS PTSC Work Program A Uniform Resource Name (URN) for Services Clarifying Construction of the Route Header Field in SIP SIP Identity Usage in Enterprise Scenarios Conceptual Deployment Scenarios of S/BC Functions Registration Coupled Subscriptions in SIP Session Initiation Protocol Event Packages for Calendaring Problems with SIP Events Framework The Core Session Initiation Protocol User Agent Profile Data Set Communications Resource Priority for SIP Connection Reuse in the Session Initiation Protocol (SIP) Obtaining and Using (GRUU in the Session Initiation Protocol (SIP) Suppression of SIP REFER Method Implicit Subscription Request Authorization through Dialog Identification in SIP Session Initiation Protocol Location Conveyance Managing Client Initiated Connections in SIP Session Initiation Protocol Service Examples Session Initiation Protocol Call Control - Transfer A Framework for SIP User Agent Profile Delivery A Framework for Application Interaction in SIP Extending the SIP Reason Header for Preemption Events Document Format and Session-Independent Delivery Mechanism Requirements for Consent-Based Communications in SIP A Framework for Consent-Based Communications in SIP Framework of requirements for real-time text conv using SIP. IPv6 Transcition in the Session Initiation Protocol (SIP) SMB File Sharing URI Scheme CMS Advanced Electronic Signatures (CAdES) Split Multi-link Trunking (SMLT) SMTP Service Extension for Priority Message Handling Multicast Minimal Congestion Using Connected Dominating Sets Selectively Reliable Multicast Protocol (SRMP) TCP Friendly Rate Control (TFRC) for Voice: VoIP Variant Faster Restart for TCP Friendly Rate Control (TFRC) Strategies for Streaming Med App Using TCP-Friendly Rate Control TCP Extensions for Immediate Retransmissions TCP User Timeout Option Time Zone Registry TIPC based TML for the ForCES protocol Operation of TLD zones Nested Nemo Tree Discovery Congestion Notification Process for Real-Time Traffic QoS Signaling in a Nested Virtual Private Network Aggregation of DiffServ Service Classes TFRC Testing Strategies The Controlled Load per hop behaviour An architecture for E2E controlled load service using … TCP Extended Statistics MIB Implementing MLPP for Voice and Video in Internet Protocol Suite Configuration Guidelines for DiffServ Service Classes A Two-way Active Measurement Protocol (TWAMP) Simple Traversal of UDP Through Network Address Translators The v5 Approach for the Transition from IPv4 to IPv6 HTTP Extensions for Distributed Authoring - WebDAV RFC2518 bis Binding Extensions to Web Distributed Authoring and Versioning Explicit Multicast (Xcast) Basic Specification Best Current Practices of XCAST (Explicit Multi-Unicast) by 2004 Media Conference Server Control for XCON Conference State Change Protocol (CSCP) Requirements for PM in Centralized Conference Environments Centralized Conferencing (XCON) Using MSRP The Binary Floor Control Protocol (BFCP) A Framework and Data Model for Centralized Conferencing Internet Routing Protocol Standardization Criteria Page 40/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 NOS COMMENTAIRES LES RFC RFC4107 / BCP107 Guidelines for Cryptographic Key Management Le RFC4107 ‘Guidelines for Cryptographic Key Management’, édité par S.Bellovin et R.Housley, s’inscrit dans la liste des bonnes pratiques, ou ‘BCP’, sous la référence BCP 107. Ce très court document – sept pages en tout et pour tout – détaille les critères de décision permettant d’opter, soit en faveur de l’automatisation de la gestion des clefs cryptographiques, ou au contraire, en faveur d’une gestion purement manuelle. Les auteurs considèrent ainsi qu’un mécanisme automatique doit être 1. Introduction privilégié dès lors qu’une seule des conditions suivantes est remplie: 2. Guidelines # L’environnement impose d’avoir à gérer quelques n2 clefs statiques, n 2.1. Automated Key Management 2.2. Manual Key Management étant grand, # Un algorithme de chiffrement de flux est utilisé (ie: RC4, AES-TR, AES2.3. Key Size and Random Values 3. Security Considerations CCM par exemple), 4. References # Une grande quantité de données peut avoir à être chiffrée en un court 4.1. Normative References laps de temps induisant de nombreux changements de clefs de session, 4.2. Informative References # Un vecteur d’initialisation risque d’être fréquemment réutilisé. A contrario, une gestion manuelle des clefs peut raisonnablement être envisagée lorsque: # La bande passante des communications est très réduite, # L’information protégée est d’une faible valeur, # Un déploiement à très faible échelle est effectué, # Le volume total des échanges sur la durée de vie de la clef de session à long terme est faible. ftp://ftp.isi.edu/in-notes/rfc4107.txt LES DRAFTS DRAFT-IETF-INCH-PHISHINGEXTNS-01 Extension to IODEF-Document Class for Phishing, Fraud, & Other Non-Network Layer Reports Edité par le cabinet de conseil Cooper-Cain et l’Anti-Phishing Working Group, cette proposition de standard vient s’inscrire dans le cadre plus large du projet de définition d’un modèle normalisé de description des incidents de sécurité, modèle dit ‘IODEF’ (Rapport N°53 – Décembre 2002). Elle propose une extension de ce modèle permettant de prendre en compte les incidents liés à des tentatives de fraude. Quatre objets suffisent à modéliser ce type d’activité: - la source de l’attaque, - la victime de l’attaque, - le fraudeur, - le point de collecte des données volées à la victime. La proposition ‘IODEF Fraud Report Extensions’ vise à intégrer, dans le modèle IODEF, les éléments relatifs aux incidents associés à ce type d’activité par le biais d’une extension de l’objet ‘EventData’. La fraude sera caractérisée par l’énumération ‘FraudType’ éventuellement complétée de l’attribut ‘FraudParameter’. Les types suivants sont actuellement définis: - PhishEmail - RecruitEmail - MalwareEmail - FraudSite - DNSSpoof - Keylogger - OLE - IM - CVE - SiteArchive Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 41/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 - SpamReport - Unknown On notera que les auteurs ont volontairement décliné plusieurs types de fraudes perpétrées par un même biais, le système de messagerie, en optant pour une définition à plat et non structurée des catégories. On retrouve ainsi mélangées des références à un support de présentation (la messagerie), à un procédé d’acquisition (Keylogger, IM) ou encore à une vulnérabilité (référence CVE) … La table des matières de cette proposition de ce standard est la suivante: 1 Introduction 1.1 Why a Common Report Format is Needed 1.2 Relation to the INCH IODEF Data Model 2 The Elements of Phishing/Fraud Activity 3 Fraud Actvitiy Reporting via an IODEF-Document Incident 4 PhraudReport Element Definitions 4.1 Version parameter 4.2 Identifying A Fraud campaign 4.3 FraudedBrandName Element 4.4 The Data Collection Site Element (DCSite) 4.5 OriginatingSensor Element 4.6 TakeDownInfo Element 4.7 ArchivedData Element 4.8 RelatedData Element 4.9 CorrelationData Element 4.10 PRComments Element 4.11 EmailRecord Element 5 IODEF Required Elements 5.1 Fraud or Phishing Report 5.2 Wide-Spread Spam Report 5.3 Guidance on Usage 6 Security Considerations 7 IANA Considerations 8 Contributors 9 Normative References A Phishing Extensions XML Schema B Phishing Extensions XML DTD C Examples of Complete Fraud Activity Reports C.1 Sample Phish/Malware Email Report C.2 Received Email C.3 Generated Report D Sample Spam Report ftp://ftp.nordu.net/internet-drafts/draft-ietf-inch-phishingextns-01.txt http://tools.ietf.org/wg/inch/draft-ietf-inch-iodef/draft-ietf-inch-iodef-03.txt - Proposition de standard IODEF Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 42/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 ALLEER RT TE ES SE ET T AT TT TA AQ QU UE ES S ALERTES GUIDE DE LECTURE La lecture des avis publiés par les différents organismes de surveillance ou par les constructeurs n’est pas toujours aisée. En effet, les informations publiées peuvent être non seulement redondantes mais aussi transmises avec un retard conséquent par certains organismes. Dès lors, deux alternatives de mise en forme de ces informations peuvent être envisagées : Publier une synthèse des avis transmis durant la période de veille, en classant ceux-ci en fonction de l’origine de l’avis, Publier une synthèse des avis transmis en classant ceux-ci en fonction des cibles. La seconde alternative, pour séduisante quelle soit, ne peut être raisonnablement mise en œuvre étant donné l’actuelle diversité des systèmes impactés. En conséquence, nous nous proposons de maintenir une synthèse des avis classée par organisme émetteur de l’avis. Afin de faciliter la lecture de ceux-ci, nous proposons un guide de lecture sous la forme d’un synoptique résumant les caractéristiques de chacune des sources d’information ainsi que les relations existant entre ces sources. Seules les organismes, constructeurs ou éditeurs, disposant d’un service de notification officiel et publiquement accessible sont représentés. Avis Spécifiques Constructeurs Réseaux Systèmes Avis Généraux Editeurs Systèmes Indépendants Editeurs Hackers Editeurs Organismes Autres US Autres Aus-CERT 3Com Compaq Linux Microsoft l0pht AXENT BugTraq CERT Cisco HP FreeBSD Netscape rootshell ISS @Stake CIAC IBM NetBSD SGI OpenBSD SUN SCO Typologies des informations publiées Publication de techniques et de programmes d’attaques Détails des alertes, techniques et programmes Synthèses générales, pointeurs sur les sites spécifiques Notifications détaillées et correctifs techniques L’analyse des avis peut être ainsi menée selon les trois stratégies suivantes : Recherche d’informations générales et de tendances : Lecture des avis du CERT et du CIAC Maintenance des systèmes : Lecture des avis constructeurs associés Compréhension et anticipation des menaces : Lecture des avis des groupes indépendants Aus-CERT CERT 3Com Compaq Microsoft Cisco HP Netscape BugTraq rootshell AXENT NetBSD @Stake l0pht ISS OpenBSD IBM Xfree86 SGI Linux SUN FreeBSD CIAC Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 43/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 FORMAT DE LA PRESENTATION Les alertes et informations sont présentées classées par sources puis par niveau de gravité sous la forme de tableaux récapitulatifs constitués comme suit : Présentation des Alertes EDITEUR TITRE Description sommaire Informations concernant la plate-forme impactée Gravité Date Produit visé par la vulnérabilité Description rapide de la source du problème Correction URL pointant sur la source la plus pertinente Référence Référence(s) CVE si définie(s) Présentation des Informations SOURCE TITRE Description sommaire URL pointant sur la source d’information Référence(s) CVE si définie(s) SYNTHESE MENSUELLE Le tableau suivant propose un récapitulatif du nombre d’avis publiés pour la période courante, l’année en cours et l’année précédente. Ces informations sont mises à jour à la fin de chaque période de veille. L’attention du lecteur est attirée sur le fait que certains avis sont repris et rediffusés par les différents organismes. Ces chiffres ne sont donc représentatifs qu’en terme de tendance et d’évolution. Période du 28/06/2005 au 28/07/2005 Organisme US-CERT TA US-CERT ST CIAC Constructeurs Cisco HP IBM SGI Irix Sun Editeurs BEA Oracle Macromedia Microsoft Novell Unix libres Linux RedHat Linux Fedora Linux Debian Linux Mandr. FreeBSD Autres iDefense eEye NGS Soft. Période 26 4 1 21 23 4 5 2 0 12 5 0 1' 1 2 2 105 15 30 34 19 7 12 12 0 0 Cumul 2005 2004 181 261 12 30 14 2 155 229 149 220 18 28 22 55 16 19 3 12 90 106 72 105 12 28 4 5 4 7 36 45 16 20 600 659 178 143 146 147 146 193 111 152 19 24 131 142 96 81 5 23 30 38 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Cumul 2005 - Constructeurs Cumul 2004 - Constructeurs Cisco 12% Sun 60% Cisco 13% Sun 48% HP 15% SGI Irix 2% SGI Irix 5% IBM 11% Cumul 2004 - Editeurs Cumul 2005 - Editeurs Novell 22% BEA 17% Novell 19% Oracle 6% Microsoft 49% HP 25% IBM 9% Macrom edia 6% Microsoft 42% BEA 27% Oracle Macromedia 5% 7% Page 44/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 ALERTES DETAILLEES AVIS OFFICIELS Les tables suivantes présentent une synthèse des principales alertes de sécurité émises par un organisme fiable, par l’éditeur du produit ou par le constructeur de l’équipement. Ces informations peuvent être considérées comme fiables et authentifiées. En conséquence, les correctifs proposés, s’il y en a, doivent immédiatement être appliqués. ADOBE Débordement de buffer dans Adobe 'Reader' pour Unix Un débordement de buffer peut entraîner l'exécution de code arbitraire. Forte 05/07 Adobe 'Reader' versions 5.0.9 et 5.0.10 sur Linux, Solaris, HP-UX et AIX Débordement de buffer Correctif existant 'UnixAppOpenFilePerform()' http://www.idefense.com/application/poi/display?id=279&type=vulnerabilities iDefense http://www.adobe.com/support/techdocs/329083.html Adobe CAN-2005-1625 Multiples vulnérabilités dans 'Reader' et 'Acrobat' Deux vulnérabilités peuvent autoriser, entre autres, un attaquant distant à exécuter des applications arbitraires. Forte 28/06 Adobe 'Reader' et 'Acrobat' versions 7.0 et 7.0.1 (Mac OS X) Correctif existant JavaScript , Outil de mise à jour Erreur de codage http://www.adobe.com/support/techdocs/331711.html Adobe http://www.adobe.com/support/techdocs/331709.html CAN-2005-1623, CAN-2005-1624 APACHE Débordement de buffer dans 'mod_ssl' Un débordement de buffer peut entraîner un déni de service. Forte 25/07 Apache 'httpd' version non disponible 'mod_ssl' Débordement de buffer Aucun correctif https://rhn.redhat.com/errata/RHSA-2005-582.html Red Hat CAN-2005-1268 APPLE Déni de service dans 'Darwin Streaming Server' Une erreur peut entraîner un déni de service de cette application. Forte 12/07 Apple 'Darwin Streaming Server' version 5.5 (Windows) Erreur de codage Correctif existant Interface Web d'administration http://lists.apple.com/archives/security-announce//2005/Jul/msg00001.html Apple CAN-2005-2195 Deux vulnérabilités dans 'Mac OS X' Deux vulnérabilités peuvent entraîner la corruption d'applications arbitraires et un déni de service. Forte 12/07 Apple 'Mac OS X' et 'Mac OS X Server' versions 10.4 et 10.4.1 Erreur de conception, Déréférencement de pointeur NULL Correctif existant 'Dashboard', Pile 'TCP/IP' http://docs.info.apple.com/article.html?artnum=301948 Apple http://lists.apple.com/archives/security-announce//2005/Jul/msg00000.html Apple CAN-2005-2194 Vulnérabilité dans la carte Wifi 'AirPort' Une erreur de conception peut entraîner une fausse impression de sécurité. Forte 18/07 Apple 'Mac OS X' versions 10.3.3 à 10.3.9, versions 1.4 et 10.4.1 Erreur de conception Correctif existant Carte Wifi 'AirPort' http://lists.apple.com/archives/security-announce//2005/Jul/msg00002.html Apple CAN-2005-2196 BITDEFENDER Contournement de l'anti-virus (Linux & FreeBSD) Une faille permet à un code malicieux de contourner la protection qu'ils offrent. Forte 14/07 BitDefender 'Antivirus & Antispam for Linux and FreeBSD Mail Servers' version du moteur 1.6.1 et inférieures Correctif existant BitDefender Bugtraq BitDefender 'BitDefender Mail Protection for Small Business' version du moteur 1.6.1 et inférieures Pièces jointes multiples Erreur de conception http://download.bitdefender.com/linux/mailserver/RELEASE_NOTES http://archives.neohapsis.com/archives/bugtraq/2005-07/0226.html Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 45/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 CENTERICQ Corruption d'informations dans 'CenterICQ' Une faille permet à un utilisateur local de corrompre des fichiers arbitraires. Moyenne 13/07 CenterICQ 'CenterICQ' version 4.20 Client 'CenterICQ' Création de fichiers temporaires non sécurisée Aucun correctif http://www.fr.debian.org/security/2005/dsa-754 Debian CAN-2005-1914 CISCO Accès non autorisés via 'RADIUS' Une faille permet à un attaquant distant de contourner le système d'authentification 'RADIUS' Forte 29/06 Cisco 'IOS' versions 12.2 à 12.4 - Voir l'avis original pour le détail des versions affectées. Correctif existant Traitement du nom d'utilisateur Non disponible http://www.cisco.com/warp/public/707/cisco-sa-20050629-aaa.shtml Cisco Déni de service dans les multiplexeurs 'ONS 15216 OADM' Une faille permet à un attaquant distant de provoquer un déni de service de cette interface, et de l'équipement Forte 13/07 Cisco 'ONS 15216 OADM' firmware version 2.2.2 et précédentes Non disponible Correctif existant Gestion des connexions telnet http://www.cisco.com/warp/public/707/cisco-sa-20050713-ons.shtml Cisco Déni de service via le 'Cisco Security Agent' ('CSA') Une faille dans le 'CSA' permet à un attaquant distant de provoquer un déni de service du système qui l'héberge. Forte 13/07 Cisco 'CSA' version 4.5 (Windows, excepté Windows XP) Non disponible Correctif existant Agent 'Cisco Security Agent' http://www.cisco.com/warp/public/707/cisco-sa-20050713-csa.shtml Cisco Multiples vulnérabilités dans Cisco 'CallManager' De multiples vulnérabilités peuvent entraîner des dénis de service et l'exécution de code arbitraire. Forte 12/07 'CallManager' V3.2 et inf. , V3.3 inf. à 3.3(5), V4.0 inf. à 4.0(2a)SR2b, V4.1 inf. à 4.1(3)SR1 Multiples vulnérabilités Correctif existant Se reporter à l’avis original http://www.cisco.com/warp/public/707/cisco-sa-20050712-ccm.shtml Cisco CLAMAV Multiples vulnérabilités dans l'anti-virus 'ClamAV' De multiples débordements d'entiers peuvent provoquer un déni de service et la compromission du système. Critique 26/07 ClamAV 'clamav' versions inférieures à 0.86.2 Débordement d'entier Correctif existant Fichiers 'TNEF', 'CHM', 'FSG' http://secunia.com/advisories/16180/ Secunia http://sourceforge.net/project/shownotes.php?release_id=344514 Clamav CUPS Accès non autorisés dans 'CUPS' Une faille permet à un utilisateur de créer des travaux dans des files d'impression qui lui sont interdites. Moyenne 13/05 CUPS 'CUPS' versions inférieures à 1.1.21rc1 Erreur de codage Correctif existant Listes de contrôle d'accès http://rhn.redhat.com/errata/RHSA-2005-571.html Red Hat http://www.cups.org/str.php?L700 CUPS CAN-2004-2154 DNRD Multiples vulnérabilités dans le serveur DNS 'DNRD' Deux failles peuvent provoquer un déni de service de l'application et l'exécution de code arbitraire. Forte 22/07 DNRD 'Domain Name Relay Daemon' (DNRD) version 2.19 et inférieures Débordement de buffer et de pile Correctif existant Requêtes DNS spécifiques http://sourceforge.net/project/shownotes.php?group_id=72&release_id=343762 DNRD http://securitytracker.com/id?1014557 SecurityTracker CAN-2005-2315, CAN-2005-2316 DRUPAL Elévation de privilèges dans 'Drupal' Plusieurs failles permettent de provoquerl'exécution de scripts PHP et d'obtenir une élévation de ses privilèges. Forte 01/06 Drupal 'Drupal' V4.4 inférieures à 4.4.3, V4.5 inférieures à 4.5.4, V4.6 inférieures à 4.6.2 Validation insuffisante des données en entrée Correctif existant Se référer à l’avis original drupal-sa-2005-001/advisory.txt drupal-sa-2005-002/advisory.txt drupal-sa-2005-003/advisory.txt Drupal CAN-2005-1921, CAN-2005-2106, CAN-2005-2116 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 46/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 EDGEWALL Exposition et corruption d'informations dans 'Trac' Une faille permet à un attaquant distant de provoquer l'exposition et la corruption d'informations. Forte 20/06 Edgewall Software 'Trac' versions inférieures à 0.8.4 Validation insuffisante des données en entrée Correctif existant Scripts visualisation de fichiers http://secunia.com/advisories/15752 Secunia http://projects.edgewall.com/trac/wiki/ChangeLog#_084 Edgewall Soft. CAN-2005-2007, CAN-2005-2147 EKG Multiples vulnérabilités dans le client 'ekg' De multiples failles peuvent entraîner, entre autres, la corruption de fichiers arbitraires. Forte 18/07 Ekg 'ekg' version 2005-06-05 Script 'linki.py' Création non sécurisée de fichiers temporaires Aucun correctif http://www.debian.org/security/2005/dsa-760 Debian CAN-2005-1850, CAN-2005-1851, CAN-2005-1916 ETHEREAL Nombreuses vulnérabilités dans 'Ethereal' De nombreuses vulnérabilités affectent de multiples dissecteurs de l'outil 'Ethereal Forte 26/07 Ethereal 'Ethereal' versions 0.8.5 à 0.10.11 Débordement de buffer, Déréférencement de pointeur NULL Correctif existant Se référer à l’avis original http://www.ethereal.com/appnotes/enpa-sa-00020.html Ethereal FETCHMAIL Exécution de code arbitraire dans 'fetchmail' Une faille permet de provoquer l'exécution de code arbitraire sur un serveur vulnérable. Forte 21/07 Fetchmail 'fetchmail' versions inférieures à 6.2.5.2 Débordement de pile Correctif existant Client 'POP3' de 'fetchmail' http://fetchmail.berlios.de/fetchmail-SA-2005-01.txt Fetchmail http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=212762 Debian http://www.freebsd.org/cgi/query-pr.cgi?pr=83805 FreeBSD CAN-2005-2335 FREEBSD Erreur de codage dans l'algorithme 'AES-XCBC-MAC' Une erreur de codage peut autoriser un attaquant distant à obtenir un accès non autorisé à des ressources. Critique 28/07 FreeBSD 'FreeBSD' versions 5.3, 5.4 et beta 6.0 Erreur de codage Correctif existant Algorithme 'AES-XCBC-MAC' ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-05:19.ipsec.asc FreeBSD CAN-2005-2359 Accès non autorisés dans 'FreeBSD' Une faille permet à un processus d'obtenir un accès à des périphériques qui devraient lui être interdits. Forte 20/07 FreeBSD 'FreeBSD' versions 5.x. Consultez l'avis original pour le détail des versions vulnérables. Erreur de codage Correctif existant Système de fichiers 'devfs' ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-05:17.devfs.asc FreeBSD CAN-2005-2218 Multiples vulnérabilités dans FreeBSD Plusieurs vulnérabilités peuvent entraîner le contournement des règles de sécurité et un déni de service. Forte 29/06 FreeBSD 'FreeBSD' version 5.4 et versions 4.10, 4.11, 5.3 et 5.4 Erreur de codage Correctif existant Filtrage de paquets 'ipfw' FreeBSD FreeBSD Gestion des paquets TCP Erreur de conception ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-05%3A15.tcp.asc ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-05%3A13.ipfw.asc CAN-2005-2019, CAN-2005-2068 GNU Multiples failles dans 'readelf' Plusieurs failles ont été découvertes dans l'utilitaire GNU 'readelf', livré dans le paquetage 'binutils. Forte 29/06 GNU 'binutils' version 2.5.92 et précédentes Débordements de buffer, Fuites de mémoire Correctif existant Utilitaire 'readelf' http://www.redhat.com/archives/fedora-announce-list/2005-June/msg00081.html Fedora http://sourceware.org/ml/binutils/2005-06/msg00330.html GNU http://www.redhat.com/archives/fedora-announce-list/2005-June/msg00082.html Fedora Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 47/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 IBM Déni de service dans 'Tivoli Management Framework' Une erreur de conception dans IBM 'Tivoli Management Framework' peut entraîner un déni de service temporaire. Forte 07/07 IBM 'Tivoli Management Framework' version 4.1.1 Erreur de conception Correctif existant "Endpoint", processus 'lcfd' http://www-1.ibm.com/support/docview.wss?uid=swg21210334 IBM Déni de service du serveur FTP d'IBM 'AIX' Une vulnérabilité peut entraîner une dégradation des performances ou un déni de service de cette application. Moyenne 08/07 IBM 'AIX' versions 5.1, 5.2 et 5.3 Non disponible Correctif existant Serveur FTP 'ftpd' http://www.auscert.org.au/render.html?it=5243 IBM via AusCert K5N.US Exposition d'informations dans 'WebCalendar' Une erreur de codage peut entraîner l'exposition d'informations. Forte 27/07 k5n.us 'WebCalendar' versions inférieures à 1.0.0 Erreur de codage Correctif existant Script 'assistant_edit.php' http://www.securityfocus.com/bid/14072 Bugtraq BID http://www.debian.org/security/2005/dsa-766 Debian KDE Exécution de code arbitraire dans 'Kopete' Des failles permettent potentiellement de provoquer l'exécution de code arbitraire à distance. Forte 21/07 KDE 'KDE' versions 3.2.3 à 3.4.1 et KDE 'Kopete' versions 0.9 à 0.9.3 et 0.10 à 0.10.2 Validation insuffisante des données en entrée, Débordements d'entiers Correctif existant Bibliothèque 'libgadu' http://www.kde.org/info/security/advisory-20050721-1.txt KDE CAN-2005-1852 Exposition d'informations dans 'Kate' et 'Kwrite' Une faille peut rendre accessible une copie des fichiers édités à des utilisateurs n'y ayant pas droit. Faible 18/07 KDE 'KDE' versions 3.2.0 à 3.4.0 Erreur de codage Correctif existant Fichiers de sauvegarde http://www.kde.org/info/security/advisory-20050718-1.txt KDE CAN-2005-1920 KERBEROS Multiples failles dans Kerberos 5 Trois vulnérabilités peuvent être utilisées pour compromettre des royaumes Kerberos entiers. Critique 12/07 MIT 'krb5' versions 1.3 à 1.4.1, se référer à l’avis original Correctif existant 'KDC','kpropd', 'klogind', 'krshd' Débordement de tas, Double libération de mémoire, … http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2005-003-recvauth.txt MIT http://web.mit.edu/kerberos/www/advisories/MITKRB5-SA-2005-002-kdc.txt MIT CAN-2005-1174, CAN-2005-1175, CAN-2005-1689 LINUX Elévation de privilèges dans le noyau Linux (64 bits) Une faille permet à un utilisateur local d'obtenir les privilèges du noyau. Forte 06/07 Linux 'noyau' versions 2.4 à 2.4.31 (x86-64 et ia64) Correctif existant Kernel.org SureSec Linux 'noyau' versions 2.6 à 2.6.6 (x86-64 et ia64) Fonction 'sys32_execve()' Débordement de buffer http://www.kernel.org/pub/linux/kernel/v2.4/testing/patch-2.4.32.log http://www.suresec.org/advisories/adv4.pdf CAN-2005-1768 LINUX-HA Corruption d'information dans 'heartbeat' Une faille permet à un utilisateur local de provoquer la corruption de fichiers arbitraires. Forte 12/07 Linux-HA 'heartbeat' version 1.2.3 et précédentes Se référer à l’avis original Création non sécurisée de fichiers temporaires Aucun correctif http://secunia.com/advisories/16039 Secunia http://www.debian.org/security/2005/dsa-761 Debian CAN-2005-2291 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 48/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 MACROMEDIA Exposition et corruption d'informations dans 'JRun' En cas de forte charge, une erreur dans 'JRun' peut faire en sorte que deux utilisateurs partagent la même session. Moyenne 14/07 Macromedia 'JRun' version 4.0 Non disponible Correctif existant Jetons de session http://www.macromedia.com/devnet/security/security_zone/mpsb05-05.html Macromedia MAILENABLE Multiples vulnérabilités dans 'MailEnable Professional' Deux failles permettent de provoquer des dénis de service de l'application et l'exécution de code arbitraire. Forte 08/07 MailEnable 'MailEnable Professional' versions inférieures à 1.6 Non disponible Correctif existant Services 'HTTPMail' et 'SMTP' Security Tracker http://securitytracker.com/alerts/2005/Jul/1014427.html http://www.mailenable.com/professionalhistory.asp MailEnable MCAFEE Accès non autorisés aux équipements 'WebShield' Une faille permet à un utilisateur de se connecter sans autorisation à l'interface du produit. Forte 28/07 McAfee 'WebShield' versions 3.0x Correctif existant Authentification des utilisateurs Non disponible http://knowledgemap.nai.com/KanisaSupportSite/search.do;&externalId=KBkb41837xml McAfee MICROSOFT Exécution de code arbitraire dans 'Word' Un débordement de buffer dans Microsoft 'Word' peut entraîner l'exécution de code arbitraire. Critique 12/07 Microsoft 'Word 2000' (Office 2000 SP3), 'Word 2002' (Office XP SP3) Correctif existant Microsoft 'Works Suite 2000', 'Works Suite 2001', 'Works Suite 2002', 'Works Suite 2003', 'Works Suite 2004' Polices de caractères Débordement de buffer http://www.microsoft.com/technet/security/Bulletin/MS05-035.mspx CAN-2005-0564 Exécution de code arbitraire via 'JView Profiler' Une vulnérabilité dans l'objet COM 'JView Profiler' peut être exploitée afin d'exécuter du code arbitraire sur un poste vulnérable. Critique 12/07 Microsoft IE V 5.01 SP4, V 5.5 SP2, V 6 et 6 SP1. Consultez le bulletin original pour le détail des versions. Erreur de codage Correctif existant Objet COM 'JView Profiler' http://www.microsoft.com/technet/security/Bulletin/MS05-037.mspx Microsoft CAN-2005-2087 Exécution de code dans le gestionnaire de couleurs Un débordement de buffer peut entraîner l'exécution de code arbitraire. Critique 12/07 Windows 2000 SP4, XP SP1 & SP2, XP Professional x64 Edition, Server 2003, Server 2003 SP1, 98, 98 SE,ME Correctif existant Module de gestion des couleurs, Débordement de buffer http://www.microsoft.com/technet/security/Bulletin/MS05-036.mspx Microsoft CAN-2005-1219 Exécution de code arbitraire via un contrôle ActiveX Une erreur de conception peut autoriser un attaquant distant à exécuter du code arbitraire sur un poste vulnérable. Forte 27/06 Microsoft 'Office' version XP, 'Visio' version 2002, 'SharePoint Portal Server' version 2001 Erreur de conception Correctif existant Contrôle "Log Sink Class" http://www.kb.cert.org/vuls/id/165022 US-CERT CAN-2005-0360 Déni de service via 'Remote Desktop Protocol' Une vulnérabilité peut entraîner un déni de service dans celles-ci. Moyenne 16/07 Microsoft Windows 2000 SP4, XP SP1 et SP2, XP Professional x64 Edition, Server 2003, Server 2003 SP1 Gestion des requêtes 'RDP' Non disponible Palliatif proposé http://www.microsoft.com/technet/security/advisory/904797.mspx Microsoft MOZILLA Failles dans 'Firefox', 'Thunderbird', 'Mozilla Suite' Les dernières versions de 'Firefox', de 'Mozilla Suite' et de 'Thunderbird' corrigent de nombreuses vulnérabilités. Forte 12/07 Se référer à l’avis original Se référer à l’avis original Correctif existant Se référer à l’avis original mfsa2005-45.html mfsa2005-46.html mfsa2005-47.html mfsa2005-48.html mfsa2005-49.html Mozilla mfsa2005-50.html mfsa2005-51.html mfsa2005-52.html mfsa2005-53.html mfsa2005-54.html mfsa2005-55.html mfsa2005-56.html v Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 49/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 NETBSD Déni de service local dans NetBSD Une vulnérabilité peut entraîner un déni de service de la plateforme. Forte 30/06 NetBSD 'NetBSD' versions 1.6, 1.6.1, 1.6.2, 2.0, 2.0.1 et 2.0.2 Correctif existant Pilotes cartes son 'clcs','emuxki' Erreur de codage ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2005-002.txt.asc NetBSD NET-SNMP Déni de service dans 'Net-SNMP' Une vulnérabilité non documentée peut autoriser un attaquant distant à provoquer un déni de service. Forte 06/07 Net-SNMP 'Net-SNMP' versions 5.0.1 à 5.0.9, versions 5.1 à 5.1.2, versions 5.2 et 5.2.1 Non disponible Correctif existant Non disponible http://sourceforge.net/mailarchive/forum.php?thread_id=7659656&forum_id=12455 Net-SNMP http://www.securityfocus.com/bid/14168 Bugtraq NOKIA Elévation de privilèges à distance dans 'affix' Deux failles permettent à un attaquant distant d'exécuter du code à distance et d'obtenir des privilèges élevés.. Critique 12/07 Nokia 'affix' versions 2.1.1 et 3.2.0, Nokia 'affix' version 3.2.0 Débordement de buffer et Validation insuffisante des données en entrée Correctif existant client 'btftp', serveur 'btsrv' http://www.digitalmunition.com/DMA%5B2005-0712a%5D.txt DigitalMunition http://www.digitalmunition.com/DMA%5B2005-0712b%5D.txt DigitalMunition http://www.fr.debian.org/security/2005/dsa-762 Debian CAN-2005-2250, CAN-2005-2277 NOVELL "Cross-Site Scripting" dans GroupWise 6.5.5 WebAccess Une faille permet à un attaquant de mener des attaques de type "Cross-Site Scripting". Forte 18/07 Novel 'GroupWise' version 6.5.5 révision D (NetWare, Windows) Non disponible Correctif existant Composant 'WebAccess' http://support.novell.com/cgi-bin/search/searchtid.cgi?/10098301.htm Novell Débordement de buffer dans Novell 'GroupWise' Le client Novell 'GroupWise' est vulnérable à un débordement de buffer pouvant entraîner un déni de service. Moyenne 18/07 Novell 'GroupWise' version 6.5 Débordement de buffer Correctif existant Fichiers de configuration http://support.novell.com/cgi-bin/search/searchtid.cgi?/10098314.htm Novell CAN-2005-2346 ORACLE Nombreuses vulnérabilités dans les produits Oracle Les produits Oracle sont vulnérables à de multiples failles qui peuvent entraîner de multiples dommages. Critique 12/07 Se référer à l’avis original Multiples vulnérabilités Correctif existant Se référer à l’avis original http://www.oracle.com/technology/deploy/security/pdf/cpujul2005.html Oracle PERL Vulnérabilité dans le module 'Net::Server' Une faille dans le module CPAN 'Net::Server' de Perl permet de provoquer à distance un déni de service applicatif. Forte 15/04 Perl 'Net::Server' version 0.87 Correctif existant fonction "Sys::Syslog::syslog()" Erreur de codage http://lists.suse.com/archive/suse-security-announce/2005-Jul/0004.html SuSE http://www.osvdb.org/15517 OSVDB http://archives.neohapsis.com/archives/fulldisclosure/2005-04/0330.html Full-Disclosure CAN-2005-1127 PHPBB "Cross-Site Scripting" via 'phpBB' Une mauvaise validation de balises peut autoriser un attaquant à mener des attaques de "Cross-Site Scripting". Forte 19/07 phpBB 'phpBB' version 2.0.16 et inférieures Mauvaise validation des données en entrée Correctif existant Gestion des balises 'url' http://www.debian.org/security/2005/dsa-768 Debian http://www.phpbb.com/phpBB/viewtopic.php?t=308490 phpBB CAN-2005-2161 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 50/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 PHYSTECH Déni de service dans le client DHCP 'dhcpcd' Une faill permet à un attaquant distant de provoquer un déni de service de celui-ci. Forte 11/07 PhysTech 'dhcpcd' version 1.3.22 Non disponible Erreur de codage Aucun correctif http://www.debian.org/security/2005/dsa-750 Debian CAN-2005-1848 PROFTPD Erreurs de chaîne de formatage dans 'ProFTPD' Deux erreurs de chaîne de formatage peuvent provoquer, entre autres, l'exposition d'informations. Forte 26/07 ProFTPD 'ProFTPD' version 1.3.0rc1 et inférieures Erreur de chaîne de formatage Correctif existant Outil 'ftpshut' ProFTPD Directive 'SQLShowInfo' http://www.proftpd.org/docs/RELEASE_NOTES-1.3.0rc2 SAP Exposition d'informations sensibles via 'SAP R/3' Une vulnérabilité dans un composant de 'SAP R/3' peut entraîner une exposition d'informations sensibles. Forte 25/07 SAP 'SAP R/3' Traversée de répertoires Correctif existant 'Internet Graphics Server' Corsaire Security http://www.corsaire.com/advisories/c050503-001.txt http://www.niscc.gov.uk/niscc/docs/al-20050725-00623.html?lang=en Unirass CAN-2005-1691 SCO Déni de service via le service 'RPCBind' Une vulnérabilité non documentée peut entraîner un déni de service. Forte 27/07 SCO 'UnixWare' versions 7.1.1 m5, 7.1.3 mp5, 7.1.4 mp2 Non disponible Correctif existant 'RPCBind' (RPC portmapper) ftp://ftp.sco.com/pub/updates/UnixWare/SCOSA-2005.31/SCOSA-2005.31.txt SCO SERIES60 Déni de service via 'Bluetooth' Une faille permet de provoquer à distance le redémarrage de ces téléphones (déni de service). Forte 27/06 Series 60 'Series 60' tous modèles Noms périphériques 'Bluetooth' Non disponible Aucun correctif http://archives.neohapsis.com/archives/bugtraq/2005-06/0235.html 0227.html 0236.html Bugtraq http://www.series60.com/products Series60.com SGI Elévation de privilèges à distance dans 'SGI ProPack' Une vulnérabilité permet à un attaquant distant d'obtenir les privilèges de l'utilisateur "root" sur le système. Critique 04/07 SGI 'SGI ProPack' version 3 SP5 et SP6 et 'SGI ProPack' version 4 Non disponible Correctif existant Commande 'arshell' ftp://patches.sgi.com/support/free/security/advisories/20050701-01-P.asc SGI CAN-2005-1859 SHOREWALL Accès non autorisés dans 'Shorewall' Une faille permet à certains utilisateurs de contourner toutes les règles d'accès configurées. Forte 17/07 Shorewall 'Shorewall' versions 2.0.x, 2.2.x et 2.4.x et Erreur de codage Correctif existant 'MACLIST_TTL' Full-Disclosure Shorewall 'MACLIST_DISPOSITION' http://archives.neohapsis.com/archives/fulldisclosure/2005-07/0429.html http://www.shorewall.net/News.htm#20050717 SOPHOS Débordement de buffer dans l'anti-virus Sophos Un débordement de buffer, dont les conséquences ne sont pas décrites, affecte l'anti-virus 'Sophos Anti-Virus'. Forte 28/07 'Sophos Anti-Virus' versions inf. à 3.96.0, versions inf. à 4.5.4, 'Sophos Anti-Virus Small Business Edition' Débordement de buffer Correctif existant Non disponible http://www.securityfocus.com/bid/14362 Bugtraq http://www.sophos.com/support/knowledgebase/article/3409.html Sophos Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 51/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 SQUIRRELMAIL Corruption d'informations sensibles dans 'SquirrelMail' Une faille dans 'SquirrelMail' permet à un utilisateur distant de modifier des variables internes critiques. Forte 14/07 SquirrelMail 'SquirrelMail' versions inférieures à 1.4.5 Erreur de codage Correctif existant Script 'options_identities.php' http://www.squirrelmail.org/changelog.php SquirrelMail GulfTech Security http://www.gulftech.org/?node=research&article_id=00090-07142005 http://www.debian.org/security/2005/dsa-756 Debian CAN-2005-2095 SSH Exposition d'information sensible dans 'Tectia Server' Un utilisateur peut obtenir une copie de la clef privée d'un serveur SSH 'Tectia Server' Forte 30/06 SSH Communications Security 'Tectia Server' version 4.3.1 et précédentes (Windows) Correctif existant SSH SSH Communications Security 'Secure Shell' toutes versions (Windows) Fichier 'hostkey' Droits d'accès trop permissifs http://www.ssh.com/company/newsroom/article/653 SUN Multiples vulnérabilités dans 'Sun Management Center' De multiples vulnérabilités peuvent autoriser un attaquant à exécuter du code arbitraire. Forte 15/07 Sun 'Sun Management Center' V 3.5 update 1 (Solaris 8 et 9), V 3.5 update 1a (Solaris 8, 9 et 10) Multiples vulnérabilités Correctif existant 'Sun Management Center' http://sunsolve.sun.com/search/document.do?assetkey=1-26-101782-1 Sun Vulnérabilité dans la bibliothèque 'libmle' Une vulnérabilité non documentée peut provoquer l'exécution de code et de commandes avec des droits privilégiés. Forte 25/07 Sun 'Solaris' versions 7 et 8 (Sparc) Non disponible Correctif existant Bibliothèque 'libmle' http://sunsolve.sun.com/search/document.do?assetkey=1-26-101807-1 Sun SYBASE Débordement de buffer dans Sybase 'EAServer' Un débordement de buffer peut être exploité afin d'exécuter du code arbitraire. Forte 15/07 Sybase 'EAServer' V4.2, 4.2.2, 4.2.5, 5.0, 5.1 et 5.2. Consultez le bulletin original pour le détail des versions. Débordement de buffer Correctif existant Script "TreeAction.do" http://www.sybase.com/detail?id=1036742 Sybase http://www.spidynamics.com/spilabs/advisories/sybaseEAserverOverflow.htm SPI Dynamics UNIX Deux failles dans le module PAM 'pam_krb5' Deux failles permettent de provoquer un déni de service de Kerberos et/ou du module lui-même. Forte 13/07 Unix 'pam_krb5' version 1.3 Gestion du fichier de ticket Erreur de codage Aucun correctif SuSE Module 'pam_krb5' http://lists.suse.com/archive/suse-security-announce/2005-Jul/0004.html XEROX Multiples failles dans 'WorkCentre' et 'WorkCentre Pro' De multiples vulnérabilités peuvent autoriser un attaquant distant à obtenir un accès non autorisé, à provoquer un déni de service, à obtenir des informations et à mener des attaques de type "Cross-Site Scripting". Forte 18/07 Xerox 'WorkCentre' versions M35, M45, M55, M165 et M175 Correctif existant Secunia Xerox Xerox 'WorkCentre Pro' V32 Color, 35, 40 Color, 45, 55, 65, 75, 90, 165 et 175 Serveur Web 'MicroServer' Mauvaise validation des données fournies en entrée http://secunia.com/advisories/16167 http://www.xerox.com/downloads/usa/en/c/cert_XRX05_007.pdf Multiples vulnérabilités dans Xerox 'WorkCentre Pro' De multiples vulnérabilités peuvent autoriser un attaquant distant à obtenir un accès non autorisé, à provoquer un déni de service, à obtenir des informations et à mener des attaques de type "Cross-Site Scripting". Forte 21/06 Xerox 'WorkCentre Pro' versions C2128, C2636 et C3545 MFD Mauvaise validation des données fournies en entrée Correctif existant Serveur Web 'MicroServer' http://secunia.com/advisories/15970/ Secunia http://www.xerox.com/downloads/usa/en/c/cert_XRX05_006.pdf Xerox Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 52/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 ZLIB Débordement de buffer dans la bibliothèque 'zlib' Un débordement de buffer peut entraîner un déni de service des applications utilisant cette bibliothèque, et une exécution de code arbitraire. Forte 07/07 Zlib 'zlib' versions 1.2 à 1.2.2 Flux de données compressées Débordement de buffer Aucun correctif http://lists.suse.com/archive/suse-security-announce/2005-Jul/0001.html SuSE https://rhn.redhat.com/errata/RHSA-2005-569.html Red Hat ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/FreeBSD-SA-05:16.zlib.asc FreeBSD http://www.debian.org/security/2005/dsa-740 Debian http://securitytracker.com/id?1014398 SecurityTracker CAN-2005-2096 Déni de service dans 'zlib' Une faille dans 'zlib' permet de provoquer un déni de service de cette bibliothèque. Forte 20/07 Zlib 'zlib' version non disponible Bibliothèque 'zlib' Validation insuffisante des données en entrée Aucun correctif http://www.debian.org/security/2005/dsa-763 Debian CAN-2005-1849 ALERTES NON CONFIRMEES Les alertes présentées dans les tables de synthèse suivantes ont été publiées dans diverses listes d’information mais n’ont pas encore fait l’objet d’une annonce ou d’un correctif de la part de l’éditeur. Ces alertes nécessitent la mise en place d’un processus de suivi et d’observation. 3COM Vulnérabilité dans le point d'accès Wifi OfficeConnect Une vulnérabilité peut entraîner une exposition d'informations sensibles. Forte 25/07 3Com Point d'accès WiFi 11g OfficeConnect 3CRWE454G72 avec firmware version inférieure à 1.03.12 Non disponible Correctif existant Non disponible http://secunia.com/advisories/16207/ Secunia http://www.securityfocus.com/bid/14370 Bugtraq BID ACCESSREMOTEPC Exposition d'informations dans 'Access Remote PC' Une erreur de conception permet à un utilisateur local d'obtenir les noms d'utilisateurs et mots de passe du produit. Forte 04/07 Access Remote PC 'Access Remote PC' version 4.5.1 Stockage des identifiants Erreur de conception Aucun correctif Security Tracker http://securitytracker.com/alerts/2005/Jul/1014377.html ADOBE Création non sécurisée de fichier dans 'Acrobat Reader' Une création non sécurisée de fichiers temporaires peut entraîner une exposition d'informations. Moyenne 29/06 Adobe 'Acrobat Reader' version 5.0.10 (Linux) Création non sécurisée de fichiers temporaires Correctif existant 'Reader' http://secunia.com/advisories/14457/ Secunia CAN-2005-1912 ALT-N Deux failles dans le serveur 'imapd' de 'MDaemon' Deux vulnérabilités affectent le serveur IMAP 'imapd' de 'MDaemon'. Elles peuvent entraîner un déni de service. Forte 18/07 ALT-N 'MDaemon' version non disponible Serveur 'imapd' Débordement de pile Aucun correctif http://lists.grok.org.uk/pipermail/full-disclosure/2005-July/035295.html Full-Disclosure AOL/NULLSOFT Exécution de code arbitraire dans 'WinAMP' Une faille dans 'WinAMP' permet de provoquer l'exécution de code arbitraire sur une machine vulnérable. Forte 14/07 AOL/NullSoft 'WinAMP' versions 5.03a, 5.09 et 5.091 (Windows XP SP1 et 2000) Aucun correctif LSS Marqueurs 'ID3v2' Débordement de buffer http://security.lss.hr/en/index.php?page=details&ID=LSS-2005-07-14 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 53/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 CA "Cross-Site Scripting" via 'eTrust SiteMinder' L'application 'eTrust SiteMinder' est vulnérable à des attaques de type "Cross-Site Scripting". Forte 09/07 Computer Associates 'eTrust SiteMinder' version 5.5 CGI 'smpwservicescgi.exe' Mauvaise validation des données fournies en entrée Aucun correctif http://securitytracker.com/id?1014433 SecurityTracker CACTI Multiples vulnérabilités dans 'Cacti' De multiples failles peuvent mener à l'exposition d'informations sensibles e tà arbitraires à distance. Forte 01/07 Cacti 'Cacti' versions inférieures à 0.8.6f Erreur de codage Correctif existant Script 'graph.php' Hardened-PHP Hardened-PHP Hardened-PHP l'exécution de commandes Script 'graph_image.php' Script 'config.php' http://www.hardened-php.net/advisory-042005.php http://www.hardened-php.net/advisory-032005.php http://www.hardened-php.net/advisory-052005.php CHECKPOINT Exposition de données sensibles dans 'SecuRemote NG' Une faille permet à un attaquant local d'obtenir les identifiants de connexion à un réseau privé virtuel (VPN). Forte 12/07 CheckPoint 'SecuRemote NG' avec "Application Intelligence (R54)" Agent 'SecuRemote NG' avec Non disponible Aucun correctif Security Focus "Application Intelligence (R54)" http://www.securityfocus.com/bid/14221 CLAMAV Multiples dénis de service dans 'ClamAV' Deux erreurs de codage peuvent entraîner des dénis de service de cette application. Forte 29/06 ClamAV 'ClamAV' versions 0.83 Erreur de codage Correctif existant Se reporter à l’avis original http://www.idefense.com/application/poi/display?id=275&type=vulnerabilities iDefense http://www.idefense.com/application/poi/display?id=276&type=vulnerabilities iDefense CAN-2005-1922, CAN-2005-1923 CLEARSWIFT Contournement du filtrage dans 'MIMEsweeper for Web' Une vulnérabilité non documentée peut autoriser le contournement du filtrage offert par le produit. Forte 12/07 Clearswift 'MIMEsweeper for Web' versions inférieures à 5.1 Non disponible Correctif existant 'Portable Code Manager' http://securitytracker.com/id?1014456 SecurityTracker ECI Prise de contrôle à distance des routeurs B-FOCuS 312+ Une vulnérabilité non documentée peut autoriser un attaquant distant à en prendre le contrôle. Critique 27/07 ECI modem routeur 'B-FOCus 312+' Interface Web d'administration Non disponible Aucun correctif http://www.securiteam.com/securitynews/5XP0L20GAQ.html Securiteam F5 NETWORKS Déni de services des connexions SSL dans 'BIG-IP' Une faille dans 'BIG-IP' permet à un attaquant distant de provoquer l'interruption de connexions SSL. Forte 12/07 F5 Networks 'BIG-IP' versions 9.0.2 à 9.1 Non disponible Correctif existant Authentification SSL http://secunia.com/advisories/16008 Secunia FUSE Exposition d'informations sensibles dans 'fuse' Une erreur de codage peut entraîner une exposition d'informations sensibles. Forte 06/06 Fuse 'fuse' versions inférieures à 2.3.0 Erreur de codage Correctif existant Désallocation de la mémoire http://www.debian.org/security/2005/dsa-744 Debian http://online.securityfocus.com/bid/13857 Bugtraq BID CAN-2005-1858 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 54/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 GNU Corruption d'informations sensible dans 'GNATS' Une faille dans 'GNATS' permet à un utilisateur local de corrompre des fichiers arbitraires du système. Forte 07/07 GNU 'GNATS' versions 4.0 et 4.1.0 Utilitaire 'gen-index' Erreur de codage Aucun correctif http://archives.neohapsis.com/archives/fulldisclosure/2005-07/0117.html Full-Disclosure Exécution de commandes arbitraires via 'Vim' Une vulnérabilité non documentée peut provoquer l'exécution de commandes arbitraires. Moyenne 26/07 Vim 'vim' versions inférieures à 6.3.082 Non disponible Correctif existant Fonctions 'glob()' et 'expand()' http://secunia.com/advisories/16206/ Secunia HOSTINGCONTROL Exposition d'informations dans 'Hosting Controller' Une faille permet à un utilisateur d'accéder à des fichiers appartenant à d'autres utilisateurs. Forte 28/07 Hosting Controller 'Hosting Controller' version 6.1 "hotfix" 2.1 et 2.2 'admin/com/comgetfile.asp' Erreur de codage Aucun correctif Security Tracker http://securitytracker.com/alerts/2005/Jul/1014577.html IBM Corruption de données sensibles dans Access Connections Une faille permet à un utilisateur local malicieux de lire et de modifier des informations de configuration du produit. Forte 27/07 IBM 'Access Connections' versions 3.x Section '' Erreur de configuration Aucun correctif http://secunia.com/advisories/16222 Secunia "Cross-Site Scripting" dans 'Lotus Notes' Une erreur de conception autorise un attaquant distant à mener des attaques de type "Cross-Site Scripting". Forte 06/07 IBM 'Lotus Notes' version non disponible Gestion des pièces jointes HTML Erreur de conception Aucun correctif http://marc.theaimsgroup.com/?l=bugtraq&m=112068002529201&w=2 Bugtraq Exposition d'informations dans 'Lotus Domino' Une erreur de conception peut autoriser un utilisateur distant malveillant à obtenir des informations sensibles. Forte 26/07 IBM 'Lotus Domino' versions R5 et R6 Erreur de conception Correctif existant Configuration par défaut http://www.securityfocus.com/archive/1/406567 Bugtraq JAWS Exécution de code arbitraire dans 'JAWS' Il est possible de provoquer l'inclusion et l'exécution de scripts PHP arbitraires distants dans 'JAWS'. Forte 06/07 JAWS 'JAWS' version 0.5.2 et inférieures Erreur de conception Correctif existant Variable globale 'path' http://www.hardened-php.net/advisory-072005.php Hardened PHP LANTRONIX Exposition d'informations détenues par "SecureLinx" Une erreur de conception permet à un attaquant distant d'obtenir des informations sensibles. Critique 07/07 Lantronix 'SLC' versions 8, 16, 32 et 48 (firmwares 2.0 et 3.0) '/etc/ssh' et '/cifsshare/logs' Droits d'accès trop permissifs Aucun correctif http://archives.neohapsis.com/archives/bugtraq/2005-07/0100.html Bugtraq LINUX DEBIAN Exposition d'informations dans Debian GNU/Linux Une erreur de configuration peut entraîner l'exposition d'informations. Moyenne 06/07 Debian GNU/Linux version 3.1 (sarge) Paquetage 'apt' Permissions laxistes Aucun correctif http://www.securityfocus.com/bid/14173 Bugtraq BID MAILENABLE Elévation de privilèges à distance dans 'MailEnable' Une faille permet provoquer l'exécution de code arbitraire avec les privilèges de l'utilisateur "System". Critique 12/07 MailEnable 'MailEnable Professional' versions 1.5 à 1.54, 'MeilEnable Enterprise' versions 1.0 à 1.04 Débordement de pile Correctif existant Commande IMAP 'STATUS' http://www.coresecurity.com/common/showdoc.php?idx=467&idxseccion=10 CoreLabs Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 55/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 MCAFEE Multiples vulnérabilités dans 'ISM System' Deux vulnérabilités peuvent autoriser un attaquant distant à mener des attaques de type "Cross-Site Scripting" et un utilisateur authentifié à élever ses privilèges. Forte 06/07 McAfee 'IntruShield Security Management System' ('ISM System') Se référer à l’avis original Mauvaise validation des données en entrée Aucun correctif http://www.securityfocus.com/bid/14167 Bugtraq BID MICROSOFT Déni de service dans 'FrontPage' Une vulnérabilité peut entraîner un déni de service du système. Forte 01/07 Microsoft 'FrontPage' XP Gestion de la balise "STYLE" Non disponible Aucun correctif http://securitytracker.com/id?1014352 SecurityTracker Déni de service de 'aspnet_wp.exe' (ASP.NET) Il est possible de provoquer à distance un déni de service de 'aspnet_wp.exe Forte 11/07 Microsoft 'ASP.NET' version non disponible Données "RCP/Encoded" Erreur de codage Aucun correctif http://www.spidynamics.com/spilabs/advisories/aspRCP.html SPI Dynamics Déni de service du navigateur 'Internet Explorer' Une vulnérabilité non documentée dans la gestion des objets COM peut entraîner un déni de service de celui-ci. Forte 29/06 Microsoft 'Internet Explorer' version 6.0 (XP SP2) Gestion des objets COM Non disponible Aucun correctif http://lists.grok.org.uk/pipermail/full-disclosure/2005-June/034746.html Full-Disclosure Déni de service du navigateur 'Internet Explorer' Une vulnérabilité non documentée affecte la gestion des applications basées sur la méthode 'AJAX' Forte 26/07 Microsoft 'Internet Explorer' version 6.0 Gestion des applications 'AJAX' Non disponible Aucun correctif http://www.securityfocus.com/archive/1/406559 Bugtraq Dénis de service réseau dans 'netman.dll' Une faille permet de provoquer un déni de service des fonctions réseau dans de nombreux services du système. Forte 14/07 Microsoft 'Windows 2000' SP4, 'Windows XP' SP2. D'autres versions de Windows sont peut-être vulnérables. Bibliothèque 'netman.dll' Débordement d'entier Aucun correctif http://secunia.com/advisories/16065 Secunia http://archives.neohapsis.com/archives/fulldisclosure/2005-07/0262.html Full-Disclosure http://archives.neohapsis.com/archives/fulldisclosure/2005-07/0263.html Full-Disclosure Exposition d'informations sensibles dans Windows Une erreur de conception peut entraîner l'exposition d'informations sensibles. Forte 07/07 Microsoft Windows NT 4.0, Windows 2000 SP4 et inférieures Gestion des sessions NULL Erreur de conception Palliatif proposé http://lists.grok.org.uk/pipermail/full-disclosure/2005-July/034959.html Full-Disclosure http://www.hsc.fr/ressources/presentations/null_sessions/ JB Marchand CAN-2005-2150 Déni de service des applications 'Office' Une faille permet de provoquer un déni de service de n'importe quelle application 'Office' ouverte. Moyenne 27/07 Microsoft 'Office' version non disponible Section partagée Droits d'accès trop permissifs Aucun correctif http://archives.neohapsis.com/archives/bugtraq/2005-07/0447.html Bugtraq MOZILLA Déni de service dans plusieurs navigateurs Plusieurs navigateurs sont vulnérables à un déni de service à travers du code 'JavaScript'. Forte 29/06 Mozilla 'Mozilla' version 1.7.8, Mozilla 'Firefox' version 1.0.4, Mozilla 'Camino' version 0.8.4 Interpréteur 'JavaScript' Non disponible Palliatif proposé http://www.kurczaba.com/html/security/0506241.htm Kurczaba Ass. Déni de service dans 'XPCOM' Une faille permet de provoquer un déni de service des applications basées sur cette bibliothèque. Forte 21/07 Mozilla 'XPCOM', Mozilla 'Firefox', Mozilla 'Mozilla'’, Netscape 'Netscape', Gnome 'Galeon', … Modèle de composants objets Non disponible Aucun correctif http://www.gulftech.org/?node=research&article_id=00091-07212005 GulfTech Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 56/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Multiples vulnérabilités dans 'bugzilla' Plusieurs vulnérabilités peuvent entraîner l'exposition d'informations sensibles. Forte 07/07 Mozilla 'bugzilla' versions 2.17.1, 2.18.1, 2.19.1 et 2.19.3, 'bugzilla' version 2.17.1 et supérieures Erreurs de codage et de conception Correctif existant Script 'process_bug.cgi', … http://securitytracker.com/id?1014428 SecurityTracker http://www.bugzilla.org/security/2.18.1/ Bugzilla NAVIGATEURS Multiples failles dans le traitement des images JPEG Les bibliothèques d'affichage contiennent des failles autorisant des dénis de services et l'exécution de code. Forte 15/07 Microsoft 'Internet Explorer' version 6.0 (Windows XP SP2) et Opera 'Opera' version 8.01 Images au format JPG Non disponible Aucun correctif http://archives.neohapsis.com/archives/fulldisclosure/2005-07/0289.html Full-Disclosure http://archives.neohapsis.com/archives/fulldisclosure/2005-07/0292.html Full-Disclosure NETPBM Exécution de commandes arbitraires via 'NetPBM' Une vulnérabilité peut autoriser l'exécution de commandes arbitraires. Forte 24/07 NetPBM 'NetPBM' version 10.0 Conversion fichiers 'PostScript' Erreur de codage Aucun correctif http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=319757 Debian Bug NOVELL "Cross-Site Scripting" dans 'NetMail' Une erreur de codage peut autoriser un attaquant distant à mener des attaques de type "Cross-Site Scripting". Forte 08/07 Novell 'NetMail' version 3.52 Gestion des pièces jointes HTML Erreur de codage Aucun correctif http://secunia.com/advisories/15962/ Secunia OPENLDAP Exposition d'informations sensibles via 'OpenLDAP' Une vulnérabilité peut entraîner l'exposition d'un mot de passe en clair sur le réseau. Forte 01/07 OpenLDAP 'OpenLDAP' versions 2.1.25 et 2.2.26, PADL Software 'pam_ldap' build 166 Connexions utilisant 'TLS' Erreur de codage Aucun correctif http://www.securityfocus.com/bid/14125 Bugtraq BID http://www.securityfocus.com/bid/14126 Bugtraq BID CAN-2005-2069 OPERA Usurpation de type de fichiers dans 'Opera' Une erreur de codage permet de tromper un utilisateur sur le type réel du fichier qu'il est en train de télécharger. Moyenne 28/07 Opera 'Opera' version 8.01 Erreur de codage Correctif existant Dialogue de téléchargement http://secunia.com/advisories/15870/ Secunia ORACLE Multiples vulnérabilités dans plusieurs produits De multiples failles permettent par exemple d'obtenir une élévation de privilèges à distance. Forte 18/07 Se référer à l’avis original Se référer à l’avis original Erreur de conception, Validation insuffisante des données en entrée Aucun correctif http://www.red-database-security.com/advisory/oracle_reports_various_css.html Red database sec. Red database sec. http://www.red-database-security.com/advisory/oracle_reports_read_any_file.html Red database sec. http://www.red-database-security.com/advisory/oracle_forms_run_any_os_command.html Red database sec. http://www.red-database-security.com/advisory/oracle_reports_read_any_xml_file.html Red database sec. http://www.red-database-security.com/advisory/oracle_reports_overwrite_any_file.html Red database sec. http://www.red-database-security.com/advisory/oracle_reports_run_any_os_command.html OSTICKET Injection de code SQL et de fichiers dans 'osTicket' Deux faille permettent de provoquer à distance l'injection de code SQL et de fichiers arbitraires. Forte 01/07 osTicket 'osTicket' version 1.3.1 beta et inférieures Scripts variés Validation insuffisante des données en entrée, Erreur de codage Aucun correctif http://archives.neohapsis.com/archives/bugtraq/2005-07/0010.html Bugtraq Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 57/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 PHP Exécution de code arbitraire via 'XML_RPC' Une vulnérabilité non documentée peut entraîner l'exécution de code arbitraire. Forte 30/06 PHP PEAR 'XML_RPC' versions inférieures à 1.3.1 Non disponible Correctif existant Non disponible http://secunia.com/advisories/15861/ Secunia CAN-2005-1921 PHPPGADMIN Exposition d'informations dans 'phpPgAdmin' Un manque de validation des données dans l'outil 'phpPgAdmin' peut entraîner une exposition d'informations. Forte 07/07 phpPgAdmin 'phpPgAdmin' version 3.5.3 Script 'index.php' Mauvaise validation des données fournies en entrée Aucun correctif http://securitytracker.com/id?1014414 SecurityTracker PREVX Déni de service dans 'PrevX Pro 2005' Plusieurs faille permettent à un attaquant de contourner une des protections offertes par ce produit ou de provoquer un déni de service de l'application ou du système. Forte 01/07 PrevX 'PrevX Pro 2005' Se référer à l’avis original Erreur de conception Aucun correctif http://archives.neohapsis.com/archives/fulldisclosure/2005-07/0001.html Full-Disclosure RARITAN Elévation de privilèges dans plusieurs appliances Des vulnérabilités permettent d'obtenir des accès privilégiés et/ou de provoquer un déni de service du système. Forte 28/06 Raritan 'DSX' modèles 4, 8, 16, 32 et A-48 Absence de mot de passe par défaut, Droits d'accès trop permissifs Correctif existant Comptes 'sshd' et 'dominion' Bugtraq Fichiers '/etc/shadow' et '/bin/busybox' http://archives.neohapsis.com/archives/bugtraq/2005-06/0248.html CAN-2005-2132 SIEMENS Déni de service des routeurs Wifi 'Santis 50' Une vulnérabilité peut entraîner un déni de service et une exposition d'informations. Forte 26/07 Siemens routeur Wifi Santis 50 avec firmware version 4.2.8.0 Interface Web d'administration Non disponible Aucun correctif http://www.securityfocus.com/bid/14372 SecurityFocus BID SKYPE Création de fichiers non sécurisée dans 'Skype' Une vulnérabilité autorise un utilisateur local à corrompre des fichiers arbitraires et à acquérir des privilèges élevés. Forte 16/07 Skype 'Skype' version 1.1.0.20 et inférieures (Linux) Images liées aux profils Création de fichiers temporaires non sécurisée Aucun correctif http://lists.grok.org.uk/pipermail/full-disclosure/2005-July/035130.html Full-Disclosure SOPHOS Déni de service dans l'analyse des fichiers 'BZIP2' Les produits anti-virus sont vulnérables à un déni de service à distance, dans leur bibliothèque d'analyse des archives au format 'BZIP2'. Forte 14/07 Se référer à l’avis original Correctif existant Traitement des archives 'BZIP2' Validation insuffisante des données en entrée http://www.idefense.com/application/poi/display?id=283&type=vulnerabilities iDefense CAN-2005-1530 SPI DYNAMICS Exécution de scripts arbitraires via 'WebInspect' Une vulnérabilité peut provoquer l'exécution de scripts sur des postes visualisant des rapports d'analyses. Forte 26/07 SPI Dynamics 'WebInspect' version non disponible Gestion des rapports Mauvaise validation des données Aucun correctif http://lists.grok.org.uk/pipermail/full-disclosure/2005-July/035414.html Full Disclosure Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 58/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 SUN Multiples failles dans 'Solaris' Plusieurs failles permettent, en particulier, d'obtenir une élévation de privilèges locale. Forte 27/06 Sun 'Solaris' versions 9 et 10, Sun 'Solaris' versions 8 à 10 Variable 'LD_AUDIT' Erreur de conception et Déréférencement de pointeur NULL Aucun correctif http://archives.neohapsis.com/archives/fulldisclosure/2005-06/0344.html Full Disclosure http://archives.neohapsis.com/archives/fulldisclosure/2005-06/0345.html Full Disclosure VERITAS Déni de service dans Veritas 'NetBackup' Une vulnérabilité dans un composant de l'application 'NetBackup' de Veritas peut entraîner un déni de service. Forte 25/07 Veritas 'NetBackup Server' version 5.1 et 'NetBackup Enterprise Server' version 5.1 Serveur 'NDMP' Déréférencement de pointeur NULL Palliatif proposé http://secunia.com/advisories/16187/ Secunia http://www.hat-squad.com/en/000170.html Hat-Squad WORDPRESS Multiples failles dans 'WordPress' Plusieurs failles permettent de provoquer l'injection de code SQL, de mener des attaques de "Cross-Site Scripting". Forte 28/06 WordPress 'WordPress' versions inférieures à 1.5.1.3 Validation des données en entrée, Erreurs de codage et de conception Correctif existant Se référer à l’avis original http://www.gulftech.org/?node=research&article_id=00085-06282005 GulfTech AUTRES INFORMATIONS REPRISES D’AVIS ET CORRECTIFS Les vulnérabilités suivantes, déjà publiées, ont été mises à jour, reprises par un autre organisme ou ont donné lieu à la fourniture d’un correctif : ADOBE Exposition d'informations via 'Reader' sur Unix Adobe a annoncé, dans le document 329121, la vulnérabilité d'Adobe 'Reader' sur plates-formes Linux, Solaris, AIX et HP-UX à une faille dans la création de fichiers temporaires qui permettait à un utilisateur local de lire certains documents appartenant à d'autres utilisateurs locaux. Adobe annonce que la version 7.0 pour Linux et Solaris ainsi que la version 5.0.11 pour AIX et HP-UX corrigent cette vulnérabilité. Cette faille est à mettre en relation avec la vulnérabilité CAN-2005-1912, découverte par Secunia, déjà discutée dans un bulletin précédent . Le numéro CVE du document Adobe (CAN-2005-1841) étant différent de celui fourni par Secunia, il nous est impossible de confirmer s'il s'agit de la même vulnérabilité. http://www.adobe.com/support/techdocs/329121.html CAN-2005-1912 ALT-N Correctifs pour 'MDaemon' Alt-N a annoncé la disponibilité de la version 8.1.0 de leur serveur de courrier électronique 'MDaemon'. Cette version corrige de nombreux bogues, au nombre desquels deux failles qui permettaient de provoquer des dénis de service du serveur. On peut remarquer que certains des bogues corrigés peuvent sans-doute être considérés comme des failles de sécurité, qui n'avaient pas encore été rendues publiques. Il existe par exemple, une possibilité de traversée de répertoire dans la gestion du répertoire de quarantaine. ALT-N 'AUTHENTICATE LOGIN' et 'AUTHENTICATE CRAM-MD5', 'CREATE' http://www.altn.com/download/default.asp?product_id=MDaemon http://files.altn.com/MDaemon/Release/RelNotes_en.txt AVAYA Vulnérabilité dans 'Predictive Dialing System' Avaya a annoncé, dans le bulletin ASA-2005-160, la vulnérabilité de leur produit 'Predictive Dialing System' (anciennement "MOSAIX") à une faille dans la pile 'TCP/IP' du système d'exploitation HP-UX sous-jacent. Cette faille permet de provoquer un déni de service du système à distance. Avaya fournit une solution de contournement à appliquer, en l'absence de correctif. On notera à ce sujet que les informations d'Avaya contredisent celles en provenance de HP, qui indiquent qu'un correctif pour HP-UX version B.11.11 est disponible depuis le 27/06/2005. http://support.avaya.com/elmodocs2/security/ASA-2005-160.pdf http://www5.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01137 CAN-2005-1192 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 59/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Vulnérabilité de 'glibc' Avaya a annoncé, dans le document ASA-2005-155, la vulnérabilité des produits Avaya S8710/S8700/S8500/S8300, Converged Communication Server, Intuity LX, Modular Messaging, Message Networking, et Network Routing à plusieurs failles dans la bibliothèque 'glibc'. Ces failles peuvent entraîner la corruption de fichiers arbitraires et l'exposition d'informations potentiellement sensibles. Aucun correctif officiel n'est actuellement disponible. De plus, les produits Avaya CVLAN et Integrated Management, qui ne sont pas vulnérables en eux-mêmes, sont susceptibles d'être installés sur des système reposant sur une version vulnérable de 'glibc'. Avaya recommande d'installer les paquetages correctifs fournis par l'éditeur de ces systèmes, s'ils existent. http://support.avaya.com/elmodocs2/security/ASA-2005-155.pdf CAN-2004-1382, CAN-2004-1453 Vulnérabilité 'lpadmin' dans plusieurs produits Avaya Avaya a annoncé, dans le document ASA-2005-149, la vulnérabilité des produits Avaya Call Management System (CMS) et Avaya Interactive Response (IR) à la vulnérabilité récemment trouvée dans 'lpadmin' sur Sun 'Solaris'. Cette faille peut entraîner la corruption de fichiers arbitraires. Les versions v8, v9, v11 et R12 d'Avaya CMS et toutes les versions d'Avaya IR sont impactées. Avaya a annoncé la disponibilité du correctif 113329-13 pour CMS R12 et 109320-14 pour CMS v9, v11 et toutes les versions d'IR. http://support.avaya.com/elmodocs2/security/ASA-2005-149.pdf CAN-2005-2032 Vulnérabilité 'TCP' des équipements Avaya Avaya a annoncé, dans le document ASA-2005-148, la vulnérabilité de plusieurs équipements à une faille dans l'implémentation du protocole 'TCP', qui peut entraîner un déni de service des connexions 'TCP' actives. Cette vulnérabilité affecte toutes les versions d'Avaya G250/G350/G700 et de Modular Messaging, les versions 1.x à 2 de Avaya MN100, les versions 1.1 à 5.x d'Avaya Intuity LX et les versions 1.x à 2.1 d'Avaya IP Phones. Avaya conseille d'installer le firmware R2.2 pour les produits Avaya IP Phones. Aucun correctif n'est disponible pour les autres équipements. http://support.avaya.com/elmodocs2/security/ASA-2005-148.pdf CAN-2005-0356 AWIL SOFTWARE Vulnérabilités 'unace' dans l'anti-virus 'avast!' Une alerte sur le site de Secunia nous informe que l'anti-virus 'avast!' est vulnérable à deux failles découvertes en début d'année dans l'outil d'archivage 'unace'. La version 4.6.665 de 'avast! 4 Home' et 'avast! 4 Professional', et la version 4.6.460 'avast! Server' sont impactées. Ces failles seraient situées dans la bibliothèque 'unacev2.dll', et seraient déclenchées lors de l'analyse d'une archive ACE spécialement construite. Ceci entraînera l'exécution de code arbitraire et la corruption de fichiers arbitraires. http://secunia.com/secunia_research/2005-20/advisory/ http://secunia.com/advisories/15776/ BLUECOAT Correctifs 'ICMP' pour les systèmes Blue Coat Blue Coat a annoncé la vulnérabilités de plusieurs produits aux récentes vulnérabilités affectant le protocole 'ICMP', qui peuvent entraîner des dénis de service des connexions réseaux. Blue Coat annonce que les systèmes CacheOS, SGOS, SGME et Spyware Interceptor sont vulnérables. Blue Coat a publié les versions 3.2.5 et 4.1.2 de SGOS qui corrigent ces vulnérabilités. http://www.bluecoat.com/support/knowledge/advisory_icmp_error_message_vulnerabilities.html CAN-2005-0065, CAN-2005-0066, CAN-2005-0067, CAN-2005-0065 Vulnérabilité 'TCP' des systèmes Blue Coat Blue Coat a annoncé la vulnérabilité des produits Blue Coat fonctionnant sur CacheOS et Security Gateway OS (SGOS) à une faille dans l'implémentation du protocole 'TCP', qui peut entraîner un déni de service des connexions 'TCP' actives. Blue Coat fournit des parades pour les systèmes sur SGOS versions 2, 3 et 4, et a annoncé la disponibilité des versions 3.2.5 et 4.1.2 qui corrigent cette vulnérabilité. http://www.bluecoat.com/support/knowledge/advisory_tcp_can-2005-0356.html CAN-2005-0356 CIAC Reprise de l'avis Adobe 329083 Le CIAC a repris, sous la référence P-242, le bulletin Adobe 329083 concernant un débordement de buffer dans l'outil 'Reader' sur plates-formes Unix. Cette vulnérabilité peut entraîner l'exécution de code arbitraire. http://www.ciac.org/ciac/bulletins/p-242.shtml CAN-2005-1625 Reprise de l'avis Adobe 331709 Le CIAC a repris, sous la référence P-236, l'avis Adobe 331709 concernant une erreur de codage dans Adobe 'Reader' et 'Acrobat' qui peut entraîner l'exécution d'applications arbitraires. http://www.ciac.org/ciac/bulletins/p-236.shtml CAN-2005-1623 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 60/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Reprise de l'avis Cisco 65328 Le CIAC a repris, sous la référence P-237, l'avis Cisco 65328 concernant une faille non documentée dans Cisco IOS permettant à un attaquant distant de contourner l'authentification 'RADIUS'. http://www.ciac.org/ciac/bulletins/p-237.shtml Reprise de l'avis Cisco 65529 Le CIAC a repris, sous la référence P-245, l'avis Cisco 65529 concernant de multiples vulnérabilités dans Cisco 'CallManager' qui peuvent entraîner des dénis de service et l'exécution de code arbitraire. http://www.ciac.org/ciac/bulletins/p-245.shtml Reprise de l'avis Debian DSA-743 Le CIAC a repris, sous la référence P-240, le bulletin Debian DSA-743 concernant des débordements de buffer dans l'outil 'ht' qui peuvent entraîner l'exécution de code arbitraire. http://www.ciac.org/ciac/bulletins/p-240.shtml CAN-2005-1545, CAN-2005-1546 Reprise de l'avis Debian DSA-748 Le CIAC a repris, sous la référence P-243, le bulletin Debian DSA-748 concernant une vulnérabilité dans le serveur 'xmlrpc' qui peut entraîner l'exécution de code arbitraire. http://www.ciac.org/ciac/bulletins/p-243.shtml CAN-2005-1992 Reprise de l'avis Debian DSA-755 Le CIAC a repris, sous la référence P-254, l'avis Debian DSA-755 concernant une faille dans la bibliothèque 'libtiff' qui permet de provoquer l'exécution de code arbitraire à travers une image TIFF spécialement construite. http://www.ciac.org/ciac/bulletins/p-254.shtml CAN-2005-1544 Reprise de l'avis Debian DSA-758 Le CIAC a repris, sous la référence P-255, l'avis Debian DSA-758 concernant une faille dans le paquetage 'heimdal' qui autorise l'exécution de code arbitraire avec des droits privilégiés. http://www.ciac.org/ciac/bulletins/p-255.shtml CAN-2005-2040 Reprise de l'avis Debian DSA-768 Le CIAC a repris, sous la référence P-261, l'avis Debian DSA-768 concernant une mauvaise validation des données par l'application 'phpBB'. Cette faille autorise un attaquant distant à mener des attaques de type "Cross-Site Scripting". http://www.ciac.org/ciac/bulletins/p-261.shtml CAN-2005-2161 Reprise de l'avis Ethereal enpa-sa-00020 Le CIAC a repris, sous la référence P-260, l'avis Ethereal enpa-sa-00020 concernant de multiples vulnérabilités dans plusieurs dissecteurs de l'outil 'Ethereal'. Ces failles peuvent entraîner un déni de service ou l'exécution de code arbitraire. http://www.ciac.org/ciac/bulletins/p-260.shtml Reprise de l'avis Microsoft MS05-035 Le CIAC a repris, sous la référence P-246, l'avis Microsoft MS05-035 concernant un débordement de buffer dans Microsoft 'Word' qui permet de provoquer l'exécution de code arbitraire. http://www.ciac.org/ciac/bulletins/p-246.shtml CAN-2005-0564 Reprise de l'avis Microsoft MS05-036 Le CIAC a repris, sous la référence P-248, l'avis Microsoft MS05-036 concernant une faille dans la gestion par Windows des profils de couleurs, qui permet d'exécuter du code arbitraire à distance. http://www.ciac.org/ciac/bulletins/p-248.shtml CAN-2005-1219 Reprise de l'avis Microsoft MS05-037 Le CIAC a repris, sous la référence P-247, l'avis Microsoft MS05-037 concernant une vulnérabilité dans l'objet COM 'JView Profiler' qui peut entraîner l'exécution de code arbitraire et un déni de service. http://www.ciac.org/ciac/bulletins/p-247.shtml CAN-2005-2087 Reprise de l'avis Oracle de juillet 2005 Le CIAC a repris, sous la référence P-250, l'avis Oracle regroupant les mises à jour de sécurité critiques de juillet 2005. Elles concernent des failles existant dans 'Oracle Database Server', 'Oracle Application Server', 'Oracle Collaboration Suite', 'Oracle E-Business Suite', et 'Oracle Enterprise Manager', et impactent de nombreux produits Oracle. http://www.ciac.org/ciac/bulletins/p-250.shtml Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 61/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Reprise de l'avis Red Hat RHSA-2005:535-06 Le CIAC a repris, sous la référence P-238, l'avis Red Hat RHSA-2005:535-06 concernant une erreur de codage dans l'outil 'sudo' qui pouvait autoriser un utilisateur à exécuter des commandes arbitraires qui lui sont normalement interdites. http://www.ciac.org/ciac/bulletins/p-238.shtml CAN-2005-1993 Reprise de l'avis Red Hat RHSA-2005:564 Le CIAC a repris, sous la référence P-241, l'avis Red Hat RHSA-2005:564 concernant des vulnérabilités dans la bibliothèque PEAR 'XML_RPC' et l'outil 'Shtool' qui peuvent entraîner l'exécution de code arbitraire et la corruption de fichiers arbitraires. http://www.ciac.org/ciac/bulletins/p-241.shtml CAN-2005-1751, CAN-2005-1921 Reprise de l'avis Red Hat RHSA-2005:582 Le CIAC a repris, sous la référence P-259, l'avis Red Hat RHSA-2005:582 concernant deux vulnérabilités dans le serveur 'httpd' d'Apache. Ces failles peuvent entraîner, entre autres choses, un déni de service. http://www.ciac.org/ciac/bulletins/p-259.shtml CAN-2005-1268, CAN-2005-2088 Reprise de l'avis SGI 20050701-01-P La CIAC a repris, sous la référence P-244, l'alerte SGI 20050701-01-P concernant une faille dans le composant 'arshell' de la plate-forme 'SGI ProPack', qui permet à un attaquant distant d'obtenir les privilèges de l'utilisateur "root" sur un système vulnérable. http://www.ciac.org/ciac/bulletins/p-244.shtml CAN-2005-1859 Reprise de l'avis SSH Communications Security RQ #11775 Le CIAC a repris, sous la référence P-257, l'avis RQ #11775 de SSH Communications Security concernant une faille dans les produits 'Tectia Server' et 'Secure Shell' qui permettait à un attaquant d'obtenir des informations sensibles. http://www.ciac.org/ciac/bulletins/p-257.shtml CAN-2005-2146 Reprise de l'avis Sun 101478 Le CIAC a repris, sous la référence P-258, l'avis Sun 101478 concernant une vulnérabilité dans la gestion du protocole 'XDMCP' par 'dtlogin' qui peut conduire à l'exécution de code arbitraire. http://www.ciac.org/ciac/bulletins/p-258.shtml CAN-2004-0368 Reprise de l'avis Sun 101794 Le CIAC a repris, sous la référence P-253, l'avis Sun 101794 à propos d'une faille dans 'ld.so.1' sur la plate-forme Sun Solaris versions 8, 9 et 10. Cette faille peut autoriser un utilisateur local à acquérir des droits privilégiés. http://www.ciac.org/ciac/bulletins/p-253.shtml CAN-2005-2072 Reprise de l'avis Sun 101799 Le CIAC a repris, sous la référence P-239, l'avis Sun 101799 concernant une vulnérabilité dans le plugin Java fourni avec Sun 'Java Desktop System' ('JDS'). Cette faille peut autoriser une applet non fiable à élever ses privilèges et à exécuter ainsi des actions dangereuses qui lui sont normalement interdites. http://www.ciac.org/ciac/bulletins/p-239.shtml Reprise de plusieurs avis Firefox Le CIAC a repris, sous la référence P-252, les avis Mozilla MFSA 2005-45 à MFSA 2005-50, MFSA 2005-53, MFSA 2005-55 et MFSA 2005-56 à propos de multiples vulnérabilités dans le navigateur Firefox. Ces failles peuvent entraîner une élévation de privilèges, l'exécution de script et de code arbitraire, un déni de service et une exposition d'informations sensibles. http://www.ciac.org/ciac/bulletins/p-252.shtml Reprise de plusieurs avis Mozilla Le CIAC a repris, sous la référence P-251, les avis Mozilla MFSA 2005-45, MFSA 2005-46, MFSA 2005-48, MFSA 2005-50, MFSA 2005-55 et MFSA 2005-56 concernant de multiples failles dans le navigateur Mozilla qui peuvent entraîner de multiples dommages. http://www.ciac.org/ciac/bulletins/p-251.shtml Reprise des avis Kerberos SA-2005-002 et SA-2005-003 Le CIAC a repris, sous la référence P-249, les avis Kerberos SA-2005-002 et SA-2005-003 concernant plusieurs vulnérabilités dans Kerberos ('krb5') qui peuvent entraîner un déni de service et l'exécution de code arbitraire. http://www.ciac.org/ciac/bulletins/p-249.shtml CAN-2005-1174, CAN-2005-1175, CAN-2005-1689 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 62/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 CISCO Révision du bulletin 65328 Cisco a révisé le bulletin 65328 concernant une faille dans 'IOS' qui autorisait un attaquant distant à contourner l'authentification 'RADIUS'. Cette révision annonce la vulnérabilité des versions 12.2XR, 12.2(2)XR et 12.2(4)XR, ainsi que la disponibilité des correctifs associés. http://www.cisco.com/warp/public/707/cisco-sa-20050629-aaa.shtml Révision du bulletin 65529 Cisco a révisé le bulletin 65529 concernant de multiples vulnérabilités dans 'CallManager' qui pouvaient entraîner des dénis de service et l'exécution de code arbitraire. Cette révision apporte de nouvelles informations dans la section "Workaround". http://www.cisco.com/warp/public/707/cisco-sa-20050712-ccm.shtml DELL Compte administrateur sans mot de passe dans Windows XP SECNAP Network Security a publié une alerte concernant les ordinateurs portables Dell livrés avec Windows XP Professional SP2 pré-installé. Cette vulnérabilité, similaire à celle trouvée en 2004 concernant les machines IBM, trouve son origine dans un compte administrateur qui n'est pas protégé par mot de passe. Ceci peut être exploité par un attaquant ayant un accès physique à la machine afin d'en prendre le contrôle. http://www.secnap.com/alerts.php?pg=5 http://www.secnap.com/alerts.php?pg=8 EKG Correctifs pour 'libgadu' EKG a annoncé la disponibilité de la version 1.0rc3 de 'ekg', qui corrige une faille dans la bibliothèque 'libgadu'. Cette faille permet de provoquer à distance des dénis de service applicatifs et potentiellement l'exécution de code arbitraire. http://dev.null.pl/ekg CAN-2005-1852 F5 NETWORKS Correctifs pour BIG-IP et 3-DNS F5 Networks a annoncé, dans les avis sol4441 et sol4447, relayés par Secunia (avis 16125), la disponibilité de correctifs pour leurs produits BIG-IP et 3-DNS. Ils corrigent de multiples failles dans le client 'telnet' et l'utilitaire 'curl' qui permettaient de provoquer l'exécution de code arbitraire à distance. http://secunia.com/advisories/16125 CAN-2005-0469, CAN-2005-0468, CAN-2005-0490 Correctifs pour BIG-IP et 3-DNS Secunia a relayé les avis F5 Networks sol4532, sol4616 et sol4809 concernant la disponibilité de correctifs pour les produits BIG-IP et 3-DNS. Ils corrigent de multiples vulnérabilités qui pouvaient entraîner l'exécution de commandes arbitraires, une élévation de privilèges, la corruption de fichiers arbitraires, une exposition d'informations et un déni de service. http://secunia.com/advisories/16159/ CAN-2005-0488, CAN-2005-0758, CAN-2005-0988, CAN-2005-1228, CAN-2005-1278, CAN-2005-1279, CAN-2005-1280 FREEBSD Disponibilité de plusieurs correctifs FreeBSD annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages : ipfw FreeBSD-SA-05:13 bzip2 FreeBSD-SA-05:14 tcp FreeBSD-SA-05:15 zlib FreeBSD-SA-05:16 devfs FreeBSD-SA-05:17 zlib FreeBSD-SA-05:18 ipsec FreeBSD-SA-05:19 http://www.freebsd.org/security/index.html#adv HP Correctifs 'TCP/IP' pour HP Tru64 UNIX HP a annoncé, dans le bulletin HPSBTU01210, la disponibilité de correctifs pour la pile TCP/IP de la plate-forme HP Tru64 UNIX versions 4.0F PK8, 4.0G PK4, 5.1A PK, 5.1B-2/PK4 et 5.1B-3. Ils corrigent de multiples vulnérabilités dans la gestion du protocole 'ICMP' et l'initialisation des numéros de séquence des paquets TCP/IP qui peuvent entraîner des dénis de service et une altération des connexions TCP. http://www4.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBTU01210 CAN-2004-0790, CAN-2004-0791, CAN-2004-1060, CAN-2001-0328 Disponibilité de 'Secure Web Browser' version V1.7-8 HP a annoncé, dans le bulletin HPSBOV01209, la disponibilité de la version V1.7-8 du navigateur 'Secure Web Browser', basé sur le navigateur Mozilla, pour la plate-forme OpenVMS Alpha. Cette version corrige de multiples vulnérabilités qui permettaient, entre autres, de provoquer à distance une élévation de privilèges et l'exécution de code arbitraire. http://www4.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBOV01209 CAN-2005-1476, CAN-2005-1477, CAN-2005-1531, CAN-2005-1532 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 63/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Révision du bulletin HPSBUX01137 HP a révisé le bulletin HPSBUX01137 à propos d'une vulnérabilité dans la pile 'TCP/IP' de la plate-forme HP-UX versions B.11.11, B.11.22, B.11.23, qui permettait de provoquer un déni de service du système. La révision annonce la disponibilité d'un correctif pour HP-UX version B.11.11. http://www5.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01137 Révision du bulletin HPSBUX01137 HP a révisé le bulletin HPSBUX01137 à propos d'une vulnérabilité dans la pile 'TCP/IP' de la plate-forme HP-UX versions B.11.11, B.11.22 et B.11.23, qui permettait de provoquer un déni de service du système. La révision clarifie les sections "Resolution" et "Manual Actions" et les actions à effectuer en fonction des versions de HP-UX, et complète la description de la PMTU. http://www5.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01137 Révision du bulletin HPSBUX01137 HP a révisé le bulletin HPSBUX01137 à propos d'une vulnérabilité dans la pile 'TCP/IP' de la plate-forme HP-UX versions B.11.11, B.11.22 et B.11.23, qui permettait de provoquer un déni de service du système. La révision annonce la disponibilité d'un correctif pour HP-UX version B.11.23. http://www4.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01137 Révision du bulletin HPSBUX01164 HP a révisé le bulletin concernant des vulnérabilités dans la pile TCP/IP de HP-UX versions B.11.00, B.11.04, B.11.11, B.11.22 et B.11.23 qui pouvaient entraîner des dénis de service du réseau. La révision annonce la disponibilité du correctif définitif pour HP-UX version B.11.11. http://www5.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01164 CAN-2004-0790, CAN-2004-0791, CAN-2004-1060 Révision du bulletin HPSBUX01164 HP a révisé le bulletin concernant des vulnérabilités dans la pile TCP/IP de HP-UX versions B.11.00, B.11.04, B.11.11, B.11.22 et B.11.23 qui pouvaient entraîner des dénis de service du réseau. La révision annonce la disponibilité du correctif définitif pour HP-UX version B.11.00, fournit des informations supplémentaires sur une solution palliative et réorganise partiellement le bulletin pour des raisons de lisibilité. http://www5.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01164 CAN-2004-0790, CAN-2004-0791, CAN-2004-1060 Révision du bulletin HPSBUX01164 HP a révisé le bulletin concernant des vulnérabilités dans la pile TCP/IP de HP-UX versions B.11.00, B.11.04, B.11.11, B.11.22 et B.11.23 qui pouvaient entraîner des dénis de service du réseau. La révision annonce la disponibilité du correctif définitif pour HP-UX version B.11.23. http://www4.itrc.hp.com/service/cki/docDisplay.do?docId=HPSBUX01164 CAN-2004-0790, CAN-2004-0791, CAN-2004-1060 IBM Informations additionnelles sur la faille 'Lotus Notes' IBM a publié, sous la référence 1211783, des informations complémentaires concernant une vulnérabilité dans l'interface Web de 'Lotus Notes' autorisant des attaques de type "Cross-Site Scripting". IBM annonce que seuls les utilisateurs qui accèdent, via un navigateur, à des interfaces utilisant les modèles de documents "standard Notes mail" peuvent être attaqués. IBM recommande de migrer vers les modèles de documents "Domino Web Access", permettant d'avertir un utilisateur lors de l'ouverture d'une pièce jointe HTML. http://www-1.ibm.com/support/docview.wss?uid=swg21211783 Multiples correctifs pour IBM 'AIX' IBM a annoncé, dans plusieurs bulletins relayés par le CERT australien sous les références ESB-2005.0505, ESB2005.0504, ESB-2005.0503 et ESB-2005.0502, la disponibilité de correctifs temporaires pour de multiples débordements de buffer qui affectent les commandes 'diagTasksWebSM', 'getlvname', 'penable' et 'invscout'. Ces vulnérabilités impactent la plate-forme IBM 'AIX' versions 5.1, 5.2 et 5.3 et peuvent autoriser un utilisateur local à acquérir les droits privilégiés de l'utilisateur "root". Les correctifs définitifs seront disponibles en septembre. http://www.auscert.org.au/render.html?it=5242 http://www.auscert.org.au/render.html?it=5241 http://www.auscert.org.au/render.html?it=5240 http://www.auscert.org.au/render.html?it=5239 IP Informations additionnelles sur les failles 'ICMP' De nouveaux numéros CVE ont été publiés par le Mitre concernant les récentes failles découvertes dans le protocole 'ICMP', permettant à un attaquant de provoquer un déni de service des connexions réseaux . Ces numéros, CAN2005-0065, CAN-2005-0066, CAN-2005-0067 et CAN-2005-0065, référencent les mêmes vulnérabilités que les numéros CAN-2004-0790, CAN-2004-1060 et CAN-2004-0791, mais avec de nouveaux vecteurs d'attaque. Il est à craindre de voir apparaître de nouveaux correctifs 'ICMP' pour pour prendre en compte ces nouveaux vecteurs. http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0065 http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0066 http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0067 http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0068 CAN-2004-0790, CAN-2004-1060, CAN-2004-0791 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 64/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 LINUX DEBIAN Disponibilité de nombreux correctifs Debian annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages : crip DSA-733 gaim DSA-734 sudo DSA-735 spamassassin DSA-736 clamav DSA-737 razor DSA-738 trac DSA-739 zlib DSA-740 bzip2 DSA-741 cvs DSA-742 ht DSA-743 fuse DSA-744 drupal DSA-745 phpgroupware DSA-746 egroupware DSA-747 ruby DSA-748 ettercap DSA-749 dhcpd DSA-750 squid DSA-751 gzip DSA-752 gedit DSA-753 centeric DSA-754 diff DSA-755 squirrelmail DSA-756 krb5 DSA-757 heimdal DSA-758 phppgadmin DSA-759 ekg DSA-760 heartbit DSA-761 affix DSA-762 zlib DSA-763 cacti DSA-764 heimdal DSA-765 webcalendar DSA-766 http://www.debian.org/security/2005/ LINUX FEDORA Disponibilité de nombreux correctifs Fedora annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages : binutils Core3 FEDORA-2005:497 Core4 FEDORA-2005:498 kernel 2.6.12 Core4 FEDORA-2005:510 php Core3 FEDORA-2005:517 Core4 FEDORA-2005:518 krb5 Core3 FEDORA-2005:552 Core4 FEDORA-2005:553 net-snmp Core3 FEDORA-2005:562 Core4 FEDORA-2005:561 kdelibs Core3 FEDORA-2005:594 rpm Core4 FEDORA-2005:565 mysql Core4 FEDORA-2005:557 perl Core3 FEDORA-2005:600 firefox Core3 FEDORA-2005:603 Core4 FEDORA-2005:605 thunderbird Core3 FEDORA-2005:604 Core4 FEDORA-2005:606 fetchmail Core3 FEDORA-2005:614 Core4 FEDORA-2005:613 mozilla Core3 FEDORA-2005:616 Core4 FEDORA-2005:619 epiphany Core3 FEDORA-2005:617 Core4 FEDORA-2005:620 devhelp Core3 FEDORA-2005:618 Core4 FEDORA-2005:621 yelp Core4 FEDORA-2005:622 zlib Core3 FEDORA-2005:625 Core4 FEDORA-2005:626 kdenetwork Core3 FEDORA-2005:623 Core4 FEDORA-2005:624 http://www.redhat.com/archives/fedora-announce-list/index.html LINUX MANDRIVA (Mandrake) Disponibilité de nombreux correctifs Mandrake annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages : spamassassion MDKSA-2005:106 10.0 / 10.1 imagemagick MDKSA-2005:107 10.1 / 10.2 / CS 2.1 / CS 3.0 squirrelmail MDKSA-2005:108 10.0 / 10.1 / 10.2 / CS 2.1 / CS 3.0 php-pear MDKSA-2005:109 CS 3.0 kernel MDKSA-2005:110 10.0 / 10.1 / 10.2 CS 3.0 / MNF2.0 kernel-2.4 MDKSA-2005:111 10.0 / 10.1 CS 2.1 / CS 3.0 / MNF8.2 zlib MDKSA-2005:112 10.0 / 10.1 / 10.2 CS 3.0 / MNF2.0 clamav MDKSA-2005:113 10.1 / 10.2 CS 3.0 leafnode MDKSA-2005:114 10.1 / 10.2 CS 3.0 mplayer MDKSA-2005:115 10.1 / 10.2 CS 3.0 cpio MDKSA-2005:116 10.0 / 10.1 / CS 2.1 / CS 3.0 / MNF2.0 dhcpd MDKSA-2005:117 10.1 / 10.2 CS 3.0 / MNF2.0 ruby MDKSA-2005:118 10.1 / 10.2 CS 3.0 krb5 MDKSA-2005:119 10.0 / 10.1 / 10. 2 / CS 2.1 / CS 3.0 / MNF2.0 firefox MDKSA-2005:120 10.2 nss_ldap MDKSA-2005:121 10.0 / 10.1 / CS 2.1 / CS 3.0 / MNF2.0 kdelibs MDKSA-2005:122 10.1 / 10.2 CS 3.0 shorewall MDKSA-2005:123 10.0 / 10.1 / 10.2 CS 3.0 / MNF2.0 zlib MDKSA-2005:124 10.0 / 10.1 / 10.2 CS 3.0 / MNF2.0 http://www.mandriva.com/security Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 65/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 LINUX REDHAT Disponibilité de nombreux correctifs RedHat annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages : cpio RHSA-2005:378-01 AS.ES.WS3 AS.ES.WS4 realplayer RHSA-2005:523-01 AS.ES.WS3 AS.ES.WS4 sudo RHSA-2005:535-01 AS.ES.WS 2.1 AS.ES.WS3 AS.ES.WS4 krb5 RHSA-2005:562-01 AS.ES.WS4 php RHSA-2005:564-01 AS.ES.WS3 AS.ES.WS4 krb5 RHSA-2005:567-01 AS.ES.WS 2.1 AS.ES.WS3 zlib RHSA-2005:569-01 AS.ES.WS4 cups RHSA-2005:571-01 AS.ES.WS3 adobe RHSA-2005:575-01 AS.ES.WS3 AS.ES.WS4 httpd RHSA-2005:582-01 AS.ES.WS3 AS.ES.WS4 zlib RHSA-2005:584-01 AS.ES.WS4 mozilla RHSA-2005:587-01 AS.ES.WS 2.1 AS.ES.WS3 AS.ES.WS4 firefox RHSA-2005:586-01 AS.ES.WS4 thunderbird RHSA-2005:601-01 AS.ES.WS4 kdenetwork RHSA-2005:639-01 AS.ES.WS4 fetchmail RHSA-2005:640-01 AS.ES.WS 2.1 AS.ES.WS3 AS.ES.WS4 http://www.linuxsecurity.com/advisories/redhat.html MICROSOFT Révision des bulletins MS05-026, 027, 032 et 033 Microsoft a révisé les bulletins MS05-026, MS05-027, MS05-032 et MS05-033 concernant diverses failles affectant Microsoft Windows. La révision porte dans tous ces bulletins sur la procédure de vérification manuelle de la bonne installation du correctif sur Microsoft Windows XP 64-Bit Professional Edition. http://www.microsoft.com/technet/security/Bulletin/MS05-026.mspx MS05-027.mspx CAN-2005-1208, CAN-2005-1206, CAN-2005-1214, CAN-2005-1205 MS05-032.mspx MS05-033.mspx Révision du bulletin 903144 Microsoft a révisé le bulletin 903144 concernant une vulnérabilité non documentée dans l'objet COM 'Javaprxy.dll' qui permet de provoquer un déni de service du navigateur Internet Explorer et une exécution de code arbitraire. Cette révision annonce la disponibilité de correctifs temporaires qui entraînent la désactivation dans la base de registre du composant vulnérable. http://www.microsoft.com/technet/security/advisory/903144.mspx Révision du bulletin MS05-029 (Outlook Web Access) Microsoft a révisé le bulletin MS05-029 concernant une vulnérabilité dans "Outlook Web Access" qui peut autoriser un attaquant distant à mener des attaques de type "Cross-Site Scripting". La révision corrige la documentation du correctif pour signaler qu'il est possible de l'installer de façon automatique (sans intervention de l'exploitant). http://www.microsoft.com/technet/security/Bulletin/MS05-029.mspx CAN-2005-0563 Révision du bulletin MS05-033 (telnet) Microsoft a révisé le bulletin MS05-033 concernant une vulnérabilité dans l'implémentation du client 'Telnet', qui peut entraîner une exposition d'informations. La révision annonce la disponibilité de correctifs pour "Services for UNIX" versions 2.0 et 2.1. La section “Security Update Information” a aussi été mise à jour. http://www.microsoft.com/technet/security/Bulletin/MS05-033.mspx CAN-2005-1205 Révision du bulletin MS05-036 ('ICC') Microsoft a révisé le bulletin MS05-036 concernant une faille dans la gestion par Windows des profils de couleurs, qui permet d'exécuter du code arbitraire à distance. La révision met à jour les informations concernant le redémarrage des systèmes après application du correctif. http://www.microsoft.com/technet/security/Bulletin/MS05-036.mspx CAN-2005-1219 Révision du bulletin MS05-037 ('JView Profiler') Microsoft a révisé le bulletin MS05-037 concernant une vulnérabilité dans l'objet COM 'JView Profiler' qui peut entraîner l'exécution de code arbitraire et un déni de service. La révision apporte des informations complémentaires concernant la détection de la bibliothèque 'javaprxy.dll' et les versions de Windows 2000 supportées. http://www.microsoft.com/technet/security/Bulletin/MS05-037.mspx CAN-2005-2087 MYSQL Disponibilité de 'MySQL' version 4.1.13 MySQL a annoncé la disponibilité de la version 4.1.13 de la base de données 'MySQL'. Cette version corrige de multiples vulnérabilités qui pouvaient entraîner un déni de service, l'exécution de code arbitraire et la corruption de fichiers arbitraires. http://dev.mysql.com/doc/mysql/en/news-4-1-13.html CAN-2005-2096, CAN-2005-0799, CAN-2005-0711 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 66/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 NETBSD Elévation de privilèges sur les architectures 'HTT' NetBSD a annoncé, dans le bulletin NetBSD-SA2005-001, la vulnérabilité de la plate-forme NetBSD version 2.0 à la faille découverte dans la technologie "Hyper-Threading" d'Intel, autorisant un utilisateur local malintentionné à obtenir des informations sensibles et à acquérir des droits privilégiés. ftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2005-001.txt.asc CAN-2005-0109 NETSCAPE Disponibilité de 'Netscape' version 8.0.3.1 Netscape a annoncé la disponibilité de la version 8.0.3.1 du navigateur 'Netscape'. Cette version corrige deux vulnérabilités qui pouvaient entraîner l'exécution de code arbitraire, l'exposition d'informations sensibles et une élévation de privilèges. http://browser.netscape.com/ns8/security/alerts.jsp http://browser.netscape.com/ns8/download/default.jsp CAN-2005-2267, CAN-2005-2270 Vulnérabilité 'JavaScript' dans 'Netscape' Une alerte sur le site Web de SecurityTracker nous informe que le navigateur Netscape version 8 est vulnérable à la même faille trouvée récemment dans les navigateurs Mozilla concernant la gestion du JavaScript. Cette faille permet à un script JavaScript malicieux de provoquer un déni de service de l'application. Aucun correctif n'est actuellement disponible. http://securitytracker.com/id?1014349 NOVELL Correctif 'Httpstk' pour 'eDirectory' Novell a annoncé, dans le bulletin TID2971782, la disponibilité d'un correctif 'Httpstk' pour Novell 'eDirectory' version 8.7.3 IR6 (Windows). Il corrige une vulnérabilité qui pouvait entraîner un déni de service. http://support.novell.com/cgi-bin/search/searchtid.cgi?/10097766.htm http://support.novell.com/cgi-bin/search/searchtid.cgi?/2971782.htm CAN-2005-1729 OPENLDAP Correctifs pour 'Shtool' OSVDB a publié une alerte concernant la vulnérabilité d'OpenLDAP à la faille de sécurité affectant l'outil 'Shtool' fourni avec le produit. Cette faille peut être exploitée par un utilisateur local malintentionné afin de corrompre des fichiers arbitraires. Les versions 2.2.1x, 2.2.20 à 2.2.27 et 2.3.4 d'OpenLDAP sont impactées. Un correctif est disponible via CVS. http://www.openldap.org/ CAN-2005-1751 ORACLE Correctifs incomplets pour Oracle 9iR2 Un article d'Argeniss nous apprend que l'une des failles recensées dans le dernier correctif cumulatif d'Oracle, et qui affecte le paquetage CWM2_OLAP_AW_AWUTIL sur la base de données Oracle versions 9iR2 et 10g, n'a été corrigée que sur la version 10g. Argeniss fournit une solution palliative. Oracle a reconnu le problème et a annoncé travailler actuellement au portage du correctif de la version 10g vers la version 9iR2. Il devrait être disponible dans le correctif cumulatif d'octobre. On notera que le descriptif du correctif cumulatif de juillet ne liste pas pas la version 9iR2 comme vulnérable (référence Oracle DB02). Ce qui est inquiétant, étant donnée la récente polémique sur l'attitude d'Oracle en ce qui concerne les correctifs de sécurité. http://www.argeniss.com/research/CWM2_OLAP_AW_AWUTILVuln.txt http://www.oracle.com/technology/deploy/security/pdf/cpujul2005.html PADL SOFTWARE Vulnérabilité du module "nss-ldap" Un message sur la liste de diffusion Full-Disclosure nous informe que le module "nss_ldap" de PADL Software, utilisé pour lier la base des utilisateurs d'un système à un serveur LDAP, est lui aussi vulnérable à la faille rapportée dans un récent bulletin. Cette faille permet de provoquer l'exposition d'informations sensibles, et ce module est livré avec diverses distributions Linux. http://archives.neohapsis.com/archives/fulldisclosure/2005-07/0060.html CAN-2005-2069 PHP Correctif pour 'shtool' PHP a annoncé la disponibilité de 'PHP' version 4.4.0, qui corrige un problème grave de corruption de mémoire interne, ainsi qu'une faille de sécurité dans l'outil GNU 'shtool' fourni dans le paquetage. Cette faille peut être exploitée par un utilisateur local malintentionné afin de corrompre des fichiers arbitraires. http://www.php.net/release_4_4_0.php CAN-2005-1751 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 67/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 SCO CALDERA Disponibilité de nombreux correctifs Caldera annonce la disponibilité des correctifs corrigeant les vulnérabilités présentes dans les paquetages : mozilla SCOSA-2005.29 UnixWare 7.1.4 http://www.caldera.com/support/security/2005.html SGI Correctif cumulatif #42 pour Advanced Linux Environment SGI a annoncé, dans le bulletin 20050606-01-U, la disponibilité du correctif cumulatif "Security Update #42" (correctif 10184) pour SGI Advanced Linux Environment 3 sur plates-formes Altix. Il corrige deux vulnérabilités dans 'FreeRADIUS' qui permettaient de provoquer l'injection de code SQL et un déni de service de l'application. ftp://patches.sgi.com/support/free/security/advisories/20050606-01-U.asc CAN-2005-1454, CAN-2005-1455 Correctif cumulatif #43 pour Advanced Linux Environment SGI a annoncé, dans le bulletin 20050702-01-U, la disponibilité du correctif cumulatif "Security Update #43" (correctif 10187) pour SGI Advanced Linux Environment 3 sur plates-formes Altix. Il corrige de multiples vulnérabilités dans 'sudo' et 'telnet' qui pouvaient entraîner l'exposition d'informations et autoriser un utilisateur à exécuter des commandes arbitraires qui lui sont normalement interdites. ftp://patches.sgi.com/support/free/security/advisories/20050702-01-U.asc CAN-2005-1993, CAN-2005-0488 Correctif cumulatif #44 pour Advanced Linux Environment SGI a annoncé, dans le bulletin 20050703-01-U, la disponibilité du correctif cumulatif "Security Update #44" (correctif 10190) pour SGI Advanced Linux Environment 3 sur plates-formes Altix. Il corrige de multiples vulnérabilités dans 'cups', 'krb5' et 'php' qui pouvaient entraîner, entre autres, la corruption de données et l'exécution de code arbitraire. ftp://patches.sgi.com/support/free/security/advisories/20050703-01-U.asc CAN-2004-2154, CAN-2004-0175, CAN-2005-0488, CAN-2005-1174, CAN-2005-1175, CAN-2005-1689, CAN-2005-1751, CAN2005-1921 SUN Faille du plugin 'JRE' dans Sun 'JDS' pour Linux Sun a annoncé, dans le bulletin 101799, la vulnérabilité de Sun 'Java Desktop System' ('JDS') Release 2 pour Linux à une faille dans le plugin Java qui peut autoriser une applet non fiable à élever ses privilèges. Ceci lui permet d'exécuter des actions dangereuses qui lui sont normalement interdites. http://sunsolve.sun.com/search/document.do?assetkey=1-26-101799-1 Révision du bulletin 101677 (anciennement 57769) Sun a révisé le bulletin 101677 (anciennement 57769) concernant de multiples vulnérabilités dans la bibliothèque 'libtiff' qui pouvaient provoquer des dénis de service et l'exécution de code arbitraire. Cette révision apporte de nouvelles informations dans les sections "Contributing Factors" et "Resolution". http://sunsolve.sun.com/search/document.do?assetkey=1-26-101677-1 CAN-2004-0803, CAN-2004-0804, CAN-2004-0886, CAN-2004-1308 Révision du bulletin 101699 Sun a révisé le bulletin 101699 concernant une vulnérabilité dans le serveur FTP 'wu-ftpd' qui pouvait entraîner un déni de service du système. Cette révision nous informe que les sections "Contributing Factors" et "Relief/Workaround" ont été mises à jour, et que les correctifs ont atteint leur version définitive (l'alerte est close). http://sunsolve.sun.com/search/document.do?assetkey=1-26-101699-1&searchclause= CAN-2005-0256 Révision du bulletin 101794 Sun a révisé le bulletin 101794 à propos d'une faille dans 'ld.so.1' sur la plate-forme Sun Solaris 8, 9 et 10, concernant le traitement de la variable d'environnement 'LD_AUDIT'. Cette vulnérabilité peut autoriser un utilisateur local à acquérir des droits privilégiés. Sun annonce la disponibilité de correctifs temporaires. http://sunsolve.sun.com/search/document.do?assetkey=1-26-101794-1 CAN-2005-2072 Révision du bulletin 101794 ('ld.so.1') Sun a révisé le bulletin 101794 à propos d'une faille dans 'ld.so.1' sur les plates-formes Solaris 8, 9 et 10, concernant le traitement de la variable d'environnement 'LD_AUDIT'. Cette vulnérabilité peut autoriser un utilisateur local à acquérir des droits privilégiés. http://sunsolve.sun.com/search/document.do?assetkey=1-26-101794-1 CAN-2005-2072 Révision du bulletin 57769 Sun a révisé le bulletin 57769 concernant de multiples vulnérabilités dans la bibliothèque 'libtiff' qui pouvaient provoquer des dénis de service et l'exécution de code arbitraire. Cette révision apporte de nouvelles informations dans les sections "Contributing Factors" et "Resolution". http://sunsolve.sun.com/search/document.do?assetkey=1-26-101677-1 CAN-2004-0803, CAN-2004-0804, CAN-2004-0886, CAN-2004-1308 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 68/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Vulnérabilité de 'gzip' Sun a annoncé, dans le bulletin 101816, la vulnérabilité de l'utilitaire 'gzip' sur Solaris versions 8, 9 et 10 à des failles qui pouvaient entraîner la corruption de fichiers arbitraires et une élévation de privilèges. En l'absence de correctifs, Sun fournit des solutions palliatives. http://sunsolve.sun.com/search/document.do?assetkey=1-26-101816-1 CAN-2005-1228, CAN-2005-0988 Vulnérabilité 'ld.so.1' dans Sun 'Solaris' Sun a annoncé, dans le bulletin 101794, la vulnérabilité de la plate-forme Sun 'Solaris' versions 8, 9 et 10 à la faille récemment trouvée dans 'ld.so.1' concernant le traitement de la variable d'environnement 'LD_AUDIT', qui peut autoriser un utilisateur local à acquérir des droits privilégiés. Sun fournit une parade dans son avis orignal. Il n'y a pas de correctif officiel disponible. http://sunsolve.sun.com/search/document.do?assetkey=1-26-101794-1 http://secunia.com/advisories/15841/ CAN-2005-2072 US-CERT Reprise de l'avis Oracle de Juillet 2005 L'US-CERT a repris, sous la référence TA05-194A, l'avis "Oracle Critical Patch Update - July 2005" concernant de nombreuses vulnérabilités affectant plusieurs produits Oracle. Ces vulnérabilités peuvent entraîner de multiples dommages. http://www.us-cert.gov/cas/techalerts/TA05-194A.html Reprise de l'avis VERITAS VX05-001 à 003 et 005 à 007 L'US-CERT a repris, sous la référence TA05-180A, les alertes VX05-01, VX05-02, VX05-03, VX05-05, VX05-06, et VX05-07 concernant de multiples failles dans 'Backup Exec'. Ces failles permettent à un attaquant distant d'exécuter du code arbitraire avec des privilèges élevés, et l'US-CERT nous rappelle que ces failles font actuellement l'objet d'une exploitation active. http://www.us-cert.gov/cas/techalerts/TA05-180A.html CAN-2005-0771, CAN-2005-0773, CAN-2005-0772 Reprise des avis Microsoft MS05-035 à MS05-037 L'US-CERT a repris, sous la référence TA05-193A, les avis Microsoft MS035, MS05-036, et MS05-037 relatifs à des vulnérabilités dans plusieurs versions de Word, Windows et Internet Explorer. Ces vulnérabilités permettent toutes de provoquer l'exécution de code arbitraire sur une machine vulnérable. http://www.us-cert.gov/cas/techalerts/TA05-193A.html CAN-2005-0564, CAN-2005-1219, CAN-2005-2087 US-CERT Reprise de l'avis Oracle de Juillet 2005 L'US-CERT a repris, sous la référence TA05-194A, l'avis "Oracle Critical Patch Update - July 2005" concernant de nombreuses vulnérabilités affectant plusieurs produits Oracle. Ces vulnérabilités peuvent entraîner de multiples dommages. http://www.us-cert.gov/cas/techalerts/TA05-194A.html Reprise de l'avis VERITAS VX05-001 à 003 et 005 à 007 L'US-CERT a repris, sous la référence TA05-180A, les alertes VX05-01, VX05-02, VX05-03, VX05-05, VX05-06, et VX05-07 concernant de multiples failles dans 'Backup Exec'. Ces failles permettent à un attaquant distant d'exécuter du code arbitraire avec des privilèges élevés, et l'US-CERT nous rappelle que ces failles font actuellement l'objet d'une exploitation active. http://www.us-cert.gov/cas/techalerts/TA05-180A.html CAN-2005-0771, CAN-2005-0773, CAN-2005-0772 Reprise des avis Microsoft MS05-035 à MS05-037 L'US-CERT a repris, sous la référence TA05-193A, les avis Microsoft MS035, MS05-036, et MS05-037 relatifs à des vulnérabilités dans plusieurs versions de Word, Windows et Internet Explorer. Ces vulnérabilités permettent toutes de provoquer l'exécution de code arbitraire sur une machine vulnérable. http://www.us-cert.gov/cas/techalerts/TA05-193A.html CAN-2005-0564, CAN-2005-1219, CAN-2005-2087 CODES D’EXPLOITATION Les codes d’exploitation des vulnérabilités suivantes ont fait l’objet d’une large diffusion : MICROSOFT Code d'exploitation pour la faille MS05-017 Un code d'exploitation a été publié sur le site Web de FrSIRT concernant une faille dans le composant 'Message Queuing' de Microsoft Windows. Ce code permet d'obtenir, à distance, un interpréteur de commandes sur une machine vulnérable. http://www.frsirt.com/exploits/20050628.HOD-ms05017-msmq-expl.c.php CAN-2005-0059 Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 69/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 BULLETINS ET NOTES Les bulletins d’information suivants ont été publiés par les organismes officiels de surveillance et les éditeurs : ATTAQUES Nouvelles méthodes d'attaques via le protocole HTTP Un document a été publié par Watchfire, qui décrit une nouvelle famille d'attaques visant les produits intervenant dans l'envoi de documents par le protocole HTTP (proxy, cache, serveur applicatif, serveur Web, etc). Ces attaques, regroupées sous la dénomination "HTTP request smuggling", visent les environnements qui font intervenir plusieurs produits différents (par ex. un serveur Web derrière un serveur proxy), et exploitent les différences entre les interprétations que font ces produits d'une même requête HTTP. Il est possible, en utilisant les techniques démontrées dans ce document, de causer toutes sortes de dommages, tels la corruption de cache Web, le détournement de session, le contournement des protections d'un pare-feu applicatif, le détournement d'identifiants, etc. Maintenant que ces techniques sont publiquement connues, nous pouvons nous attendre à une uniformisation et une correction progressive de l'analyse des requêtes par les applications utilisant le protocole HTTP. La faille n'est pas dans chaque produit pris individuellement, mais bien dans les différences de comportement entre les différents produits. http://www.watchfire.com/resources/HTTP-Request-Smuggling.pdf CAN-2005-2094 CIAC Alerte aux attaques ciblées par email Le CIAC, dans le bulletin P-256, fait l'écho d'une augmentation de la proportion d'attaques par email visant une population très ciblée, et non une diffusion massive. Ce bulletin se concentre sur les emails malveillants dont le but est généralement d'installer un code malicieux (cheval de Troie...) sur les machines des cibles choisies. Le but de ce bulletin est de rappeler que de tels codes malicieux, de par leur faible diffusion, ne feront probablement jamais l'objet d'une détection spécifique par les anti-virus majeurs. Cette tendance implique donc que les utilisateurs fassent preuve de plus de vigilance et suggère l'évolution de certaines habitudes (demande de confirmation d'envoi avant ouverture, signature électronique, etc). http://www.ciac.org/ciac/bulletins/p-256.shtml http://www.us-cert.gov/cas/techalerts/TA05-189A.html MICROSOFT Disponibilité du "Update Rollup 1" pour Windows 2000 Microsoft a annoncé, dans l'article 891861, la disponibilité du correctif cumulatif "Update Rollup 1" pour Windows 2000 SP4. Ce correctif cumulatif regroupe l'ensemble des correctifs de sécurité apportés à Windows 2000 depuis la sortie du Service Pack 4, et le complète par de nouveaux. Ce correctif est donc à déployer aussi sur les machines ayant été tenues à jour au fil de l'eau (avec les précautions d'usage, cf. article original). http://support.microsoft.com/?scid=kb%3Ben-us%3B891861&x=16&y=11 Exposition d'informations via 'ISA Server' Microsoft a publié le bulletin 821724 à propos d'une vulnérabilité dans Microsoft 'ISA Server' pouvant entraîner l'exposition d'informations sensibles. Dans un scénario de publication Web où l'authentification est activée sur les requêtes entrantes, les informations d'authentification peuvent être envoyées via une connexion HTTP au lieu d'une connexion HTTPS, comme il peut être requis par le scénario. Cette vulnérabilité a été corrigée par le correctif MS05034. http://support.microsoft.com/?id=821724 http://www.microsoft.com/technet/security/Bulletin/MS05-034.mspx Un faux bulletin Microsoft véhicule le virus "SDBot" Un message prenant l'apparence d'un bulletin de sécurité Microsoft circule actuellement. Il prétend être référencé MS05-039 et contenir un correctif cumulatif permettant de protéger plusieurs versions de Windows contre les virus W32/Sober, W32/Zafi, W32/Mytob. Ce message est un faux dont le but est de répandre une variante récente (et apparemment pas détectée par tous les anti-virus) du cheval de Troie "SDBot". Cela constitue pour nous une occasion de rappeller que plus personne ne distribue d'avis et de correctifs de façon proactive par email depuis plusieurs années, car cela ne permet pas de garantir l'intégrité de l'information et des fichiers transmis. http://www.f-secure.com/weblog/#00000584 http://www.websensesecuritylabs.com/alerts/alert.php?AlertID=228 http://isc.sans.org//diary.php?date=2005-06-28 Vulnérabilité de l'objet COM 'Javaprxy.dll' Microsoft a annoncé, dans le bulletin 903144, une vulnérabilité non documentée dans l'objet COM 'Javaprxy.dll'. Cette faille peut être exploitée via une page HTML spécialement construite qui peut conduire le navigateur Internet Explorer à instancier cet objet COM vulnérable et entraîner ainsi un déni de service du navigateur. Microsoft annonce qu'il est possible d'exploiter cette faille afin d'exécuter du code arbitraire. Des parades sont fournies dans l'avis original mais aucun correctif n'est actuellement disponible. Lorsque cette page sera chargée par un navigateur Internet Explorer d'une plate-forme vulnérable, un code malicieux sera exécuté permettant à un attaquant distant d'obtenir un interpréteur de commandes sur le port TCP 28876. Il est probable de voir apparaître prochainement des attaques sur Internet. http://www.microsoft.com/technet/security/advisory/903144.mspx http://www.frsirt.com/exploits/20050702.iejavaprxyexploit.pl.php Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 70/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 VERITAS Activité de sondage sur le port TCP 10000 Le SANS nous informe d'une forte augmentation de l'activité de sondage sur le port TCP 10000. Cette vague d'activité est à mettre en relation avec les récentes failles trouvées dans Veritas 'Backup Exec'. Il semblerait que cette activité de sondage soit due à l'utilisation d'un code d'exploitation disponible sous différentes formes, dont un plugin Metasploit. http://isc.sans.org/diary.php?date=2005-06-27 http://www.metasploit.org/projects/Framework/modules/exploits/backupexec_agent.pm CAN-2005-0771, CAN-2005-0773, CAN-2005-0772 VIRUS Apparition du cheval de Troie 'Fantibag.B' F-Secure nous signale l'apparition du cheval de Troie 'Fantibag.B'. Lors de son execution, ce code malicieux se copie sous le nom 'firewall_anti.exe' dans le répertoire Windows, crée une clef de registre pour s'exécuter automatiquement au démarrage de la machine, et dépose la bibliothèque DLL 'firewall_anti.dll'. Cette DLL permet de modifier les interfaces réseaux avec l'API de filtrage de paquets Microsoft RAS. Elle ajoute un filtre afin de bloquer l'accès à differents sites d'éditeurs d'anti-virus. Ainsi, l'utilisateur piégé ne peut plus télécharger les nouvelles signatures pour son anti-virus. Il est fortement recommandé de vérifier si les mises à jour de votre antivirus se déroulent correctement. Si cela n'est pas le cas, téléchargez les signatures pour votre anti-virus depuis un autre poste et vérifiez les règles de filtrage du pare-feu intégré à Windows. http://www.f-secure.com/v-descs/fantibag_b.shtml http://www.f-secure.com/weblog/ Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 71/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 ATTAQUES OUTILS IDEFENSE - MAP # Description La société iDefense annonce la mise à disposition sous licence GPL du paquetage MAP, un acronyme de ‘Malcode Analyst Pack’. Ce paquetage regroupe quelques sept outils plus ou moins bien intégrés à l’environnement Windows, écrits pour la plupart en Visual Basic .NET, livrés avec leurs fichiers sources et destinés à faciliter l’analyse de codes malicieux. MailPot Comme son nom l’indique, cet utilitaire graphique permet d’activer un faux serveur de messagerie SMTP jouant le rôle d’un pot de miel. Il est ainsi possible de visualiser en temps réel les connexions et transferts de messages effectués vers ce serveur puis d’analyser a posteriori le contenu de ces derniers, chaque message étant conservé dans un fichier dédié au format texte. S’il donne toute satisfaction avec un client de messagerie simple, ou n’utilisant qu’une partie des fonctions offertes par le protocole SMTP – Thunderbird par exemple – ce pot de miel trouve très rapidement ses limites avec des clients plus exigeants tels Eudora qui utilisent des commandes ici non implémentées telle la commande ‘RSET’. Dans ces conditions, seules les premières phases de l’échange sont collectées, le client finissant par se déconnecter en l’absence de réponse du pseudo-serveur. Un tel outil sera cependant fort utile pour capturer les messages transmis par des codes malicieux – vers ou virus – disposant d’une fonction de recherche automatique des services de messagerie sur le réseau. En installant cet utilitaire sur un machine dont l’adresse n’est enregistrée sur aucun serveur de noms et dont le service SMTP n’est pas référencé, les connexions illicites seront immédiatement mises en évidence, et ce de manière visuelle. Un bon outil d’analyse réseau aurait permis cette identification à la condition d’être correctement configuré mais étant passif le message transmis n’aurait pu être acquis sauf à être dupliqué sur le serveur SMTP cible. L’utilisateur devra tenir compte du fait que les fichiers de journalisation sont systématiquement sauvegardés sous le répertoire ‘mailpot’ situé à la racine du volume Système, et ce quel que soit l’emplacement de l’exécutable. Sniff_hit Ici encore la fonction de l’utilitaire est révélée par son nom. Sniff_Hit offre la possibilité d’espionner en temps réel les échanges entre la machine hôte et des systèmes externes offrant un service WEB et IRC. Ces deux protocoles supportent en effet à eux seuls plus de 90% du trafic généré par des codes malicieux, spyware, virus, chevaux de Troie, vers et autres joyeusetés du même acabit. En pouvant visualiser d’un simple coup d’œil le trafic HTTP et IRC courant ainsi que les systèmes tiers associés, cet outil permet de confirmer très rapidement l’existence d’une compromission et d’agir pour surveiller ou bloquer la source de l’agression. L’outil Sniff_Hit est autonome et ne requiert pas l’installation d’une librairie de capture, celui-ci utilisant une interface d’acquisition native du système Windows. On regrettera l’impossibilité de travailler sur des flux HTTPS et l’absence de surveillance du protocole SSH de plus en plus souvent utilisé par les logiciels malveillants. ShellExt Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 72/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Il s’agit ici d’un module d’extension des fonctionnalités de l’interface Windows. Son installation permet de disposer de trois fonctions accessibles en fonction du contexte courant par le biais du menu local de l’application ‘Explorer’. La fonction ‘File Hasher’ est utilisable, lorsqu’un répertoire est sélectionné, pour calculer la somme MD5 des fichiers présents dans celui-ci. Il est dommage que les auteurs n’aient cru devoir ne proposer qu’un seul algorithme de condensation, qui plus est, considéré comme non fiable. On regrettera par ailleurs l’absence d’une fonction permettant de sauvegarder le résultat sous la forme d’un fichier dans le répertoire courant, et de contrôler automatiquement la validité des sommes cryptographiques lorsqu’un tel fichier est présent dans le répertoire sélectionné. Les amateurs de programmation pourront cependant assez aisément palier à ce manque, les sources étant livrées. La lecture de ces dernières démontre la richesse de l’environnement ‘.NET’ et des nombreuses classes livrées avec celui-ci. La fonction ‘Strings’ permet classiquement d’extraire les chaînes de caractères présentes, au format ASCII mais aussi UNICODE, dans le fichier sélectionné via l’application Explorer. Les résultats sont présentés dans une fenêtre d’édition dont le contenu peut être copié dans le presse-papier, les chaînes ASCII étant affichées en premier. La fonction ‘Decompile’ peut être utilisée pour extraire les ressources compilées dans un fichier d’aide au format ‘CHM’. On notera que cette fonction fait en réalité appel à un utilitaire livré nativement avec Windows: l’outil ‘hh’ - et son option ‘-decompile’ Cette boîte à outils peut s’avérer pratique par le regroupement d’outils couramment utilisés par ailleurs disponibles individuellement. SCLog Prenant la forme d’une application en mode ‘console’, cet utilitaire permet de charger et tester un ‘shellcode’ en journalisant les différents accès aux fonctions du système tout en restreignant les actions considérées comme dangereuses. Les auteurs font remarquer que le mécanisme de filtrage des accès aux interfaces considérées comme à risque ne permet pas de confiner tous les risques. Ils recommandent d’utiliser cet outil au sein d’une véritable machine virtuelle. Aucun exemple pratique n’étant proposé nous n’avons pu tester son fonctionnement. IDCDumpFix Cet utilitaire doit faciliter l’analyse d’un binaire dont le code original a été protégé par l’une des techniques de protection couramment mises en œuvre: la compression du code suivie du changement de certains paramètres dans l’en-tête de chargement. La technique couramment utilisée dans ce cas de figure consiste à lancer l’exécutable puis à capturer une copie de son image en mémoire, laquelle sera le reflet du code original et non de la version protégée. Une analyse de cette image devra ensuite être engagée, généralement à l’aide de l’un des deux outils les plus connus: OllyDbg (logiciel gratuit) ou IDA (logiciel commercial). Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 73/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Cette tâche fastidieuse est effectuée sur une image statique pour laquelle les structures présentes dans les en-têtes de l’exécutable ne sont pas toujours disponibles. L’utilitaire IDCDumpFix vient combler ce manque en offrant la possibilité de créer un script IDC, le langage de scripting de l’environnement IDA, permettant de nommer les adresses correspondant aux fonctions connues du système Windows. Pour cela, l’image mémoire obtenue via OllyDbg, ou tout outil spécifique, sera analysée par la fonction ‘search for all intermodular calls’ qui fournira une liste des appels aux fonctions tierces. Cette table sera ensuite copiée dans l’outil IDCDumpFix lequel générera automatiquement le script IDC permettant le nommage des fonctions identifiées. On notera deux bogues dans la version actuelle. Le premier conduit à devoir utiliser l’entrée ‘Copier’ du menu contextuel en lieu et place du bouton ‘Copy’ proposé par l’interface. Le second bien plus gênant se situe dans le traitement du format de la table des appels obtenue via OllyDbg lorsque celle-ci contient des adresses symboliques. Pour y palier, il sera nécessaire de désactiver l’option ‘Show symbolic address’ dans le menu ‘Debugging options’ ! SocketTool Cet outil offre une interface graphique permettant d’ouvrir, et de fermer, une connexion TCP/IP puis de transmettre sur celle-ci des données textuelles ou binaires. L’objectif est ici d’offrir un outil permettant d’étudier le comportement d’un service TCP distant en lui transmettant différentes sortes de données statiques ou construites à la demande. Pour cela, l’utilisateur renseignera la séquence à transmettre dans la fenêtre réservée à cet usage, le mot clef [DATA] permettant l’insertion immédiate – Bouton Now – ou lors de l’envoi – option OnSend d’une séquence générée ou provenant d’un fichier préalablement sélectionné. En l’absence de documentation détaillée, l’utilisation de ‘SocketTool’ est loin d’être évidente. De nombreux essais seront nécessaires pour bien en comprendre le fonctionnement, la lecture des sources permettant d’identifier les actions associées à certaines options. FakeDNS Cet utilitaire se positionne comme un relais protocolaire dédié au protocole DNS. Il permet d’observer le trafic DNS sans avoir à installer un analyseur réseau tel que le célèbre Ethereal. La mise en œuvre de ce relais est d’une simplicité enfantine: après avoir configuré l’adresse vers laquelle seront redirigées les requêtes DNS – serveur local ou distant – l’utilisateur active le relayage par le biais du bouton ‘Listen’ lequel change d’intitulé après activation. Toutes les requêtes DNS émises à l’attention de ce relais, et les réponses reçues seront affichées en hexadécimal et en caractères ASCII. On regrettera l’absence d’une fonction permettant la recopie de ces données, horodatées dans un fichier pour une analyse ultérieure. Un tel utilitaire permettra une identification aisée et rapide des sites tiers vers lesquels se connecteraient des logiciels malveillants hébergés sur le système étudié sur lequel on aura préalablement remplacé l’adresse du serveur DNS par l’adresse du système sur lequel FakeDNS est actif. Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 74/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE Juillet 2005 Bien utiles voir indispensables pour certains, ces utilitaires sont hélas livrés ‘bruts de décoffrage’, non totalement finalisés notamment sur le plan de la gestion du changement de taille de la fenêtre principale et de la documentation. C’est bien dommage d’autant que le rachat de la société iDefense le 14 juillet dernier par la société Verisign pourrait bien sonner le glas de ces développements libres comme ce fut bien souvent le cas à la suite des rachats de petites structures prometteuses ... # Complément d'information http://www.idefense.com/iia/releases/MAP_Setup.exe Veille Technologique Sécurité N°84 © APOGEE Communications - Tous droits réservés Page 75/75 Diffusion restreinte aux clients abonnés aux services VTS-RAPPORT et VTS-ENTREPRISE