Flux RSS
Intrusion / hacking / pare-feu
718 documents trouvés, affichage des résultats 571 à 580.
| < Les 10 documents précédents | Les 10 documents suivants > |
(29/11/2007 10:21:27)
Les failles d'Office et des applications Web pointées du doigt par le Sans Institute
Selon l'organisation spécialisée dans la sécurité informatique, les développeurs ne recourent pas à des méthodes de codage sécurisées pour bâtir les applications hébergées, donnant ainsi l'opportunité aux personnes malintentionnées d'accéder aux bases de données liées à ces dernières. Les services en ligne échangent en outre des informations avec les machines des utilisateurs, et offrent ainsi aux pirates une double occasion de profiter d'une vulnérabilité. Dans le cas des banques en ligne ou des sites de e-commerce par exemple, la manoeuvre malicieuse consistera à subtiliser le couple identifiant/mot de passe ou des informations relatives aux cartes bancaires, selon que l'on profite d'une faille située du côté de l'utilisateur ou du serveur. La suite bureautique de Microsoft récolte aussi son lot de griefs, le Sans Institute indiquant que le nombre de failles identifiées a bondi de 300% entre 2006 et 2007, notamment en raison de nouvelles vulnérabilités affectant Excel. En exploitant certaines faiblesses d'Office, des pirates peuvent concevoir un document qui, une fois ouvert, injecte du code malicieux dans la machine de sa victime. Les documents sont envoyés en pièce jointe par courriel, un soupçon d'ingénierie sociale suffit alors à inciter les plus crédules à ouvrir le fichier. La naïveté des utilisateurs constitue un des développements du rapport, au même titre que les vulnérabilités des applications. Le Sans Institute prêche en effet en faveur de l'éducation des internautes et plus généralement des utilisateurs, trop souvent prompts à se laisser piéger par des grosses ficelles. Si le nombre des failles affectant Office est en très forte hausse, le nombre de sites Web susceptible d'infecter une machine avec un spyware s'inscrit également en nette croissance. Selon Webroot, l'une des sociétés ayant contribué au rapport du Sans, les sites Internet présentant un danger sont 187% plus nombreux cette année que l'an dernier. Il ne faudrait ainsi que cinq minutes pour qu'un PC non protégé connecté sur le Web soit la cible d'une attaque. Face à ces risques, les recommandations du Sans sont frappées du sceau du bon sens : les développeurs doivent avoir recours à des outils pour éprouver la sécurité de leur code, les administrateurs de systèmes dont les utilisateurs ont recours aux applications Web sont censés utiliser des pare-feux et appliquer régulièrement les mises à jour. (...)
(15/11/2007 10:27:06)Un demi-million de bases de données sans protection sur Internet
Près d'un demi-million de serveurs de bases de données Oracle et Microsoft sont laissés sans protection et sont accessibles librement depuis Internet. C'est ce qu'affirme le chercheur en sécurité David Litchfield, éditeur du site Databasesecurity.com, dans la deuxième édition de son étude Database exposure survey qui sera publiée lundi prochain. Le chercheur a scanné de façon aléatoire le port réservé à SQL Server et Oracle de presque un million d'adresses IP. Résultat : 157 SQL Server et 53 bases Oracle trouvées, et donc sans protection. En croisant ces chiffres avec les estimations d'installations, il est parvenu à la conclusion qu'"il y a approximativement 368 000 serveurs Microsoft et 124 000 serveurs Oracle directement accessibles sur Internet". Si on peut s'interroger sur la pertinence de la méthode, David Litchfield, quant à lui, se veut alarmant. Car ces résultats démontrent que le nombre de bases Microsoft et Oracle non protégées va en grandissant. Il y a deux ans, à l'occasion de la première édition de l'étude, il ne recensait alors que 140 000 systèmes Oracle et 210 000 systèmes Microsoft sans protection. L'étude, obtenue en avant-première par nos collaborateurs d'IDG News Service, explique également que les systèmes pointés du doigt reposent sur d'anciennes versions des logiciels, qui pour la plupart n'ont pas été mises à jour, ou pire, ne reçoivent plus de mises à jour de sécurité - le support ayant expiré. 13% des systèmes Oracle en question fonctionnent sur la version 9, ou précédente, de la base de données, "reconnue pour être vulnérable". 82% des systèmes Microsoft fonctionnent sous SQL Server 2000 et pour la moitié d'entre eux, sans le Service Pack 1 d'installé. Ce qui, selon David Litchfield, laisse le champ libre à des exploits majeurs pourtant très médiatisés, comme le ver Slammer. Cette année, les bases MySQL ne font pas partie du périmètre. Dans la version précédente de l'étude, David Litchfield en avait trouvé pourtant une proportion importante. Il écrivait d'ailleurs : « Il y a davantage de serveurs MySQl exposés que je n'aurais cru et, comme pour SQL Server et Oracle, la plupart des systèmes trouvés faisaient tourner d'anciennes versions, non patchées ». (...)
(14/11/2007 12:39:27)Patch Tuesday : Microsoft comble enfin la faille URI
Le Patch Tuesday de novembre corrige enfin la faille URI (Uniform Resource Identifier), qui a été le théâtre de nombreuses attaques au cours des dernières semaines. C'est donc sans surprise que la mise à jour MS07-061 est classée « critique » par Microsoft. Les URI entrent notamment en jeu lors du lancement d'applications à partir d'une URL et permettaient jusqu'alors l'exécution de code malicieux à distance. Adobe Acrobat, IE7 et Firefox ont été touchés par la vulnérabilité. Dans un premier temps, Microsoft estimait qu'il revenait aux éditeurs tiers de corriger cette faille avant de décider de régler le problème via une mise à jour pour Windows (XP et Server 2003, 2000 et Vista n'étant pas concernés). La seconde vulnérabilité corrigée par l'éditeur dans son Patch Tuesday est classée « importante » et ne concerne que Windows Server 2000 et 2003. Elle permettait de rediriger les utilisateurs vers des sites Web malicieux en exploitant une usurpation de contenu dans les serveurs DNS Windows. En savoir plus La mise à jour MS07-61 (faille URI) La mise à jour MS07-62 (...)
(07/11/2007 16:15:01)Les utilisateurs mobiles dangereux pour les données de leur entreprise
Selon le cabinet Computing Technology Industry Association (CompTIA), 60% des 1070 entreprises interrogées dans le cadre d'une étude, reconnaissent que les risques liés à la consultation ou au transfert de données à partir d'équipements mobiles ont augmenté de façon significative au cours des 12 derniers mois. Plus de la moitié d'entre elles (55%) estiment que l'implémentation de réseaux sans fil a également contribué à cette augmentation des risques. Pour John Venator, président et CEO de CompTIA, l'accès distant aux applications et autres données confidentielles de l'entreprise par des utilisateurs nomades ne cesse de se développer. L'organisation même de l'entreprise change avec de plus en plus de collaborateurs qui travaillent à partir de leur domicile, des filiales qui accèdent au siège, des utilisateurs mobiles qui se connectent de n'importe où pour consulter leur courrier ou simplement enregistrer la commande d'un client pendant leur déplacement. « Soit autant de brèches potentielles de sécurité qu'il faut absolument sécuriser », estime le président et CEO de CompTIA. Selon l'étude, 80% des entreprises interrogées sont confrontées à ces problèmes : elles autorisent les accès distants ou mobiles à leur système d'information. Mais seulement 32% d'entre elles auraient pris le temps de sensibiliser et former leurs utilisateurs aux dangers inhérents à ce type d'accès, 10% prévoyant toutefois de le faire dans les douze prochains mois. Pour CompTIA, négliger cette formation constitue une erreur grave : 90% des entreprises ayant pris le temps de sensibiliser leurs utilisateurs estiment en effet avoir réduit le nombre de vulnérabilités en matière de sécurité liées à ces nouveaux usages. (...)
| < Les 10 documents précédents | Les 10 documents suivants > |