Flux RSS

Inscrivez-vous

Microsoft confirme un bug zero-day dans Windows

Mozilla augmente ses primes pour la découverte de failles de sécurité

La fondation qui est à l'origine du navigateur Firefox a annoncé avoir sensiblement augmenté, de 500 à 3000 dollars, la prime dédiée aux chercheurs, hackers, dévelopeurs qui travailleront sur les questions de sécurité de ses produits. Ce programme existe depuis 2004 sous le nom Security Bug Bounty Program. « Beaucoup de choses ont changé au cours des six dernières années depuis le lancement de ce programme. Nous estimons que l'une des meilleures façons de fidéliser nos utilisateurs en toute sécurité est de récompenser à sa juste valeur les chercheurs en sécurité qui participent à la mise à jour de nos produits », a écrit Lucas Adamski, directeur de l'ingénierie de sécurité, dans un blog.

Conditions  assouplies et champs d'application élargis

Le programme qui s'adressait à l'origine à Firefox et à l'outil de messagerie Thunderbird, s'étend maintenant au navigateur sur mobile et à d'autres produits. Les mises à jour et les versions bêta sont également éligibles. Lucas Adamski a souligné que « les primes étaient auparavant attribuées de manière discrétionnaire. Aujourd'hui, nous allons le faire de manière plus explicite » et d'ajouter « Mozilla ne pourra pas refuser une prime à un chercheur qui aura trouver véritablement une faille sauf si la fondation estime que la personne n'a pas agi dans le meilleur intérêt des utilisateurs ». Enfin une partie de la prime pourra être octroyée si un chercheur a publié des informations sur une faille de sécurité ou s'il n'a pas eu le temps de travailler en collaboration avec les équipes de sécurité de Mozilla.

Oracle publie 59 correctifs de sécurité, dont trois critiques

Sur les 59 patchs annoncés dans le cadre de la campagne trimestrielle Critical Patch Updates d'Oracle, 13 concernent des problèmes de sécurité fragilisant la suite de base de données maison et 28 pour des vulnérabilités exploitables à distance et considérées d'une importance capitale par l'éditeur. : elles permettent en effet de prendre le contrôle des systèmes sans avoir besoin de s'identifier par un nom d'utilisateur ou un mot de passe. « Trois de ces patchs sont essentiels car ils portent sur des défauts particulièrement dangereux dans toutes les versions database server d'Oracle, » a déclaré Josh Shaul, directeur de la gestion produits chez Application Security, un spécialiste en solutions de sécurité basé à New York. L'une des failles, qui porte le numéro CVE-2010-0902, permet à tout utilisateur authentifié au sein d'une base de données Oracle de disposer d'un accès administrateur total. «Ils peuvent consulter la base de données, la modifier ou arrêter le serveur de base de données. En un mot, ils disposent de toutes les autorisations administrateur de la base de données, » a expliqué Josh Shaul.

Des failles critiques pour les entreprises

Les deux autres failles critiques affectant la base de données pourrait être exploitées sans que l'utilisateur ait même besoin d'être connecté à la celle-ci. Elles permettraient notamment à un attaquant de déclencher un déni de service (DoS) contre la base pour la rendre inaccessible aux utilisateurs légitimes. «Ce sont trois vulnérabilités très dangereuses pouvant mettre à néant la base de données, » a encore déclaré le responsable d'Application Security. « L'indice établi par Oracle pour classer les failles par niveau de gravité ne reflète pas la véritable nature de la menace, » a t-il commenté.

[[page]]

La suite de produits Solaris acquise par Oracle avec le rachat de Sun Microsystems est concernée par 21 correctifs dans le total de ceux qui ont été livrés, dont 7 sont exploitables à distance. Dix-sept des correctifs réparent des failles dans E-Business Suite et Supply Chain Management (SCM), dans la suite JD Edwards de PeopleSoft. Une autre série corrige 7 failles dans les produits Fusion Middleware d'Oracle, tandis que l'un des correctifs colmate un trou dans Enterprise Manager Grid Control.

Mise en oeuvre prudente

Comparativement aux livraisons précédentes, le nombre de correctifs appliqués cette fois-ci est globalement assez faible. En Janvier 2006 par exemple, Oracle avait publié 82 correctifs après une mise à jour effectuée en octobre qui réparait déjà 101 bugs. Dans le passé, les administrateurs d'Oracle ont été notoirement lents à déployer des correctifs de sécurité, en particulier dans les environnements de base de données. Des enquêtes ont montré que les environnements sous Oracle attendent souvent plusieurs mois avant de disposer de correctifs de sécurité, même dans les cas où les failles peuvent représenter un danger manifeste. Cet immobilisme découle en grande partie de la préoccupation concernant la mise en oeuvre de ces correctifs, le délai nécessaire pour tester et déployer ces patchs entrainant une perturbation redoutée de la production. « Depuis peu les entreprises savent de mieux en mieux réagir pour effectuer le déploiement des correctifs dans les base de données Oracle, aidées notamment par des outils qui facilitent la gestion de l'application des patchs, » a déclaré Josh Shaul.

Crédit photo : D.R.

IBM assume la défaillance de la banque DBS à Singapour

IBM a admis sa responsabilité concernant la panne des systèmes informatiques ayant touché DBS, une des banques les plus importantes de Singapour, le 5 juillet dernier. Big Blue explique qu'un de ses employés aurait commis une erreur de jugement, qui aurait ensuite provoqué cet incident. Dans un communiqué publié mardi, IBM explique que les problèmes ont débuté lorsque les logiciels de surveillance ont détecté une instabilité au sein du système de stockage de la banque. Alors que ce système était toujours « entièrement fonctionnel », des employés d'IBM auraient lancé un processus de récupération pour régler l'instabilité en question. « Malheureusement, l'incapacité à appliquer la procédure correcte a causé, par inadvertance, la panne généralisée » indique IBM, tout en faisant remarquer de nouveau qu'aucune donnée n'a été perdue durant l'incident.

Un partenariat à renforcer

La défaillance avait fait s'effondrer toutes les plateformes informatiques de DBS pendant sept heures, empêchant les clients de retirer de l'argent dans les distributeurs. Tous les systèmes, qu'ils soient à destination des clients ou des entreprises, avaient été touchés. Dans le même temps, la banque avait d'ores et déjà confirmé l'absence de perte de données. La plupart de ces systèmes sont gérés par IBM via un contrat d'outsourcing, signé en 2002, de 868 millions de dollars.

De nouvelles mesures préventives

Les deux entreprises sont actuellement en train de faire en sorte qu'un incident de ce type ne se reproduise plus. IBM aurait d'ailleurs « pris des mesures pour améliorer la formation de notre personnel local, en vue de mieux intégrer les procédures actuelles, et fait venir certains de nos experts afin de les aider dans cette optique », explique le communiqué de la firme d'Armonk. On peut aussi y lire qu'IBM et DBS ont mis en place « des actions supplémentaires en vue d'augmenter significativement la résistance et la redondance de cette partie de l'infrastructure informatique de la banque ».

La NSA admet l'existence du programme Perfect Citizen

La National Security Agency (NSA) a confirmé jeudi l'existence d'un programme déjà controversé visant à la protection des infrastructures décisives du réseau américain. Pour autant, ce programme, appelé Perfect Citizen, ne surveillerait pas le trafic réseau des infrastructures en question. L'article du Wall Street Journal ayant dévoilé son existence affirmait pourtant que la NSA s'appuierait « sur une batterie de capteurs déployée au sein des réseaux décisifs, déclenchés en cas d'activité inhabituelle ». Le journal précise au passage que c'est la société Raytheon, spécialisée dans la défense du territoire, qui a remporté le contrat de 100 millions de dollars pour gérer la première phase du projet Perfect Citizen.

« Ce n'est pas l'usage prévu pour ces capteurs »

Pour l'agence, la description présentée par l'article est inexacte, et préfère présenter le programme comme étant « purement une évaluation des vulnérabilités et un contrat de développement des performances de sécurité ». La NSA ajoute qu'il s'agit « d'un effort d'ingénierie et de recherche » et qu'« aucune activité d'espionnage ou de surveillance ne sera impliquée, ce n'est pas l'usage prévu pour ces capteurs ».
Toujours d'après le service de renseignement, « ce contrat fournit des solutions techniques visant à aider la NSA à mieux comprendre les menaces qui pèsent sur les réseaux utilisés pour garantir la sûreté nationale, qui est une mission décisive de l'agence ». « Toute suggestion d'association de cet effort à des activités illégales ou intrusives sont tout simplement fausses ». (...)

Les ventes de boîtiers de sécurité repartent légèrement à la hausse

Microsoft pressé de livrer ses derniers patchs

Comme prévu, le délai est relativement court : Microsoft a déjà livré plusieurs séries de patchs, alternant les gros et les petits correctifs, avec un calendrier fixé sur les mois pairs pour les mises à jour les plus importantes. En juin, par exemple, l'entreprise a émis 10 bulletins de sécurité corrigeant un nombre record de  34 vulnérabilités. Le mois de mai s'est limité pour sa part à deux bulletins et à deux failles seulement. « Ce mois-ci n'est pas encombré, et aurait été encore plus léger si Tavis ne nous avait pas forcé à aller plus vite que le rythme choisi pour les patchs de vulnérabilité,» a déclaré Wolfgang Kandek, directeur technique de Qualys.

Ce dernier fait allusion à Tavis Ormandy, ingénieur en sécurité chez Google qui a publié, début juin, le code d'attaque utilisé par un bug affectant l'aide de Windows XP et du Centre de Support, une fonctionnalité qui permet aux utilisateurs d'accéder et de télécharger des fichiers d'aide de Microsoft via le Web. Elle est également utile aux supports techniques pour effectuer la maintenance à distance d'un PC en local. Comme l'a annoncé Microsoft, ce bug affecte également Windows Server 2003. Après avoir rendu cette vulnérabilité publique, insinuant au passage que Microsoft ne s'engagerait pas à émettre un correctif dans un délai raisonnable, Tavis Ormandy s'est retrouvé au coeur d'une sérieuse controverse. Si certains chercheurs en sécurité l'ont critiqué d'avoir divulgué cette faille publiquement, d'autres ont pris sa défense, bombardant Microsoft et la presse, Computerworld compris, pour les accuser de lier Tavis Ormandy à son employeur, Google.

La semaine dernière, un groupe de chercheurs anonymes du nom de Collectif de Chercheurs rejetés par Microsoft (CSEM) - le groupe a repris ironiquement l'acronyme de l'équipe de chercheurs chargée de pister les bugs chez Microsoft - a riposté en publiant des informations sur une vulnérabilité non corrigée dans Windows Vista et Windows Server 2008. Le groupe déclare vouloir marquer sa désapprobation quant à « l'hostilité de Microsoft envers les chercheurs en sécurité, » et cite l'affaire Ormandy comme exemple le plus récent. « Cela montre que Microsoft peut agir très rapidement quand il le faut, » a déclaré Wolfgang Kandek, qui s'exprimait sur la vitesse de réaction de Microsoft à livrer ses patchs.

[[page]]

Selon Jerry Bryant, un manager en relation avec le Microsoft Security Response Center, l'entreprise commençait son enquête lorsque Tavis Ormandy a rendu le fait public. Celui-ci a contacté l'éditeur le 5 juin. « Deux jours plus tard, Microsoft lui faisait savoir qu'elle ne pouvait pas estimer de calendrier de livraison d'un patch avant la fin de la semaine, » a t-il déclaré. «Le 9 juin, la faille a été rendue publique alors que nous étions dans les premières phases d'investigation, » a t-il encore écrit dans un mail. «À la fin de la semaine, nous avions décidé d'essayer d'inclure le correctif avec le cycle prévu en août, mais nous avons du aller plus vite, afin limiter le risque pour nos clients, soumis cette fois à des attaques actives. »

Les pirates n'ont pas tardé à utiliser la vulnérabilité à leur profit, lançant des attaques cinq jours après la publicité faite par Tavis Ormandy. La semaine dernière, Microsoft a indiqué que depuis le 15 juin, elle avait comptabilisé plus de 10.000 attaques utilisant le bogue du Centre d'aide. Jerry Bryant a également fait remarquer que la livraison d'un patch dans ce délai a été possible parce que le bug n'affectait que deux versions de Windows. La notification mensuelle de l'éditeur a donc été avancée à la semaine prochaine: trois des quatre mises à jour sont qualifiées de «critique», pour signifier le risque le plus élevé dans le classement établi par Microsoft. Le quatrième patch est qualifié pour sa part d'«important», soit juste derrière dans l'échelle des menaces.

Egalement dans le tuyau, un correctif pour un bug déjà connu qui affecte les versions 64 bit de Windows 7 et Windows Server 2008 R2, réparant une faille confirmée par l'éditeur mi-mai. Les deux patchs concernant Windows sont également marquées comme « critiques », tandis que la mise à jour d'Office est également désignée d'« importante ». Les mises à jour d'Office bouchent des trous dans la base de données Access et le client de messagerie Outlook. Enfin, les correctifs à paraitre mardi seront les dernières pour Windows 2000 et Windows XP Service Pack 2 (SP2), puisque ces deux produits ne bénéficieront plus de support à partir de cette date.

Les quatre mises à jour seront mises en ligne à environ 1 h (Eastern Standard Time) le 13 juillet.

Le mystérieux code du Cyber Commandement américain craqué (MAJ)

9ec4c12949a4f31474f299058ce2b22a, c'est ce que l'on peut lire sur le rond doré, au centre du blason du cyber commandement américain. Ce code a été soumis par un site Internet à la sagacité de ses lecteurs et les hypothèses ont été légions. Du mot de passe pour le réseau WiFi de l'organisation à sa localisation GPS, l'imagination des Internautes n'a pas de limites.

La solution a été dévoilée par Sean-Paul Corell, un chercheur de Panda Security, éditeur d'anti-virus, qui a reconnu, un Hash MD5, une méthode de scellement, qui était lié à la phrase indiquant les missions attribuées à l'organisation : « USCYBERCOM plans, coordinates, integrates, synchronizes and conducts activities to: direct the operations and defense of specified Department of Defense information networks and; prepare to, and when directed, conduct full spectrum military cyberspace operations in order to enable actions in all domains, ensure US/Allied freedom of action in cyberspace and deny the same to our adversaries. »

Pour l'anecdote, le chercheur a indiqué qu'entre le moment de sa réflexion sur le sujet et la découverte du lien avec Hash MD5, deux minutes se sont écoulées.