Les objets connectés marquent un tournant majeur dans notre relation vis-à-vis de notre conception du quotidien.
Actuellement, nos objets ont une finalité principale et généralement unique : un thermomètre sert à donner la température. En devenant connectés, la nature des objets change.

http://www.apssis.com/#/articles-adherents/4395696

Une gestion de version détaillée se trouve à la fin de ce document.

1 – Risque(s)

• exécution de code arbitraire à distance

2 – Systèmes affecté(s)

• Bash versions antérieures au 25 septembre 2014
• GNU Bash 3.0 versions antérieures à 3.0.17
• GNU Bash 3.1 versions antérieures à 3.1.18
• GNU Bash 3.2 versions antérieures à 3.2.52
• GNU Bash 4.0 versions antérieures à 4.0.39
• GNU Bash 4.1 versions antérieures à 4.1.12
• GNU Bash 4.2 versions antérieures à 4.2.48
• GNU Bash 4.3 versions antérieures à 4.3.25
• Bash Debian Squeeze versions antérieures à 4.1-3+deb6u2
• Bash Debian Wheezy versions antérieures à 4.2+dfsg-0.1+deb7u3
• Bash Ubuntu 14.04 LTS versions antérieures à 4.3-7ubuntu1.3
• Bash Ubuntu 12.04 LTS versions antérieures à 4.2-2ubuntu2.3
• Bash Ubuntu 10.04 LTS versions antérieures à 4.1-2ubuntu3.2
• Bash Red Hat Enterprise Linux 7 versions antérieures à bash-4.2.45-5.el7_0.4
• Bash Red Hat Enterprise Linux 6 versions antérieures à bash-4.1.2-15.el6_5.2, bash-4.1.2-15.el6_5.1.sjis.1, bash-4.1.2-9.el6_2.1, bash-4.1.2-15.el6_4.1
• Bash Red Hat Enterprise Linux 5 versions antérieures à bash-3.2-33.el5_11.4, bash-3.2-33.el5_11.1.sjis.1, bash-3.2-24.el5_6.1, bash-3.2-32.el5_9.2
• Bash Red Hat Enterprise Linux 4 versions antérieures à bash-3.0-27.el4.2

3 – Résumé

Une vulnérabilité a été découverte dans GNU bash. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.

4 – Contournement provisoire

La vulnérabilité CVE-2014-6271 consiste en une injection de commande suivant la définition d’une fonction dans une variable d’environnement. Dans certains cas, un processus peut hériter de variables d’environnement provenant d’une machine distante, ce qui rend cette vulnérabilité exploitable à distance. C’est notamment le cas de serveurs Web employant des scripts bash comme CGI-bin, de certains serveurs SSH et des clients DHCP.

Il est possible de vérifier si la version de bash est vulnérable avec la commande:

$ env VAR='() { 0; }; echo danger' bash -c "echo bonjour"

A l’heure actuelle, certains correctifs sont incomplets en raison d’une vulnérabilité résiduelle (CVE-2014-7169). Néanmoins le CERT-FR recommande d’appliquer les correctifs pour réduire la facilité d’exploitation. Les derniers correctifs des distributions Debian, Ubuntu et RedHat corrigent aussi CVE-2014-7169.

Dans le cadre spécifique de services Web vulnérables, le CERT-FR recommande de filtrer les en-têtes HTTP commençant par les quatre caractères '() {' par le biais du module Apache mod_security ou d’un pare-feu applicatif du même type.

5 – Documentation

• Bulletin de sécurité Debian DSA-3032-1 du 24 septembre 2014

  http://www.debian.org/security/2014/dsa-3032
  

• Bulletin de sécurité Debian DSA-3035-1 du 25 septembre 2014

  http://www.debian.org/security/2014/dsa-3035
  

• Bulletin de sécurité Ubuntu USN-2362-1 du 24 septembre 2014

  http://www.ubuntu.com/usn/usn-2362-1/
  

• Bulletin de sécurité Ubuntu USN-2363-1 du 25 septembre 2014

  http://www.ubuntu.com/usn/usn-2363-1/
  

• Bulletin de sécurité Ubuntu USN-2363-2 du 25 septembre 2014

  http://www.ubuntu.com/usn/usn-2363-2/
  

• Bulletin de sécurité Ubuntu USN-2364-1 du 27 septembre 2014

  http://www.ubuntu.com/usn/usn-2364-1/
  

• Bulletin de sécurité RedHat du 24 septembre 2014

  https://access.redhat.com/articles/1200223
  

• Bulletin de sécurité RedHat du 26 septembre 2014

  https://rhn.redhat.com/errata/RHSA-2014-1306.html
  

• Référence CVE CVE-2014-6271

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6271
  

• Référence CVE CVE-2014-6277

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6277
  

• Référence CVE CVE-2014-6278

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6278
  

• Référence CVE CVE-2014-7169

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-7169
  

• Référence CVE CVE-2014-7186

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-7186
  

• Référence CVE CVE-2014-7187

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-7187
  

Gestion détaillée du document

25 septembre 2014

version initiale.

26 septembre 2014

mise à jour.

29 septembre 2014

mise à jour.

30 septembre 2014

mise à jour.

http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-006/CERTFR-2014-ALE-006.html

Une gestion de version détaillée se trouve à la fin de ce document.

1 – Risque(s)

• atteinte à la confidentialité des données.

2 – Systèmes affectés

• Toutes les implémentations du protocole SSLv3 ;
• Navigateurs Web employant SSLv3, dont Internet Explorer, Firefox et Chrome.

3 – Résumé

Une vulnérabilité a été découverte dans la version 3 du protocole SSL permettant de sécuriser les connexions entre clients et serveurs. Elle permet à un attaquant de provoquer une atteinte à la confidentialité des données, par exemple de récupérer un cookie de session HTTPS.

4 – Contournement provisoire

L’exploitation de la vulnérabilité est basée sur la négociation protocolaire entre le client et le serveur. Le client force le serveur à utiliser SSLv3 qui est une ancienne version du protocole SSL/TLS. L’attaquant sera en mesure de déchiffrer une partie du trafic réseau vers des sites sécurisés et de récupérer des cookies de session HTTPS.

Il est possible de configurer les navigateurs afin de les empêcher d’utiliser cette version du protocole :

• pour Internet Explorer, aller dans les « options internet » puis dans l’onglet « Avancé », dans la liste déroulante, décocher la case « SSL 3.0″ ;
• pour Firefox (fonctionne aussi pour Thunderbird), dans la barre d’adresse, taper « about:config » puis rechercher « security.tls.version.min » et changer sa valeur à 1 ;

Pour les applications basées sur l’API Cryptographique de Windows (CAPI), il est possible de modifier la clé de registre suivante :

 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\
Protocols\SSL 3.0\Client] "Enabled"=dword:00000000

5 – Documentation

• Bulletin de sécurité du 14 octobre 2014 d’OpenSSL

  https://www.openssl.org/~bodo/ssl-poodle.pdf
  

• Référence CVE CVE-2014-3566

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3566
  

Gestion détaillée du document

15 octobre 2014

version initiale.

http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-007/CERTFR-2014-ALE-007.html

Une gestion de version détaillée se trouve à la fin de ce document.

1 – Risque(s)

• exécution de code arbitraire à distance

2 – Systèmes affectés

Drupal core, versions 7.x antérieures à 7.32

3 – Résumé

Une vulnérabilité a été découverte dans Drupal. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance sans authentification préalable.

4 – Recommandations

Il est recommandé de mettre à jour les installations existantes de Drupal vers la version 7.32 qui corrige la vulnérabilité.

En cas d’impossibilité de migrer rapidement vers la dernière version, il est possible d’appliquer le correctif ci-dessous fourni par le projet Drupal :

https://www.drupal.org/files/issues/SA-CORE-2014-005-D7.patch

De plus, en cas de suspicion de compromission, il est fortement conseillé de changer les mots de passe des utilisateurs privilégiés.

5 – Documentation

• Bulletin de sécurité Drupal du 15 octobre 2014

  https://www.drupal.org/SA-CORE-2014-005
  

• Référence CVE CVE-2014-3704

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3704
  

Gestion détaillée du document

16 octobre 2014

version initiale.

http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-008/CERTFR-2014-ALE-008.html

Une gestion de version détaillée se trouve à la fin de ce document.

1 – Risque(s)

• exécution de code arbitraire à distance

2 – Systèmes affectés

• Windows Server 2003
• Windows Vista
• Windows Server 2008
• Windows 7
• Windows Server 2008 R2
• Windows 8
• Windows 8.1
• Windows Server 2012
• Windows Server 2012 R2
• Windows RT and Windows RT 8.1

3 – Résumé

Une vulnérabilité a été découverte dans le composant qui permet l’établissement des sessions SSL/TLS sur la plateforme Microsoft Windows. Une attaque réussie permet à un attaquant de provoquer une exécution de code arbitraire à distance.

4 – Contournement provisoire

Se référer au bulletin de sécurité de l’éditeur pour l’obtention des correctifs (cf. section Documentation).

5 – Documentation

• Bulletin de sécurité Microsoft MS14-066 du 11 novembre 2014

  https://technet.microsoft.com/fr-fr/library/security/ms14-066.aspx
  

• Référence CVE CVE-2014-6321

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-6321
  

Gestion détaillée du document

11 novembre 2014

version initiale.

http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-010/CERTFR-2014-ALE-010.html