Archives pour la catégorie Non classé

Non classé

CERTFR-2014-ALE-006 : Vulnérabilité dans GNU bash

Une gestion de version détaillée se trouve à la fin de ce document.

1 – Risque(s)

  • exécution de code arbitraire à distance

2 – Systèmes affecté(s)

  • Bash versions antérieures au 25 septembre 2014
  • GNU Bash 3.0 versions antérieures à 3.0.17
  • GNU Bash 3.1 versions antérieures à 3.1.18
  • GNU Bash 3.2 versions antérieures à 3.2.52
  • GNU Bash 4.0 versions antérieures à 4.0.39
  • GNU Bash 4.1 versions antérieures à 4.1.12
  • GNU Bash 4.2 versions antérieures à 4.2.48
  • GNU Bash 4.3 versions antérieures à 4.3.25
  • Bash Debian Squeeze versions antérieures à 4.1-3+deb6u2
  • Bash Debian Wheezy versions antérieures à 4.2+dfsg-0.1+deb7u3
  • Bash Ubuntu 14.04 LTS versions antérieures à 4.3-7ubuntu1.3
  • Bash Ubuntu 12.04 LTS versions antérieures à 4.2-2ubuntu2.3
  • Bash Ubuntu 10.04 LTS versions antérieures à 4.1-2ubuntu3.2
  • Bash Red Hat Enterprise Linux 7 versions antérieures à bash-4.2.45-5.el7_0.4
  • Bash Red Hat Enterprise Linux 6 versions antérieures à bash-4.1.2-15.el6_5.2, bash-4.1.2-15.el6_5.1.sjis.1, bash-4.1.2-9.el6_2.1, bash-4.1.2-15.el6_4.1
  • Bash Red Hat Enterprise Linux 5 versions antérieures à bash-3.2-33.el5_11.4, bash-3.2-33.el5_11.1.sjis.1, bash-3.2-24.el5_6.1, bash-3.2-32.el5_9.2
  • Bash Red Hat Enterprise Linux 4 versions antérieures à bash-3.0-27.el4.2

3 – Résumé

Une vulnérabilité a été découverte dans GNU bash. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.

4 – Contournement provisoire

La vulnérabilité CVE-2014-6271 consiste en une injection de commande suivant la définition d’une fonction dans une variable d’environnement. Dans certains cas, un processus peut hériter de variables d’environnement provenant d’une machine distante, ce qui rend cette vulnérabilité exploitable à distance. C’est notamment le cas de serveurs Web employant des scripts bash comme CGI-bin, de certains serveurs SSH et des clients DHCP.

Il est possible de vérifier si la version de bash est vulnérable avec la commande:

$ env VAR='() { 0; }; echo danger' bash -c "echo bonjour"

A l’heure actuelle, certains correctifs sont incomplets en raison d’une vulnérabilité résiduelle (CVE-2014-7169). Néanmoins le CERT-FR recommande d’appliquer les correctifs pour réduire la facilité d’exploitation. Les derniers correctifs des distributions Debian, Ubuntu et RedHat corrigent aussi CVE-2014-7169.

Dans le cadre spécifique de services Web vulnérables, le CERT-FR recommande de filtrer les en-têtes HTTP commençant par les quatre caractères '() {' par le biais du module Apache mod_security ou d’un pare-feu applicatif du même type.

5 – Documentation

Gestion détaillée du document

25 septembre 2014
version initiale.
26 septembre 2014
mise à jour.
29 septembre 2014
mise à jour.
30 septembre 2014
mise à jour.
Dernière version de ce document : http://cert.ssi.gouv.fr/site/CERTFR-2014-ALE-006

 

CERT-FR
2014-09-30

http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-006/CERTFR-2014-ALE-006.html

Non classé

CERTFR-2014-ALE-007 : Vulnérabilité dans SSLv3

Une gestion de version détaillée se trouve à la fin de ce document.

1 – Risque(s)

  • atteinte à la confidentialité des données.

2 – Systèmes affectés

  • Toutes les implémentations du protocole SSLv3 ;
  • Navigateurs Web employant SSLv3, dont Internet Explorer, Firefox et Chrome.

3 – Résumé

Une vulnérabilité a été découverte dans la version 3 du protocole SSL permettant de sécuriser les connexions entre clients et serveurs. Elle permet à un attaquant de provoquer une atteinte à la confidentialité des données, par exemple de récupérer un cookie de session HTTPS.

4 – Contournement provisoire

L’exploitation de la vulnérabilité est basée sur la négociation protocolaire entre le client et le serveur. Le client force le serveur à utiliser SSLv3 qui est une ancienne version du protocole SSL/TLS. L’attaquant sera en mesure de déchiffrer une partie du trafic réseau vers des sites sécurisés et de récupérer des cookies de session HTTPS.

Il est possible de configurer les navigateurs afin de les empêcher d’utiliser cette version du protocole :

  • pour Internet Explorer, aller dans les « options internet » puis dans l’onglet « Avancé », dans la liste déroulante, décocher la case « SSL 3.0″ ;
  • pour Firefox (fonctionne aussi pour Thunderbird), dans la barre d’adresse, taper « about:config » puis rechercher « security.tls.version.min » et changer sa valeur à 1 ;

Pour les applications basées sur l’API Cryptographique de Windows (CAPI), il est possible de modifier la clé de registre suivante :

 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\
Protocols\SSL 3.0\Client] "Enabled"=dword:00000000

5 – Documentation

Gestion détaillée du document

15 octobre 2014
version initiale.
Dernière version de ce document : http://cert.ssi.gouv.fr/site/CERTFR-2014-ALE-007

 

CERT-FR
2014-10-15

http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-007/CERTFR-2014-ALE-007.html

Non classé

CERTFR-2014-ALE-008

Une gestion de version détaillée se trouve à la fin de ce document.

1 – Risque(s)

  • exécution de code arbitraire à distance

2 – Systèmes affectés

Drupal core, versions 7.x antérieures à 7.32

3 – Résumé

Une vulnérabilité a été découverte dans Drupal. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance sans authentification préalable.

4 – Recommandations

Il est recommandé de mettre à jour les installations existantes de Drupal vers la version 7.32 qui corrige la vulnérabilité.

En cas d’impossibilité de migrer rapidement vers la dernière version, il est possible d’appliquer le correctif ci-dessous fourni par le projet Drupal :

https://www.drupal.org/files/issues/SA-CORE-2014-005-D7.patch

 

De plus, en cas de suspicion de compromission, il est fortement conseillé de changer les mots de passe des utilisateurs privilégiés.

5 – Documentation

Gestion détaillée du document

16 octobre 2014
version initiale.
Dernière version de ce document : http://cert.ssi.gouv.fr/site/CERTFR-2014-ALE-008

 

CERT-FR
2014-10-16

 

http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-008/CERTFR-2014-ALE-008.html

Non classé

Vulnérabilité de l’implémentation des protocoles SSL/TLS dans Microsoft Windows

Une gestion de version détaillée se trouve à la fin de ce document.

1 – Risque(s)

  • exécution de code arbitraire à distance

2 – Systèmes affectés

  • Windows Server 2003
  • Windows Vista
  • Windows Server 2008
  • Windows 7
  • Windows Server 2008 R2
  • Windows 8
  • Windows 8.1
  • Windows Server 2012
  • Windows Server 2012 R2
  • Windows RT and Windows RT 8.1

3 – Résumé

Une vulnérabilité a été découverte dans le composant qui permet l’établissement des sessions SSL/TLS sur la plateforme Microsoft Windows. Une attaque réussie permet à un attaquant de provoquer une exécution de code arbitraire à distance.

4 – Contournement provisoire

Se référer au bulletin de sécurité de l’éditeur pour l’obtention des correctifs (cf. section Documentation).

5 – Documentation

Gestion détaillée du document

11 novembre 2014
version initiale.
Dernière version de ce document : http://cert.ssi.gouv.fr/site/CERTFR-2014-ALE-010

 

CERT-FR
2014-11-12

 

http://www.cert.ssi.gouv.fr/site/CERTFR-2014-ALE-010/CERTFR-2014-ALE-010.html