1. Vulnérabilités dans le noyau Linux

Cette semaine, deux CVE relatifs à des vulnérabilités dans le noyau Linux ont été publiés : CVE-2011-1011 et CVE-2011-1012. Le premier concerne une vulnérabilité liée au support des partitions de type Mac, que l'on trouve de façon très classique avec les systèmes de type Mac OSX. Un utilisateur malintentionné peut causer un arrêt inopiné du système par le biais de l'insertion d'un support de données (disque dur ou clé USB) présentant une table de partitions MAC particulière.

La seconde vulnérabilité, quant à elle, est relative au support des partitions de type Microsoft Logical Volume Manager (LDM) et permet à un utilisateur malintentionné de provoquer un arrêt inopiné du système, ou bien encore d'élever ses privilèges (accès au système sans authentification) en insérant sur la machine vulnérable un support de données présentant une table de partitions LDM particulière.

Recommandation :

En attendant que des correctifs soient proposés dans les noyaux des distributions GNU/Linux ou dans les sources du noyau standard (http://kernel.org), il est recommandé de ne pas insérer de support amovible utilisant ces types de partitionnement. Il est aussi possible de recompiler les sources pour obtenir un noyau ne disposant pas du support pour ces partitionnements.

2. Boîtiers ADSL vulnérables

Le Certa a été avisé de l'exploitation active d'un double défaut de configuration d’un boîtier ADSL. Ne pouvant donner le nom du produit, et ne s’agissant pas ici d’un faille critique, le centre recommande très fortement de suivre les bonnes pratiques suivantes :

• Maintien à jour des systèmes d'exploitation des logiciels et des greffons ;
• Suppression des services inutiles (désactivation, voire désinstallation) ;
• Restriction d'accès sur les différentes interfaces réseau ;
• Utilisation de mots de passe robustes et, chaque fois que cela est possible, à durée de vie limitée ;
• Journalisation des événements, dont les changements de modification, et analyse de ces journaux ;
• Contrôles réguliers, par exemple confrontation périodique de la configuration implantée et de la configuration théorique.

3. Service Pack 1 Windows 7 et Server 2008 R2

Le service Pack 1 n'apporte pas de fonctionnalité majeure mais un grand nombre de correctifs. Ainsi, il comporte 39 mises à jour de sécurité et plus de 750 hotfixes. Ces derniers ne sont en général pas téléchargés automatiquement et apportent des améliorations de performance et/ou de stabilité. La liste complète est disponible sur le site de l'éditeur. Parmi les nouveautés, Microsoft annonce surtout quelques nouvelles fonctionnalités pour Windows Server 2008 R2 (allocation dynamique de mémoire pour Hyper-V, RemoteFX, améliorations de DirectAccess, etc.).

Le Certa recommande la plus grande prudence pour l'installation du service Pack 1, car cette opération peut causer des effets de bord. Il est recommandé d'attendre quelques jours, voire quelques semaines, et de procéder à une recette avant de le déployer massivement sur un parc entier d'ordinateurs ou sur un système critique.

4. Rappel des avis émis

• CERTA-2011-AVI-096 : Vulnérabilité dans Novell ZENworks Configuration Management
• CERTA-2011-AVI-097 : Vulnérabilité dans ClamAV
• CERTA-2011-AVI-098 : Multiples vulnérabilités dans Asterisk
• CERTA-2011-AVI-099 : Vulnérabilité dans IBM FileNet Content Manager
• CERTA-2011-AVI-100 : Vulnérabilités dans Mailman
• CERTA-2011-AVI-101 : Multiples vulnérabilités dans Ruby
• CERTA-2011-AVI-102 : Vulnérabilités dans RedHat Directory Server
• CERTA-2011-AVI-103 : Vulnérabilité dans ISC Bind
• CERTA-2011-AVI-104 : Vulnérabilité dans Cisco Firewall Services Module
• CERTA-2011-AVI-105 : Multiples vulnérabilités dans les logiciels Cisco TelePresence
• CERTA-2011-AVI-106 : Vulnérabilité dans CA HIPS
• CERTA-2011-AVI-107 : Vulnérabilité dans Novell Netware
• CERTA-2011-AVI-108 : Vulnérabilité dans Microsoft Malware Protection Engine
• CERTA-2011-AVI-109 : Multiples vulnérabilités dans Cisco ASA série 5500
• CERTA-2011-AVI-110 : Vulnérabilité dans IBM WepSphere Portal

Auteur : La rédaction de 01net avec le Certa.

Le Certa

Rattaché à l’Agence nationale de la sécurité des systèmes d’information (Anssi), le Centre d’expertise gouvernemental de réponse et de traitement des attaques informatiques (Certa) est chargé d’aider les organismes de l’Administration à mettre en place des moyens de protection et à résoudre les incidents ou les agressions informatiques dont ils sont victimes. Il constitue le complément indispensable aux actions préventives déjà assurées par l’Anssi, qui se situent plus en amont dans la démarche de sécurisation des systèmes d’information.

Lire également les alertes de la semaine précédente