Archives quotidiennes :

Cyber-attaque, Cybersécurité, DDoS, Leak, Piratage

Exercice interarmées DEFNET 2015

Un commentaire

L’exercice annuel interarmées DEFNET se déroule du 16 au 27 mars 2015 au sein de sept sites militaires implantés sur le territoire national (Rennes, Douai, Toulon, Mont de Marsan et trois sur Paris) et à bord de deux bâtiments de la Marine nationale.

Placé sous l’autorité de l’officier général cyber, il s’inscrit dans le cadre de la montée en puissance de la chaîne opérationnelle de cyberdéfense du ministère de la Défense conformément au Livre blanc de 2013 qui fait de la cyberdéfense une des priorités nationales.

Entraînement fondateur pour la chaîne cyberdéfense, l’exercice DEFNET 2014 avait permis de valider des procédures opérationnelles dans l’emploi des groupes d’intervention rapide (GIR), et d’apporter des évolutions dans le format de la formation et de l’instruction cyber.

La deuxième édition de l’exercice DEFNET est particulièrement innovante par son caractère global. Elle permet d’entraîner nos forces spécialisées cyber depuis le niveau le plus bas jusqu’au niveau du Centre de planification et de conduite des opérations.

Les objectifs de l’édition 2015 sont multiples : expérimenter un modèle de centre opérationnel et le fonctionnement d’une réserve cyberdéfense dans un cadre opérationnel ; entraîner les joueurs à la planification et à la conduite des opérations dans le domaine de la lutte informatique défensive, au déploiement d’unités cyber (Terre, Mer, Air, DIRISI, expérimentation réserve Rennes et Paris) et à la prise en compte de la dimension cyber des opérations par des non spécialistes. Le scénario de DEFNET 2015 simule, dans un contexte international fictif, des menaces et des attaques cyber multiples contre plusieurs sites sur des thèmes très différents, au plus proche de la réalité. Associant les spécialistes de cyberdéfense des unités interarmées et des trois armées, cet exercice revêt une ampleur plus importante et un caractère résolument interarmées.

La cyberdéfense : une priorité nationale
« La cyberguerre, c’est la guerre de demain, elle commence déjà aujourd’hui, et la Loi de programmation militaire que j’ai présentée au Parlement intègre cette nouvelle donnée. Demain, il y aura une quatrième armée qui s’appellera l’armée cyber, demain il y aura des soldats cyber. Nous avons les moyens de réagir, nous avons aussi les moyens d’attaquer, mais nous sommes en situation de pouvoir répondre, parce que la cyberguerre c’est vraiment un outil majeur, contre lequel il faut se défendre, et la France est au rendez-vous« . (Jean-Yves Le Drian, ministre de la Défense, Europe 1, le 13 janvier 2015)

Depuis quelques années, le nombre d’attaques recensées a très fortement augmenté : plus de 780 incidents ont ainsi été traités par le ministère en 2013, contre 420 en 2012, et 196 en 2011. Déjà engagé sur ces enjeux depuis plusieurs années, le ministère de la Défense a renforcé considérablement ses moyens en raison de cette hausse significative de la menace cyber. En outre, le Livre blanc sur la défense et la sécurité nationale de 2013 a fait de la cyberdéfense une priorité nationale.

La cyberdéfense au sein du ministère de la Défense
La cyberdéfense militaire regroupe l’ensemble des actions défensives ou offensives conduites dans le cyberespace pour garantir le bon fonctionnement du ministère de la Défense et l’efficacité de l’action des forces armées en préparation ou dans la planification et la conduite des opérations.

Renforcement des moyens mis en œuvre pour la cyberdéfense
La Loi de programmation militaire (LPM) a renforcé significativement les moyens dévolus à la cyberdéfense. En complément des projets spécifiques mis en place et de l’augmentation des investissements RH et financiers, l’effort consacré à la cyberdéfense se traduit également par une série de mesures, telles que des exercices d’entraînement des forces cyber ou des journées de sensibilisation à la cybersécurité au sein de chaque unité militaire.

Le Pacte Défense Cyber
Le ministre de la Défense, M. Jean-Yves Le Drian, a lancé le « Pacte Défense Cyber » le 7 février 2014. Comptant parmi les priorités de la loi de programmation militaire (2014-2019) votée en avril 2013, la mise en place de ce pacte est dotée d’un milliard d’euros. Témoignant d’une ambition politique forte, ce plan vise à protéger la souveraineté de la France sur le long terme, et en faire une nation qui compte dans le cyberespace mondial.

L’expérimentation réserve
Le Livre blanc de la Défense et de la sécurité nationale de 2013 prévoit, pour faire face aux menaces actuelles et futures, d’organiser la montée en puissance de nouvelles composantes de la réserve, spécialisées dans des domaines dans lesquelles les forces de défense et de sécurité sont en plein essor. C’est notamment le cas de la cyberdéfense qui doit faire l’objet d’une composante dédiée.

Prévue par le Pacte défense cyber de 2014 pour assister l’État et les armées en cas de crise majeure, la réserve de cyberdéfense a une vocation opérationnelle. Sa création a été annoncée le 21 janvier 2015, à l’occasion du Forum international de la cybersécurité. Cette réserve de cyberdéfense est composée de 4 300 hommes et femmes spécialistes : militaires d’active, personnels civil de la Défense, réservistes opérationnels, et réservistes citoyens.

Ce nouveau modèle de réserve cyber sera expérimenté du 23 au 26 mars dans le cadre de l’exercice DEFNET 2015. Cette expérimentation consiste à accueillir des équipes de volontaires sur des sites militaires, simulant des sites d’intervention. Il s’agit de l’école militaire de Paris au centre d’études stratégiques de l’armée de Terre (CESAT) et de l’école des Transmissions de Cesson-Sévigné (ETRS). Des équipes d’expérimentation seront constituées d’un réserviste des armées (coordination), d’un ou deux enseignants français (encadrement technique) et de dix à douze élèves français du domaine de l’informatique et des télécommunications (bac+2 à bac+5). Elles devront effectuer un travail d’éradication de code malveillant et de réinstallation de système.

backdoor, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Particuliers, Piratage, Vie privée, Virus

Découverte d’une nouvelle technique de camouflage dans un malware

Les experts de l’éditeur allemand G DATA ont découvert de nouveaux programmes malveillants liés à un botnet Andromède. Un de ces codes, qui se distribue via des macros dans les documents Word manipulés, utilise une technique rare de camouflage par stéganographie. « Le malware se comporte comme une poupée russe sur le système. Il révèle progressivement son objectif« , explique à DataSecurityBreach.fr Ralf Benzmüller, directeur du G Data SecurityLabs. « Les systèmes infectés sont destinés à être utilisés comme PC zombies dans le botnet Andromède / Gamarue« .

Infection en 5 étapes
Le début de l’attaque s’effectue par un document MS Word manipulé. Un tel document se propage par e-mails de spam. Dans le cas étudié, le nom du document suggère qu’il s’agit d‘un contrat. En ouvrant le document et en activant les Macros Office, la victime active une série d’actions qui vont amener à l’infection. Un premier programme déchiffre un second code stocké dans une image (stéganographie). Celui-ci lance en cascade un troisième code en mémoire (le payload) qui injecte la charge utile dans le système. Ce dernier programme malveillant, msnjauzge.exe, intègre une entrée de démarrage automatique dans le Registre pour survivre au redémarrage système : le système cible est infecté.

Le Botnet Andromède identifié
Le fichier msnjauzge.exe est le point d’entrée d’un botnet bien connu appelé Andromède, aussi connu sous le nom de Gamarue. Ce botnet est connu pour avoir livré le cheval de Troie bancaire ZeuS en 2011. Lors de cette analyse, le serveur C&C contacté par l‘échantillon étudié était en ligne, mais n’avait pas délivré de code supplémentaire sur la machine infectée. Par conséquent, l’utilisation prévue pour ce botnet n‘est pas encore déterminée. (Gdata)

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, loi, Mise à jour, Paiement en ligne, Piratage, Sécurité

Mot de passe inchangé : les sociétés de maintenance responsables

2 commentaires

Pour ne pas avoir formé et informé son client sur la bonne gestion de ses mots de passe, une société de maintenance condamnée en France.

Le site Legalis est revenu, dernièrement, sur l’arrêt de la cour d’appel de Versailles et du tribunal de commerce de Nanterre. Ce dernier a jugé qu’une société en charge de la maintenance informatique d’une entreprise avait pour obligation de sensibiliser son client à la sécurité informatique et à la bonne gestion de ses mots de passe. Le professionnel de l’informatique n’avait pas sensibilisé son client à la nécessité de changer le mot de passe de son PABX (Private Automatic Branch eXchange), un standard  téléphonique informatisé.

Bilan, le tribunal a considéré qu’il y avait une faute par négligence. Le client était dans une situation de grande vulnérabilité en raison d’un mot de passe faible. Tout avait débuté après le piratage d’un loueur de véhicules. Son standard avait été piraté. Le PABX avait été exploité par un pirate après avoir trouvé le mot de passe de ce dernier, un mot de passe usine (0000) qui n’avait jamais été changé. 12,208€ avaient ainsi été perdus par le loueur.

Le tribunal a obligé la société de maintenance à payer la somme. « Il revient à l’utilisateur de gérer la sécurité de son matériel, à condition toutefois qu’il ait été informé de cette nécessité et qu’on lui ait montré comment procéder » indique Legalis. Il incombait au prestataire des missions d’information, d’assistance et de formation ainsi qu’une visite annuelle de vérification de l’état de sécurisation de l’installation téléphonique, et donc de faire changer, régulièrement le dit mot de passe.

Des attaques fréquentes
Début février 2015, des pirates informatiques, spécialisés dans la téléphonie (des phreakers, NDR), avaient utilisé ce fameux mot de passe usine pour piéger le standard de la mairie de Licques. Le pirate avait ensuite permis à des tiers de téléphones vers l’île de l’Ascension, au sud de l’Équateur. En 2013, ce fût la Mairie de Pessac à se retrouver avec une facture de 15.000€. Dans le Nord de la France, l’école de musique municipale d’une ville de la banlieue de Lille se retrouvait, elle aussi, avec une fuite téléphonique dés plus couteuse. Même sanction pour une entreprise du Pays châtelleraudais. Début mars 2015, la société a découvert, via sa facture téléphonique, qu’un malveillant était passé dans ces autocommutateurs afin d’obtenir un accès gratuit au réseau téléphonique. Les Cyber Gendarmes enquêtent.

 

Banque, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Justice, Leak, loi, Mise à jour, Patch, Piratage, Social engineering

Cyber-protection des entreprises : bientôt les vraies questions

Un sujet qui ne les concerne pas. C’est sans doute ainsi que les citoyens, s’ils étaient interrogés, qualifieraient la question des moyens utilisés par les entreprises pour lutter contre les cyber-menaces.

Normal. Après tout – et heureusement – aucun drame de type coupure généralisée de l’électricité revendiquée par des pirates n’est survenu, mettant de facto ce thème aux allures techniques à la une des médias et des préoccupations. Plus de 25 000 sites ont certes été piratés suites aux drames de janvier, mais les autorités ont rapidement calmé les esprits en rappelant qu’il s’agissait d’actes de cyber vandalisme et de communication, non de cyber guerre – aucune donnée n’a été volée, aucun système industriel n’a été détruit. Quelques attaques informatiques ont par ailleurs été médiatisées – celle de Home Dépôt en septembre dernier, puis celle de Sony Pictures, entre autres. Mais pour les citoyens, ces affaires semblent bien éloignées …

Double erreur d’interprétation. D’abord parce ces organisations, comme toutes les autres grandes entreprises, avaient bien sûr déployé la batterie traditionnelle de solutions de sécurité. Simplement, cette dernière ne suffit plus, désormais, pour détecter rapidement une attaque, la comprendre, et en limiter ainsi les impacts – ce sont d’ailleurs les pirates qui ont révélé leurs méfaits à Sony, après plusieurs semaines de vols de données. L’entreprise, elle, n’avait rien vu. Ensuite parce que les organisations françaises ne savent pas exactement dans quelle mesure elles peuvent utiliser les nouvelles techniques d’analyse et de détection faute d’avoir la réponse à une question clef : jusqu’où peuvent-elles aller dans la surveillance de leur réseau tout en respectant la vie privée de leurs employés ? Et cette question, elle, concerne directement tous les citoyens…

Car hélas les attaques les plus visibles sont souvent les moins graves – on l’a vu en janvier. Ce sont celles qui ne se voient pas qui font le plus de dégâts. Or, ce sont justement celles-là que les entreprises sont de moins en moins capables de détecter, pour une raison en simple : une part croissante des flux qui transitent sur leurs réseaux sont chiffrés, c’est-à-dire rendus illisibles par Google, Yahoo et autres géants de la high-tech – un phénomène qui s’est accentué après l’Affaire Snowden. Le problème n’en serait pas un si tous ces flux étaient d’ordre professionnel – dans ce cas, les entreprises ne se poseraient pas la question de savoir si elles peuvent les déchiffrer et les analyser. Elles le feraient, c’est tout. Mais l’infrastructure de nos entreprises est également utilisée par les employés à des fins personnelles, et cela de manière tout à fait légale. Les données échangées et stockées sur les ordinateurs peuvent tout naturellement avoir une composante personnelle, donc confidentielle. Les salariés seraient-ils alors prêts à laisser leur employeur déchiffrer ces traces personnelles – et renoncer ainsi à une partie de leur intimité – pour que leur entreprise puisse mieux se protéger et empêche les pirates d’utiliser les flux chiffrés comme des tunnels d’accès direct, sans péage, à son système d’information ? Sous quelles conditions pourraient-ils l’accepter ? Sur ces sujets la législation aujourd’hui se tait et le débat, d’ordre sociétal autant qu’économique, peine à être lancé.

Le sera-t-il à court terme ? C’est fort probable. Non à l’initiative des entreprises ou des pouvoirs publics – dans le contexte économique actuel, les premières ont en effet d’autres sujets de préoccupation. Les autorités, elles, subissent déjà des polémiques de type – « sécurité vs liberté » – depuis qu’elles travaillent sur l’échange des données des passagers aériens, pour lutter contre le terrorisme. En fait, ce sont plutôt les citoyens eux-mêmes qui pourraient bien mettre la question à l’ordre des débats publics. Aux États-Unis en effet les employés de Sony Pictures ont intenté une action en justice contre l’entreprise pour défaut de protection de leurs données personnelles – ces dernières ayant été volées par les pirates. Ont-ils vraiment conscience de ce qu’impliquerait la mise en œuvre d’une protection plus efficace ? La démarche sera-t-elle répliquée en France ? Nul ne le sait. Mais les débats, c’est certain, ne font que commencer. En échange de moyens accrus pour faire face aux cyber-menaces, indispensables, il faudra bien définir de nouvelles garanties pour les individus. La cyber-protection des entreprises, y a-t-il quelqu’un qui ne se sente pas concerné ? (Par Dominique Loiselet, Directeur France et Afrique francophone de Blue Coat)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Sauvegarde

Pour une meilleure défense contre les attaques avancées

Kill Chain 3.0 : mettre à jour la Cyber Kill Chain pour une meilleure défense contre les attaques avancées.

Tous les responsables de la sécurité des réseaux ont déjà entendu parler de la Kill chain – une méthode de défense conçue pour combattre efficacement les cyber attaques avancées ou APT. Cette méthode comporte sept étapes pour l’attaquant, et propose un mode spécifique de défense pour chacune d’elles. Les étapes de la kill chain comprennent :

·         Reconnaissance – S’informer sur la cible en utilisant de nombreuses techniques.
·         Armement – Combiner le vecteur d’attaque avec un contenu malicieux.
·         Livraison – Transmettre le contenu malicieux avec un vecteur de communications
·         Exploitation – Profiter d’une faiblesse logicielle ou humaine pour activer le contenu malicieux
·         Installation – Installer durablement le contenu malicieux sur un ordinateur hôte individuel
·         Commande & Contrôle (C2) – Le malware appelle l’attaquant, qui en prend la contrôle
·         Actions prévues – L’attaquant vole ou fait ce qu’il avait prévu de faire.

Les professionnels de la sécurité réseau ont des opinions diverses quant à l’efficacité de la kill chain en tant que méthode de défense. Certains l’adorent, décrivant comment leurs équipes de sécurité l’utilisent, tandis que d’autres indiquent qu’il lui manque certains détails cruciaux, et qu’elle n’est adaptée qu’à certains types d’attaques. Les deux interprétations ont chacun leur part de vérité, mais il existe trois étapes simples pour rendre la kill chain encore plus efficace, appelons la Kill Chain 3.0.

Tout d’abord, il convient de modifier les étapes de la kill chain telle que décrite plus haut. Si l’on utilise la kill chain en tant qu’outil de défense, alors chacune des mailles de la chaîne doit donner lieu à une ou des actions de défense. Par exemple, l’étape Armement de la kill chain n’est pas réellement exploitable par les défenseurs. Dès lors pourquoi faire apparaître une étape qui n’a pas grand-chose à voir avec la défense ? Par ailleurs, comme beaucoup l’ont déjà fait remarquer, la kill chain actuelle se concentre avant tout sur l’intrusion initiale, et pas assez sur la façon dont les auteurs des attaques avancées exploitent leur premier point d’entrée pour se répandre dans l’ensemble du réseau de leur victime. La kill chain doit inclure une étape pour les mouvements latéraux et la modification des droits d’accès en local. De ce fait, la chaîne devrait être modifiée de la façon suivante :

·         Reconnaissance
·         Armement Livraison
·         Exploitation
·         Installation Infection
·         Commande & Contrôle

Ø  Mouvement Latéral & Pivotement

·         Objectifs/Exfiltration

Après cette simple modification, à chaque étape de la kill chain correspondent des moyens de défense adaptés. Par exemple, la détection des ports et des adresses IP et la traduction d’adresses NAT seront efficaces à l’étape Reconnaissance ; le blocage des ports firewall, l’IPS et le contrôle applicatif le seront à l’étape Livraison ; .le Patching et l’IPS le seront à l’étape Exploitation ; La segmentation du réseau le sera à l’étape Mouvement Latéral, et ainsi de suite.

Ensuite, il convient de retenir qu’il est important d’avoir des défenses pour chacune des étapes de la kill chain, et que chacune des étapes à la même importance. Un des concepts à la base de la kill chain est que plus tôt dans le cycle vous prévenez une attaque, meilleur c’est. Bien que cela soit techniquement vrai, ceci explique également pourquoi beaucoup se concentrent sur des mesures de protection lors des premières étapes de la kill chain, et consacrent moins de temps et d’efforts à protéger les étapes suivantes, même si ces défenses ont le pouvoir de contenir ou de limiter significativement les conséquences d’une intrusion réussie. En vérité, les attaques les plus sophistiquées contourneront ou éluderont souvent les défenses mises en place sur les premières étapes. Si l’entreprise ne s’est pas suffisamment concentrée sur les défenses adaptées aux étapes suivantes, telles que la détection des botnets, la prévention des pertes de données et la segmentation du réseau interne, elle n’exploite pas toutes ses chances de prévenir une attaque majeure. En bref, la bataille n’est pas perdue après une infection initiale si l’on a consacré toute son attention aux défenses lors des étapes suivantes de la Kill Chain 3.0.

Enfin, il est nécessaire de disposer d’un outil d’affichage qui permette de visualiser l’ensemble des sept étapes de la kill chain. Celle-ci est parfaite pour mettre en valeur chacune des zones où peut être stoppée une attaque sur le réseau, mais s’il n’est pas possible de contrôler le parcours d’une attaque au travers de chacune des étapes, l’entreprise se prive d’elle-même de données critiques qui pourraient l’aider à se protéger. Les outils d’affichage et d’analytiques doivent être des composants clés de la Kill Chain 3.0. Si l’entreprise ne dispose pas d’un outil de reporting capable de rassembler les logs de tous ses contrôles de sécurité, et de corréler différentes alertes en un seul et même incident, elle a de fortes chances de manquer les signes d’une attaque sophistiquée.

Pour récapituler : modifiez un peu les étapes de la kill chain, accordez la même importance à chacune des étapes – y compris les dernières, et dotez-vous d’un outil de reporting et d’affichage capable de contrôler l’ensemble du processus, et vous obtenez la Kill Chain 3.0, une méthode optimisée pour se protéger au mieux contre les attaques avancées. (Par Pierre Poggi, Country Manager France de WatchGuard)

Argent, Arnaque, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, Paiement en ligne, Particuliers, Piratage, Social engineering, Virus

Prudence au fichier CHM dans les courriels

Selon Bitdefender, leader technologique des solutions antimalware et expert en cybersécurité, une nouvelle vague de spam a récemment touché des centaines de boites e-mail avec une pièce jointe malveillante « .chm » afin de répandre le tristement célèbre ransomware Cryptowall.

Le .chm est une extension de fichier Microsoft utilisée pour les fichiers d’aide dans les logiciels ou sur Internet. Les fichiers CHM sont particulièrement interactifs et utilisent de nombreuses technologies dont JavaScript, qui peut rediriger un utilisateur vers une URL externe en ouvrant simplement le fichier CHM. Les attaquants exploitent cette possibilité pour y rattacher une charge malveillante, cette méthode est parfaitement logique puisque moins l’utilisateur a d’actions à réaliser plus il a de chance d’être infecté facilement.

Cryptowall est une version avancée de Cryptolocker, un ransomware connu pour dissimuler sa charge malveillante sous couvert d’applications ou des fichiers sains. Une fois lancé, le malware chiffre les documents de l’ordinateur infecté afin que les pirates puissent obtenir une somme d’argent en échange de la clé de déchiffrement. Parmi les règles de base pour se protéger au maximum des pertes de données liées à ce type d’attaques, il convient de réaliser très régulièrement des sauvegardes de ses documents sur un disque externe au réseau.

Le .chm est une extension de fichier Microsoft utilisée pour les fichiers d’aide dans les logiciels ou sur Internet. Il s’agit de fichiers qui embarquent du HTML, des images et du code JavaScript, ainsi qu’une table des matières avec des liens hypertextes – pour avoir une idée, lancez par exemple l’aide de Windows (touche F1).

Adobe, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch, Propriété Industrielle

Patch Tuesday de mars 2015

Tout comme le mois dernier, davantage de vulnérabilités sont encore traitées par rapport à un mois classique. À moins qu’il ne s’agisse d’un nouveau rythme concernant les correctifs des failles de Microsoft et Adobe, avec un ensemble d’autres failles de sécurité à résoudre.

Les correctifs de Microsoft sont au nombre de 14 pour mars, dont 5 critiques. La priorité absolue est le bulletin MS15-018 consacré à Internet Explorer (IE). Toutes les versions d’IE sont concernées, depuis IE6 (sur Windows Server 2003) jusqu’à IE11. La nouvelle version traite 12 vulnérabilités, dont 10 critiques et exploitables pour exécuter du code sur la machine ciblée. L’une des vulnérabilités a été publiquement révélée, mais elle n’est pas du type Exécution de code à distance, ce qui atténue un peu l’exposition. Scénario typique : un attaquant injecte du code HTML malveillant sur un site Web sous son contrôle puis il incite la machine cible à se rendre sur ce site. Il peut aussi pirater un site sur lequel la cible se rend habituellement et tout simplement attendre que cette dernière se rende sur ledit site. MS15-019 est le bulletin frère de MS15-018 et corrige le composant VBScript pour IE6 et IE7 qui est résolu dans MS15-018 pour les navigateurs plus récents. Commencez par installer ce bulletin.

MS15-022 est le second bulletin le plus important en termes de sévérité. Il corrige cinq vulnérabilités dans Microsoft Office, l’un d’elle étant critique dans l’analyseur RTF. En effet, ce dernier peut être exécuté automatiquement dans la zone d’aperçu lors de la réception d’un courriel si bien que Microsoft classe cette vulnérabilité comme critique. Cependant, comme deux des vulnérabilités restantes permettent à un attaquant d’exécuter du code à distance, nous positionnons ce bulletin en tête du classement d’aujourd’hui.

MS15-021 résout huit vulnérabilités liées aux polices sous Windows. En effet, un attaquant qui incite un utilisateur à visualiser une police altérée peut lancer une exécution de code à distance sur la machine ciblée. Les attaques peuvent être lancées via des pages Web ou des documents, au format PDF ou Office.

Stuxnet
MS15-020 est le dernier bulletin critique de la série pour le mois de mars. Il concerne un attaquant qui peut inciter un utilisateur à parcourir un répertoire d’un site Web ou à ouvrir un fichier. Le système Windows Text Services contient une vulnérabilité qui permet à l’attaquant de lancer une exécution de code à distance sur la machine cible. Ce bulletin comprend aussi un correctif pour CVE-2015-0096, une vulnérabilité associée à la vulnérabilité Stuxnet d’origine CVE-2010-2568. HP ZDI a rapporté cette vulnérabilité à Microsoft et fournit une bonne description technique sur son blog.

Test Fuzzing
Tous les bulletins restants sont moins critiques, c’est-à-dire seulement importants, dans la mesure où les vulnérabilités concernées ne permettent typiquement pas à un attaquant d’exécuter du code à distance. Ces dernières sont plutôt des fuites d’information ou n’autorisent qu’une élévation locale de privilèges. Les bulletins MS15-024 et MS15-029 traitent des bugs découverts via l’outil afl-fuzz de lcamtuf et que ce dernier améliore sans cesse et rend toujours plus intelligent. Jetez un coup d’œil sur son blog pour lire une série de posts sur afl-fuzz.

Serveurs
MS15-026 est un bulletin pour Microsoft Exchange qui résout plusieurs élévations de privilèges et problèmes de fuites d’information. Consultez ce bulletin si vous utilisez Outlook Web Access. FREAK cible aussi les serveurs, même si de manière différente. Côté serveur, si vous désactivez le chiffrement de type Configuration d’exportation, vos utilisateurs ne pourront pas être victimes de la vulnérabilité FREAK, même si leurs clients ne sont pas patchés.

Adobe
Adobe diffuse aussi une mise à jour (APSB15-05) pour Flash que Microsoft intègre à Internet Explorer, qui sera publiée ce jeudi. Explication de Microsoft dans le correctif KB2755801 : « Le 10 mars 2015, Microsoft a publié une mise à jour (3044132) pour Internet Explorer 10 sur Windows 8, Windows Server 2012, Windows RT ainsi que pour Internet Explorer 11 sur Windows 8.1, Windows Server 2012 R2, Windows RT 8.1, Windows Technical Preview et Windows Server Technical Preview. Cette mise à jour concerne les vulnérabilités décrites dans le bulletin de sécurité Adobe APSB15-05 (disponible le 12 mars 2015). Pour plus d’informations sur cette mise à jour, y compris les liens de téléchargement, voir l’article 3044132 dans la base de connaissances Microsoft. »

Appliquez les correctifs aussi vite que possible mais vérifiez aussi votre exposition à Superfish et sachez que certaines applications modifient votre magasin de certificats racine pour espionner vos communications. (Par Wolfgang Kandek, CTO, Qualys Inc.)