L’excellent outil OpenSSH permet de chiffrer les communications sur Internet. Une faille critique vient d’être corrigée. Sortez la rustine, la colle et votre plus beau sourire. OpenSSH, un outil qui offre la possibilité de chiffrer vos communications sur Internet, via le protocole SSH, vient de corriger une vulnérabilité considérée comme critique. « Une corruption de mémoire existe dans le processus de sshd post-authentification lors d’un chiffrement AES-GCM (AES128-GCM @ openssh.com ou aes256-gcm@openssh.com) » indique OpenSSH.
Si elle est exploitée, cette vulnérabilité pourrait permettre l’exécution de code avec les privilèges de l’utilisateur authentifié. La vulnérabilité a été identifiée par un développeur d’OpenSSH, Mark Friedl, le 7 Novembre.
Le correctif a immédiatement été mis en ligne. L’erreur est fixé dans OpenSSH version 6.4. Pour ceux qui veulent rester sous OpenSSH 6.2 et 6.3, des rustines sont disponibles.
Voilà une idée qu’un grand nombre d’utilisateurs de WordPress attendait le pied ferme. Dorénavant, vous n’aurez plus à lever le petit doigt pour appliquer une mise à jour de maintenance ou de sécurité de votre WordPress. La plupart des sites sont maintenant capables d’appliquer ces mises à jour automatiquement, sans que vous n’ayez à cliquer sur le moindre bouton. Vous noterez cependant que certaines configurations ne permettent pas cette automatisation, mais elles sont rares. Si c’est votre cas, pas de panique, la mise à jour pourra toujours se faire d’un simple clic de souris.
Le processus de mise à jour a été rendu encore plus sûr et sécurisé, avec des douzaines de nouvelles vérifications et de mesures de sauvegarde. Il vous faudra toujours cliquer sur le bouton « Mettre à jour maintenant» une fois que WordPress 3.8 sera sorti, mais l’idée va permettre de protéger un maximum les sites et les administrateurs un peu trop laxiste.
A noter qu’un outil permettant de tester votre mot de passe est aussi proposé, histoire de vous assurer que votre précieux ne finira pas cracké en quelques secondes.
Mardi 17 septembre, une nouvelle vulnérabilité zero-day affectant toutes les versions d’Internet Explorer a été annoncée par Microsoft. Cette vulnérabilité peut corrompre la mémoire de manière à permettre aux attaquants d’exécuter des codes arbitraires. L’attaque fonctionne en attirant des utilisateurs vers des sites conçus pour l’occasion et qui abrite cette vulnérabilité dirigée contre Internet Explorer. Jusqu’à présent, cette vulnérabilité a été utilisée dans un nombre limité d’attaques ciblées. Microsoft a pris connaissance de cette vulnérabilité et a posté une alerte sur le sujet. L’éditeur n’a pas encore distribué de patch, mais a fourni une solution temporaire – cf. “Fix It” – qui devrait servir jusqu’à ce qu’une mise à jour en matière de sécurité soit disponible. (Symantec)
Petites entreprises, grandes menaces : restez informés, restez protégés
