Base de données, Chiffrement, cryptage, Cybersécurité, double authentification, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, RGPD, Securite informatique, Vie privée

Problèmes dans un ancien logiciel G Suite

Google révèle, mardi 21 mai 2019, deux failles de sécurité dans un ancien outil de sa solution G Suite Pro. Le stockage des mots de passe des clients pas des plus sécurisé. Un problème depuis 14 ans.

Problème de stockage pour les mots de passe ! Voilà ce qu’indique le géant Google dans un communiqué de presse diffusé ce mardi 21 mai. Depuis 2005, un outil de la solution G Suite pour professionnel, situé dans la console d’administration, stockait les mots de passe « de manière simplifiée« . Seuls concernés, les clients d’entreprise G Suite. Pas les comptes Gmail classiques.

Deux bogues concernant les mots de passe

Cette faille de sécurité date d’un ancien outil des années 2000. « L’outil permettait aux administrateurs de charger ou de définir manuellement les mots de passe des utilisateurs de leur entreprise, indique la firme américaine. L’intention était d’aider à intégrer de nouveaux utilisateurs; par exemple, un nouvel employé pouvait recevoir les informations de son compte et le récupérer. » Google confirme avoir commis une erreur en mettant en œuvre la fonctionnalité de définition de mot de passe de cet outil en 2005. Les mots de passe créés via cet outil étaient stockés sur disque sans passer par l’algorithme de hachage de mot de passe standard de Google. « Les employés ou des intrus ne pouvaient ni voir ni lire les mots de passe en clair. » explique Google.

Problème minime ?

La société parle d’une découverte effectuée en 2019. Elle déconseille d’utiliser l’outil et corrige le problème. « Nous n’avons vu aucune preuve d’accès incorrect ou d’utilisation abusive des mots de passe concernés« , écrit Google.

L’entreprise a également révélé un deuxième incident au cours duquel la plate-forme G Suite avait stocké des mots de passe sans les transmettre via son algorithme habituel de hachage des mots de passe. Ce second incident a été mis au jour alors que le personnel « résolvait les nouveaux flux d’inscription des clients G Suite« .

Google affiche qu’à partir de janvier 2019, G Suite avait stocké les mots de passe définis lors de la procédure d’inscription sous une forme simplifiée. Comme lors du premier incident, les mots de passe ont finalement été chiffrés lors de leur enregistrement sur le disque. Ce deuxième lot de mots de passe non hachés stocké pendant 14 jours. La société a annoncé avoir déjà averti les administrateurs de G Suite et leur avait demandé de réinitialiser les mots de passe des utilisateurs définis à l’aide de l’ancien outil G Suite. « Par précaution, nous allons réinitialiser les comptes des administrateurs qui ne l’ont pas fait eux-mêmes« .

Risque minime donc pour la sécurité des clients impactés. Un malveillant aurait dû, pour intercepter les données, s’inviter dans l’infrastructure de Google et retrouver sa cible !

Une fuite bien loin de celle ayant impacté Facebook et Instagram, en mars 2019 et les millions de mots de passe stockés en clair. (Zdnet)

backdoor, Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Justice, Paiement en ligne, ransomware, Securite informatique

Des experts en sécurité paient les ransomwares et facturent leurs clients

Des experts en sécurité informatique annonçaient posséder une technologie pour déchiffrer le ransomware SamSam. Il s’avère qu’ils payaient les maîtres chanteurs pour récupérer les fichiers. Ils facturaient ensuite les clients piégés.

Deux entreprises spécialisées dans la sécurité informatique annonçaient posséder une technologie capable de déchiffrer les fichiers pris en otage par le ransomware SamSam.

Il s’avère que ces experts de la cybersécurité payaient les auteurs du rançonnage. Les sociétés facturaient ensuite les clients piégés.

C’est ProPublica qui a mené une enquête sur ce phénomène. Les entreprises, Proven Data Recovery et MonsterCloud, annonçaient être capable de déchiffrer les fichiers pris en otage par le ransomwate SamSam.

Samsam, une attaque informatique qui avait perturbé le port de San Diego ou encore les ville d’Atlanta (11 millions de dollars), de Newark, des hôpitaux (dont celui d’Epinal en France) … Au USA, le Hollywood Presbyterian Medical Center avait avoué avoir payé pour récupérer ses données.

SamSam (MSIL/Samas) s’attaque aux serveurs  JBoss obsolète. Pour déchiffrer une machine, cela coute 1.7 Bitcoin (BTC). Samsam aurait été créé par deux pirates Iraniens.

Payer pour mieux déchiffrer ?

De nombreuses sociétés agissent de la sorte, l’indiquent à leurs clients. Elles agissent de la sorte par facilité et permettre de retrouver les données ! Pour MonsterCloud et Proven Data Recovery, c’est différent. Elles affirmaient avoir la technologie pour déchiffrer les informations prises en otage. Proven Data Recovery indique que cela était nécessaire, quand par exemple la santé/vie de patients pouvaient être mis en danger.

Comme l’indiquait en mars 2019 l’ANSSI, SamSam cible des entreprises estimées très rentables, appartenant à des secteurs d’activités variés, ainsi que des entités publiques à même de payer un montant conséquent en guise de rançon.

Les deux pirates Iraniens ne peuvent plus être payés par bitcoin, du moins via une entreprise américaine. L’Oncle Sam a mis sous embargo le moindre commerce avec ce pays et des entreprises américaines ou basées aux USA, faisant commerce avec les Etats-Unis. Bilan, plus possible de payer !

Base de données, Cybersécurité, Entreprise, Justice, loi, Mise à jour, RGPD, Securite informatique, Social engineering

Prudence au site SCPI-Gouv.fr

Vous souhaitez simuler un investissement ? Vous souhaitez passer par le site gouvernemental SCPI-Gouv.fr ? Prudence !

Le portail web SCPI-Gouv*fr vous propose de simuler le montant que vous pourriez gagner via des Sociétés civiles de placement immobilier (SCPI). Le site est rapide, réclame quelques informations afin de vous permettre d’en savoir plus et d’acquérir des parts de SCPI. Le site indique être « indépendant« , et la simulation proposée est « non contractuelle« . Le logo de l’AMF, l’Autorité des marchés financiers est affiché plusieurs fois. Le domaine affiche un Gouv.fr rassurant.

Stop, rangez vos quelques économies

Ce site n’est aucunement de confiance. D’abord, il sauvegarde les informations. Le site explique que cette sauvegarde est réalisée pour « des raisons de sécurité […] elles ne seront jamais divulguées à des tiers« . Ce n’est malheureusement pas ce que nous a affiché notre navigateur en fournissant des numéros de téléphones, au hasard. Le site nous affiche bien la présence de certains numéros !

Second problème, l’utilisation du « Gouv », dans le nom de domaine. Clairement une envie de perturber l’utilisateur du portail et du nom de domaine. Un site du gouvernement ? Non ! Pour rappel, les sites gouvernementaux français sont sous la nomenclature xxxx.gouv.fr.

Ensuite, l’utilisation du logo de l’AMF. L’Autorité des marchés financiers a d’ailleurs mis en garde le public à l’encontre du site scpi-gouv.fr « utilisant abusivement son nom et son logo » explique l’AMF. « Les sites internet www.lascpi*fr et www.scpi-gouv*fr indiquent proposer aux épargnants des simulateurs de placement ainsi que des guides relatifs à l’investissement dans des sociétés civiles de placement immobilier (SCPI). L’association du nom et du logo de l’AMF à ces sites peut faire croire aux internautes que l’AMF en cautionne le contenu. Or, l’Autorité des marchés financiers ne produit ni ne supervise aucun simulateur de placement dans des sociétés civiles de placement immobilier (SCPI). » indiquait le 10 avril 2019 l’AMF. Un mois plus tard, logos et manipulations d’url sont toujours effectifs.

Banque, Base de données, Cybersécurité, Emploi, Entreprise, Fuite de données, Justice, loi, RGPD, Securite informatique

Equifax : le piratage à plus de 1,4 milliard de perte

Le piratage informatique a un vrai coût qu’il est difficile de quantifier tant les ramifications venant s’y greffer ne se découvrent pas du jour au lendemain. Un exemple avec le piratage de 2017 de la compagnie Equifax. Deux ans après l’intrusion, la facture ne cesse de gonfler.

Le piratage informatique est déjà psychologiquement difficile à vivre pour toute personne et entreprise impactée par cette malveillance. L’aspect financier l’est encore plus, d’autant que la facture peut continuer à gonfler durant des mois, des années. La banque Equifax en fait les frais depuis 2017. Entre mai et juillet 2017, un pirate s’est invité dans ses informations. Quelques mois plus tard, la société américaine spécialisée dans les crédits à la consommation, révélait une infiltration informatique et le vol des données personnelles d’environ 150 millions de clients.

Elle ne s’était même pas rendue compte du vol. C’est le Department of Homeland Security (DHS) qui informait la société d’une vulnérabilité logicielle ayant permis la ponction.

1,4 milliard de perte depuis 2017

Le dernier Comité d’Entreprise a annoncé une perte de 1.4 milliard de dollars. Perte liée à ce piratage. Cerise sur le gâteau, la société de crédit doit faire face à plusieurs centaines de procès devant des tribunaux Américains, canadiens, Anglais, sans oublier le FTC de l’Oncle sam. Le CEO a tenté de rassurer les actionnaires en indiquant, par la bouche du directeur général, Mark Begor, que plusieurs plaintes avaient été levée via des accords de règlement avec certains recours collectifs et enquêteurs du gouvernement.

Bref, l’assureur a payé ! Il reste encore 2 500 plaintes de consommateurs, des recours collectifs internationaux et nationaux, des litiges entre actionnaires et des actions en justice intentées par des gouvernements et des villes américaines (clientes Equifax). A noter que l’enquête sur ce piratage est toujours en cours aux USA et à l’étranger.

Plus de 2 500 plaintes

Début mai, un groupe de membres du Congrès a présenté un nouveau projet de loi proposant certaines modifications réglementaires qui imposeraient des peines plus lourdes pour toutes les infractions futures liées aux données des américains. Cette modification exige aussi des inspections de cybersécurité et une obligation d’indemnisation des consommateurs en cas de vol de données. La loi propose qu’un bureau de la cybersécurité soit mis en place à la FTC.

Il aurait pour mission d’inspecter et superviser la cybersécurité des structures telles que les agences de notation. Du côté des pénalités, imposer des sanctions obligatoires en matière de responsabilité pour les violations impliquant des données. Une pénalité de base de 100 dollars pour chaque consommateur pour lequel un élément personnel (PII) compromis. 50$ pour chaque PII supplémentaire.

En vertu de ce projet de loi, Equifax aurait payé une amende d’au moins 1,5 milliard de dollars.

Argent, Arnaque, Banque, Bitcoin, Cybersécurité, Entreprise, escroquerie, Paiement en ligne, Particuliers, Securite informatique, Social engineering

Traders home, le trading forcé aux risques multiples

10 commentaires

Depuis plusieurs jours, une société de trading harcèle ses interlocuteurs, par téléphone, pour leur vendre du trading et le rêve de gagner des milliers d’euros sans se fatiguer. Prudence !

L’appel débute souvent quelques jours avant d’être en tête à tête, par téléphone, avec un commercial de chez Traders Home. Le premier appel dure rarement plus de 3 secondes. Vous décrochez, et on vous raccroche au nez. Il s’agit d’un bot. D’un système automatisé qui doit permettre à Traders Home, comme à plusieurs autres arnaqueurs (rénover vos combles pour 1 euros ; devenir le parrain d’un jeune enfant en Afrique, …), de s’assurer qu’un humain est bien derrière la ligne téléphonique. Les numéros sont le plus souvent généré automatiquement. Ils sont aussi récupérés via différents itinéraires. Et être inscrit chez bloctel n’y changera rien !

Traders Home

Pour le cas de Traders home, la méthode est simple. Votre interlocuteur vous fait miroiter de l’argent, beaucoup d’argent, en devenant un trader. Vous allez pouvoir miser sur les monnaies (Euros, Dollars), l’or, les cryptymonnaies (bitcoin, …) ou encore sur l’énergie (gaz, électricité…)

Votre commercial (homme ou femme) vous indique que cela ne vous coûtera quasiment rien. Juste une centaine d’euros. Et comme vous êtes des débutants, ils mettent 50 euros de leur poche. Vous voilà ferré. Vous risquez de finir plumé par cette entreprise qui affiche une adresse basée dans les fins fond de l’océan indien. Autant dire que pour râler, il va falloir prendre les rames… et ramer !

Installer un logiciel et reg. arder les euros défilés

La communication peut-être longue. L’interlocuteur vous prend en main. Vous dirige dans les méandres du site web de Traders Home. On vous explique que « c’est super simple […] sans aucun risque« . Il faut juste s’inscrire, choisir l’espace « étudiant » (débutant), fournir un numéro de téléphone (pour votre coach), faire virer 100€ et installer un logiciel « Dans votre téléphone portable ou tablette pour plus de confort » !

Pour rappel, le trading est une véritable activité à risque. Un trader doit être connu favorablement auprès d’une autorité financière. Et devinez quoi… L’AMF, l’Autorité des Marchés Financiers en France n’aime pas du tout Tradershome Ltd. TD est même dans la liste noire de l’AMF.

L’arnaque

« J’ai été contacté en mars, explique Jacqueline à Data Security Breach. Mon interlocuteur m’a fait rêver. Il m’a expliqué que je pouvais gagner énormément d’argent en investissant dans le trading. Je n’ai aucune expérience. Le monsieur m’a indiqué que ce n’était pas utile. Tradershome allait m’aider. Je n’avais rien à faire que de – regarder les euros défiler« .

« J’ai fait un premier versement de 100€. Tout c’est enchaîné très rapidement. J’ai reçu des appels qui m’étaient indiqué provenant de Hong-Kong. On m’appelait chaque jour. Mon – coach – souhaitait que j’augmente mon capital. Plus je verserai, plus je gagnerai, m’affirmait-t-il. Le plus fou c’est qu’au début, je recevais bien mes profits. J’avais versé 1 000€ en mars 2019. J’ai reçu un premier versement de 250€. Bilan, les appels et cette entrée d’argent m’ont incité à placer 4 000 euros. Bilan, 5 000 euros chez eux. Pour me garder, j’ai reçu 740€ sur mon compte en banque, en avril 2019. Sauf que trois semaines plus tard, ma courbe a chuté à 4 700 euros. Il ne me restait plus que 300€. Je n’ai plus jamais eu de nouvelles. J’ai perdu 4 260 dans ce piège.« 

Biométrie, Chiffrement, Cybersécurité, Entreprise, Securite informatique

Authentification biométrique : notre identité en ligne de mire des attaquants

Alors que la CNIL a publié, le 28 mars 2019, « un règlement type qui précise les obligations des organismes souhaitant se doter de dispositifs biométriques à des fins de contrôle d’accès aux locaux, aux applications et aux outils de travail », à destination des employeurs, les organisations doivent poursuivre leur transformation digitale tout en gardant le cap sur la protection des données sensibles, dont les données biométriques font partie.

Pour David Higgins, Director of Customer Development EMEA, chez CyberArk, l’engouement pour l’authentification biométrique et son rôle dans la cybersécurité ne cesse de croître, et divise de plus en plus. Perçue par certains experts comme l’avenir de la sécurité numérique, la biométrie suscite cependant des craintes quant à la confidentialité. « Autrefois réservés aux films de science-fiction, les lecteurs biométriques d’empreintes digitales, de reconnaissance faciale, ou encore les scanneurs rétiniens, ont prouvé leur efficacité ces dernières années pour authentifier les consommateurs et permettre l’usage de leurs terminaux. Tant et si bien que de nombreuses entreprises ont souhaité explorer l’authentification biométrique comme un moyen de protéger leurs données sensibles. Or, il faut d’abord en comprendre les enjeux. »

Pour être utiles à des fins d’identification et de contrôle d’accès, les marqueurs biométriques doivent être totalement individuels, permanents et enregistrables. Les exemples de données biométriques incluent des caractéristiques propres à chaque individu comme la structure faciale d’une personne, l’iris de l’œil, les empreintes digitales, le timbre de la voix, ou encore la géométrie d’une main. Ces caractéristiques uniques sont collectées et stockées dans une base de données, offrant un moyen sécurisé aux utilisateurs pour se connecter à plusieurs périphériques, ou systèmes, sans avoir à utiliser et à mémoriser de nombreux mots de passe.

Or, l’authentification biométrique préoccupe beaucoup du point de vue de la sécurité et de la protection de la vie privée, notamment parce que leur caractère permanent tend à vulnérabiliser les systèmes. En effet, partant du principe qu’il n’est pas possible de modifier son visage, la structure des veines de ses mains ou ses empreintes digitales, comme on modifie un mot de passe traditionnel, si une personne vole, utilise ou duplique l’identité biométrique d’un individu, ce dernier ne peut rien y faire – ses comptes et appareils resteront vulnérables ad vitam aeternam. Par ailleurs, le fait que l’authentification biométrique soit permanente pourrait facilement conduire certaines personnes et/ou organisations à devenir trop confiantes dans la technologie et à abandonner d’autres bonnes pratiques de sécurité, telles que les stratégies de mot de passe fort ou l’authentification multifactorielle (MFA). Cette relâche de la sécurité n’a pas échappé aux pirates qui ont ainsi lancé une vague d’attaques contre ces nouveaux marqueurs biométriques allant des micropuces aux services génétiques, en passant par les bases de données biométriques.

Les technologies d’authentification biométrique ne sont pas encore totalement infaillibles. Bien que l’avenir des mots de passe traditionnels ne semble pas prometteur, il reste encore beaucoup à faire en cybersécurité, et au niveau de la réglementation de la confidentialité, pour permettre aux organisations d’adopter cette approche d’authentification facilement et en toute confiance.

Bref, comme sur Internet, notre vie privée est malmenée. Sur le web, le VPN devient un outil INDISPENSABLE. Voici d’ailleurs une possibilité avec un classement des meilleurs VPN. Prudence, cependant, aux VPN gratuits. Certains peuvent être plus dangereux qu’autre chose comme expliqué ici.

backdoor, Cybersécurité, IOT, Securite informatique

Faille iLnkP2P : découverte de 2 millions d’objets connectés affectés

Faille de sécurité dans iLnkP2P : 2 millions d’objets connectés sont affectés. Trois mois après la divulgation de cette faille, le correctif n’est toujours pas disponible.

En tout, iLnkP2P présente deux failles de sécurité. L’une d’elle permet à un attaquant de se connecter à un périphérique. L’autre problème permet de voler les données d’accès au périphérique et de prendre le contrôle total.
Un vrai danger, surtout si une webcam impactée est située dans une zone telle que la chambre d’un enfant ou votre chambre à coucher.
De nombreux appareils intelligents utilisent des composants prêts à l’emploi. Une partie de ces composants exploite la communication P2P. Cette communication fluide et sans problème permet de relier les périphériques entre-eux.

iLnkP2P dangereux !

Une des solutions prêtes à l’emploi s’appelle iLnkP2P, fabriquée par la société chinoise Shenzen Yunni Technologies.
L’approvisionnement en composants auprès de fournisseurs externes est une pratique courante dans de nombreux secteurs. Par exemple, les constructeurs automobiles achètent souvent certains groupes de composants, tels que des faisceaux de câbles, auprès de fournisseurs externes. En conséquence, tout problème avec un composant fabriqué par un fournisseur donné affecte plusieurs fournisseurs.
Parmi les sociétés affectées par les failles de sécurité : VStarcam, Eye Sight et HiChip.
Il serait «difficile» d’énumérer tous les fournisseurs concernés, comme l’a expliqué Paul Marrapese. À ce stade, aucun correctif n’est en vue – et il est peu probable qu’il en existe un prochain, étant donné que le fournisseur de iLnkP2P n’a pas réagi à plusieurs tentatives d’alertes.
Le chercheur a rendu publique les vulnérabilités au bout de trois mois.
APT, Cyber-attaque

L’exploitation des rootkits Scranos se mondialise

Un commentaire

Les menaces sophistiquées demeurent l’une des principales préoccupations des entreprises. Au fur et à mesure que les environnements se complexifient, les attaquants trouvent des moyens innovants d’infiltrer le réseau, s’y dissimulant pour faire des ravages tout en gardant une discrétion totale.

Les experts Threat intelligence viennent d’analyser les subtilités d’une nouvelle opération de spyware multiplateforme. Pour Harish Agastya VP of Enterprise Solutions de Bitdefender : « Cette campagne, nommée Scranos basée sur les rootkits s’étendra – au moins – aussi largement que l’opération de fraude Zacinlo, un logiciel espion extrêmement sophistiqué qui fonctionne secrètement depuis le début de 2012, générant des revenus pour ses opérateurs et compromettant la vie privée de ses victimes ».

Scranos infecte déjà les utilisateurs du monde entier en raison de sa capacité à survivre sur toutes les plates-formes, en obtenant une gamme plus étendue de endpoints d’entreprise, en particulier des appareils Android.

Comment fonctionne Scranos ?

Déguisé en logiciel craqué ou en applications légitimes telles que des lecteurs d’ebooks, des lecteurs vidéo, des pilotes ou même des produits antimalware, Scranos fait maintenant partie d’un projet plus vaste. Les serveurs de commande et de contrôle poussent d’autres programmes malveillants.

Cela indique clairement que le réseau pris en main par des personnes tierces, dans un schéma de paiement à l’installation.

Les acteurs derrière Scranos apportent en permanence des modifications au logiciel malveillant, en ajoutant de nouveaux composants aux utilisateurs déjà infectés et en améliorant les fonctionnalités les plus évoluées.

Les employés constituent l’un des premiers points d’entrée dans une entreprise. Selon des études récentes, ils restent le maillon faible de la sécurité informatique des entreprises et les acteurs de la menace les contournent facilement pour s’infiltrer dans les entreprises. Les cybercriminels exploitent également la myriade d’outils qu’utilisent les entreprises auprès de fournisseurs tiers. Leurs derniers vecteurs d’attaque comprennent le ciblage des fournisseurs de petites entreprises et qui sont moins protégés.

Scranos tire parti de l’infrastructure de l’entreprise pour lancer de nouvelles attaques

Prenant en charge les rootkits, Scranos est conçu pour ne pas être détecté par un système et peut facilement désactiver les pares-feux et les logiciels antimalwares traditionnels, si toutefois le système le demande. Il est persistant et exploite les capacités de camouflage pour revenir même après sa détection et son élimination.

L’objectif principal étant l’exfiltration de données, les enjeux sont importants : des problèmes de gestion, des risques au vol de propriété intellectuelle et atteintes à la réputation de la marque. La conformité est également une préoccupation majeure. En effet, « accélérer la réglementation en matière de protection de la vie privée » a dépassé la « pénurie de talents » dans les principaux risques émergents pour les entreprises, au premier trimestre 2019, selon une étude récente de Gartner.

Scranos tire parti de l’infrastructure de l’entreprise pour lancer de nouvelles attaques. Ce qui pose de graves problèmes juridiques, affecte la réputation de la marque et, en fin de compte, les bénéfices financiers.

Communiqué de presse, Cybersécurité, Justice

Délit d’usurpation d’identité numérique et liberté d’expression

Le cabinet LAZARÈGUE AVOCATS spécialisé dans la cybercriminalité et le droit de la presse a obtenu une décision importante en matière de liberté d’expression.

Selon Maître Lazarègue : « La rédaction confuse du délit d’usurpation d’identité numérique prévu dans le code pénal pouvait laisser entendre que le seul fait de « faire usage d’une ou plusieurs données de toute nature permettant d’identifier un individu en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération pouvait faire l’objet d’une condamnation d’un an d’emprisonnement et de 15 000 € d’amende ».

De nombreuses entreprises tentaient ainsi d’échapper aux contraintes de la loi sur la liberté de la presse (notamment à son délai de prescription limité à trois mois) en invoquant le délit d’usurpation d’identité numérique pour étouffer toute expression publique critique à leur égard.

Dans un jugement du 18 avril 2019, la 17e chambre du Tribunal de Grande Instance de Paris spécialisée dans les questions de presse et internet a réaffirmé son attachement à la liberté d’expression et la primauté de la loi sur la liberté de la presse en matière d’expression publique.

La 17e chambre a ainsi jugé que la loi pénale est d’interprétation stricte et l’interprétation de l’article 226-4-1 du code pénal au regard des travaux préparatoires de cette loi permet de restreindre le champ de l’infraction à celui d’une usurpation d’identité ou à une utilisation des données de toute nature permettant d’identifier quelqu’un dans le but de se faire passer pour cette personne, telle étant la volonté du législateur. »

Cybersécurité, Mise à jour, Patch, Securite informatique

Patch Tuesday avril 2019 : 74 vulnérabilités, dont 16 critiques corrigées par Microsoft

Le Patch Tuesday du mois d’avril 2019 traite 74 vulnérabilités dont 16 classées critiques.

Dans ce Patch tuesday mensule, huit de ces vulnérabilités critiques concernent les moteurs de script et des composants de navigateur et impactent les navigateurs Microsoft ainsi que la suite Office, tandis que 5 vulnérabilités critiques affectent MSXML. Deux vulnérabilités facilitant l’exécution de code à distance (RCE) sont corrigées dans GDI+ et IOleCvt. Deux vulnérabilités permettant une élévation de privilèges dans Win32k sont signalées comme activement attaquées tandis qu’une autre dans le service de déploiement AppX Windows fait l’objet d’un exploit PoC public.

Correctifs pour postes de travail

Le déploiement de patches pour le moteur de script et MSXML est une priorité pour les équipements de type poste de travail, c’est-à-dire tous les systèmes utilisés pour accéder à la messagerie ou à Internet depuis un navigateur. Sont concernés les serveurs multi utilisateurs utilisés comme postes de travail distants.

Attaques actives sur des vulnérabilités facilitant une élévation de privilèges dans Win32k

Deux vulnérabilités (CVE-2019-0803 et CVE-2019-0859) dans Win32k entraînent une élévation des privilèges si elles sont exploitées. Microsoft signale que ces deux vulnérabilités sont activement attaquées. Les correctifs doivent être déployés en priorité pour tous les postes de travail et les serveurs.

Preuve de concept (PoC) avec élévation de privilèges dans le service de déploiement AppX Windows

Le service de déploiement AppX (AppXSVC) de Windows héberge une autre vulnérabilité facilitant une élévation des privilèges. Ce service est chargé du déploiement des applications du Windows Store. La vulnérabilité concerne la gestion des liens en dur par le service. Un PoC a été diffusé dans le domaine public. Les correctifs doivent être déployés en priorité pour les postes de travail et les serveurs car ce service existe sous Windows 10 et sur Server 2019.

Vulnérabilités facilitant des RCE dans GDI+ et IOleCvt

Deux vulnérabilités critiques permettant l’exécution de code à distance (RCE) sont corrigées dans GDI+ et IOleCvt. Ces vulnérabilités nécessitent une interaction de l’utilisateur et un correctif doit être déployé en priorité pour les systèmes de type poste de travail.
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0853
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0845

Élévation de privilèges sur le serveur SMB

Une vulnérabilité facilitant l’élévation de privilèges a été corrigée sur le serveur SMB. Pour exploiter cette vulnérabilité, l’attaquant doit être connecté au système ciblé et accéder à un fichier malveillant via SMB.

Correctifs Adobe

Adobe diffuse aussi un grand nombre de correctifs en ce mois d’avril 2019, notamment pour Flash Player, Acrobat et Reader, Shockwave Player, Dreamweaver, Adobe XD, InDesign, Experience Manager Forms et Bridge CC. Le patch pour Flash Player corrige une exécution de code à distance (RCE) critique et une vulnérabilité importante. Microsoft a également classé les correctifs pour Flash comme critiques. Les correctifs pour Acrobat/Reader traitent 21 vulnérabilités différentes, dont 12 concernent des RCE critiques. Les patches pour Adobe Flash et Acrobat/Reader doivent être déployés en priorité pour tous les systèmes de type poste de travail. (Par Jimmy Graham – The Laws of Vulnerabilities)

Petites entreprises, grandes menaces : restez informés, restez protégés

Quitter la version mobile