Archives par mot-clé : patch

Cybersécurité, Mise à jour, Patch

Mises à jour urgentes de janvier 2016

Plusieurs mises à jour obligatoires et urgentes pour de nombreux produits Microsoft, Adobe et Oracle.

MS16-005 est a patcher très rapidement, du moins pour les utilisateurs sous Vista, Windows 7 ou Server 2008. En effet, sur ces systèmes, CVE-2016-0009 déclenche une exécution de code à distance (RCE), de plus cette vulnérabilité a été divulguée publiquement. Sur les systèmes d’exploitation plus récents, Windows 8 et Windows 10, la faille est non applicable ou juste classée importante.

MS16-004 est notre seconde priorité. Ce bulletin résout six vulnérabilités sous Microsoft Office qui permettent aux pirates d’exécuter du code à distance (RCE). Il est classé « critique » par Microsoft, ce qui est inhabituel pour un bulletin Office. La vulnérabilité classée critique CVE-2016-0010 est présente dans toutes les versions d’Office, de 2007 à 2016, même sous Mac et RT.

Viennent ensuite Internet Explorer (MS16-001) et Microsoft Edge (MS16-002). L’un et l’autre sont classés critiques puisqu’un pirate peut contrôler la machine visée en exploitant le navigateur via une page Web malveillante. Les deux bulletins traitent seulement deux vulnérabilités, ce qui est assez inhabituel, du moins pour Internet Explorer, navigateur pour lequel nous avions pris l’habitude de voir traiter plus de 20 vulnérabilités.

MS16-006, le dernier bulletin critique, concerne Silverlight et corrige une vulnérabilité.

MS16-010 est une vulnérabilité côté serveur dans Microsoft Exchange. Il résout quatre vulnérabilités au sein du module OWA d’Exchange qui peuvent provoquer des fuites d’information et l’exécution de script suite à la visualisation d’un e-mail.

MS16-009 a été ignoré par Microsoft. Apparemment, la publication de ce bulletin a été reportée le temps de procéder à des tests supplémentaires.

Adobe et Oracle
Adobe publie également ses mises à jour à l’occasion de ce Patch Tuesday et diffuse APSB16-02 pour Adobe Reader. Cette mise à jour résout des vulnérabilités critiques mais les classe toutes en niveau « 2 » sur l’échelle de l’exploitabilité, c’est-à-dire qu’un patch sera disponible dans les 30 prochains jours. Aucune mise à jour n’est publiée aujourd’hui pour son composant logiciel le plus attaqué, le lecteur Flash. Ou disons plutôt que sa mise à jour de janvier 2016 a été publiée en avance, fin décembre 2015. Intéressez-vous en urgence à APSB16-01 si ce n’est pas encore fait. L’une des vulnérabilités étant attaquée en aveugle, Adobe a été contraint de publier cette mise à jour avant la date prévue.

Quant à Oracle, l’éditeur prévoit de publier ce mois-ci sa mise à jour trimestrielle, en l’occurrence mardi 19 janvier. Restez à l’affût de la nouvelle version de Java, MySQL et de sa base de données d’entreprise. (Analyse publiée par Wolfgang Kandek, CTO de Qualys, Inc. dans The Laws of Vulnerabilities).

Cybersécurité, Mise à jour, Patch

Les attaques DDoS sont-elles des leurres ?

Une enquête réalisée par B2B International révèle que dans la plupart des cas une attaque DDoS n’est que la partie visible de l’iceberg : 74 % des responsables interrogés signalent que les attaques DDoS contre leur entreprise se sont accompagnées d’autres incidents de sécurité informatique.

Parfois, il ne s’agit pas de simples coïncidences mais de tentatives délibérées de diversion pour détourner l’attention du personnel informatique. On parle alors de la technique de l’« écran de fumée » DDoS.

Les attaques DDoS, un moyen de détourner l’attention des services informatiques
Les participants à l’enquête citent le plus souvent les logiciels malveillants (21 %) et les piratages (22 %) comme les menaces numéro un pour leur entreprise, mais ils ne sont que 6 % à mentionner les attaques DDoS. En parallèle, les attaques DDoS coïncident souvent avec des incidents provoqués par des malwares (dans 45 % des cas) et des intrusions dans le réseau de l’entreprise (32 %). Des fuites de données ont également été détectées en même temps qu’une attaque dans 26 % des cas.

Les entreprises des secteurs de la construction et de l’ingénierie ont été confrontées à ce problème plus souvent que les autres : selon les responsables interrogés, 89 % des attaques DDoS dont elles ont été la cible sont allées de pair avec d’autres types d’attaques.

1 attaque DDoS sur 4 engendre une indisponibilité totale des services
Cependant, même sans tenir compte des dommages collatéraux, les attaques DDoS demeurent un sérieux problème qui touche de plus en plus les ressources des entreprises. En particulier, dans 24 % des cas, une attaque DDoS a causé une indisponibilité totale des services (39 % dans les entreprises publiques). Dans 34 % des cas, certaines transactions ont échoué en raison de telles attaques, ce chiffre grimpe à 64 % pour les compagnies de transport. L’an passé, ces chiffres étaient nettement plus bas : seules 13 % des entreprises avaient fait état d’une indisponibilité totale de leurs services à la suite d’attaques DDoS, et 29 % d’erreurs dans des transactions.

Un ralentissement significatif du chargement des pages web reste l’une des conséquences les plus courantes des attaques DDoS (53 % cette année contre 52 % l’an passé) ; cependant, selon l’enquête, les attaques peuvent durer des jours voire des semaines.

« Il est naturel que les attaques DDoS posent des problèmes croissants aux entreprises. Les méthodes et techniques employées par les criminels évoluent, les auteurs des attaques cherchant de nouveaux moyens de paralyser les activités de leurs victimes ou de masquer une intrusion dans leurs systèmes. Même avec un vaste contingent de personnel informatique, il est quasi impossible pour les entreprises de faire face à une attaque DDoS d’envergure et de restaurer leurs services par elles-mêmes. En outre, si une autre activité malveillante se déroule simultanément, cela démultiplie les dégâts. Le plus dangereux réside dans le fait que les entreprises soient susceptibles de ne jamais apprendre qu’elles ont été victimes d’une attaque DDoS, servant souvent d’écran de fumée », conclut à DataSecurityBreach.fr Evgeny Vigovsky, responsable des activités de Kaspersky Lab pour la protection contre les attaques DDoS.

La contre-mesure la plus efficace face aux attaques multivecteurs est une protection complète qui assure la sécurité à la fois contre les malwares, les intrusions et les attaques DDoS. Kaspersky Lab s’est spécialisé dans cette forme de protection depuis de nombreuses années et l’efficacité de ses solutions est confirmée aussi bien par des laboratoires de test indépendants que par les 270 000 entreprises clientes de la société.

Comme le blog ZATAZ.COM a pu le prouver, les attaques DDoS sont de plus en plus simple à lancer via des sites offrant, contre argent, des minutes de blocage. La grande majorité des DDoS rencontrés avaient pour mission de vanter ce genre de « boutique » de DDoS.

Cybersécurité, Mise à jour, Patch

Patch Tuesday d’octobre 2015

Le Patch Tuesday d’octobre 2015 s’avère une édition légère. En effet, il ne comprend que six bulletins, mais concernent tous les produits phares. Un bulletin critique pour Internet Explorer (mais pas pour Edge), un bulletin pour Office, victime de vulnérabilités à base d’exécution de code à distance (RCE), ainsi qu’un correctif pour remédier des vulnérabilités dans le noyau Windows qui autorisent une élévation des privilèges. En outre, ce Patch Tuesday résout un problème intéressant dans le shell Windows qui autorise aussi l’exécution de code à distance. Toutes les versions de Windows et Office, sont concernées sauf qu’aucun paquet logiciel supplémentaire avec des mises à jour (.NET, logiciel serveur, etc.) n’est disponible ce mois-ci.

    Commençons par Internet Explorer qui figure en tête de notre liste interne des priorités. Le bulletin MS15-106 fournit 15 correctifs pour des vulnérabilités dont neuf sont critiques car pouvant entraîner des exécutions de code à distance (RCE) si l’un de vos utilisateurs se rend sur un site Web malveillant. Déployez cette mise à jour de sécurité en priorité sur toutes les plates-formes affectées, depuis Vista et IE7 et jusqu’à Windows 10 et IE11.

    Les bulletins MS15-107 et MS15-108 sont associés au bulletin pour Internet Explorer. MS15-107 est une nouvelle version pour le nouveau navigateur Edge, mais ce bulletin de sécurité ne contient que 2 correctifs plutôt mineurs : une fuite d’information ainsi qu’une mise à jour pour le filtre XSS. MS15-108 reprend quatre des problèmes traités par le bulletin MS15-106 pour les machines qui exécutent une autre version de JavaScript, principalement Internet Explorer 7.

    Les bulletins MS15-109 et MS15-110 sont plus importants et méritent toute votre attention. Commençons par le MS15-110. Ce dernier résout six problèmes sévissant dans Office (essentiellement Excel), dont cinq entraînent une exécution de code à distance. L’utilisateur est invité à ouvrir une feuille de calcul Excel contenant un exploit pour l’une de ces vulnérabilités, ce qu’il fera sans trop hésiter si les feuilles de calcul présentent par exemple des informations produits pertinentes, des tarifs et encore des remises de fournisseurs concurrents (je reçois environ un e-mail par semaine avec ce type d’information). Le bulletin MS15-109 traite une vulnérabilité dans le shell Windows qui peut être déclenchée via un e-mail et une navigation Web et qui, en cas d’exploit réussi, fournira une exécution à distance RCE à l’attaquant.

    Quant à la mise à jour MS15-111, elle gère des vulnérabilités à base d’élévation locale de privilèges sous Windows, ce qui affecte une fois encore toutes les versions de Windows depuis Vista jusqu’à Windows 10. Les attaquants utiliseront ce type de vulnérabilité pour accéder au niveau système, une fois qu’ils auront pris le contrôle de la machine ciblée.

    En résumé : appliquez le patch MS15-106 pour Internet Explorer en priorité, puis MS15-110 pour Excel. Ensuite, le bulletin MS15-109 pour le shell Windows. Les autres bulletins sont moins critiques et peuvent être déployés dans le cadre de votre cycle de patch normal.

    Enfin, Adobe a également publié des mises à jour pour Adobe Reader et Flash : APSB15-24 pour le Reader et APSB15-25 pour Flash. Ces bulletins traitent plusieurs vulnérabilités critiques (plus de 50 pour le Reader) qui permettraient à un attaquant d’exécuter du code dans le contexte de l’utilisateur. Nous recommandons la correction immédiate du Flash. D’autre part, la sandbox d’Adobe renforce le durcissement de sa visionneuse PDF car depuis plus d’un an des fichiers PDF sont utilisés pour lancer des exploits à l’aveugle. Corrigez dans le cadre de votre cycle de patch normal. Quant à Oracle, il publiera sa mise à jour de patchs critiques (CPU) le 20 octobre.

Adobe, Cybersécurité, Logiciels, Microsoft, Mise à jour, Oracle, Patch

Grosses mises à jour Microsoft et Adobe

Microsoft a publié ce 8 juillet six bulletins pour des vulnérabilités qui affectent toutes les versions d’Internet Explorer, de Windows ainsi que des composants pour serveur. Deux vulnérabilités sont considérées comme « critiques » car elles autorisent l’exécution de codes à distance (RCE), tandis que trois sont signalées comme « importantes » dans la mesure où elles autorisent une élévation de privilèges internes sur Windows.

Le patch le plus critique est le bulletin 1. Il concerne toutes les versions d’Internet Explorer (IE) depuis la version 6 du navigateur, désormais uniquement prise en charge sur Windows Server 2003 depuis l’arrêt du support de XP, jusqu’à la toute dernière version IE 11 sur Windows 8.1 et R. Ce patch doit être une priorité pour vous car la plupart des attaques s’appuient d’une manière ou d’une autre sur votre navigateur Web. Les derniers chiffres publiés dans le rapport Microsoft SIR v16 démontrent clairement que les attaques Web, notamment via Java et Adobe Flash, sont les plus courantes.

Le bulletin 2 est une mise à jour critique pour Windows. Toutes les versions de Vista, Windows 7, 8 et RT pour poste de travail sont concernées. Concernant l’aspect serveur, toutes les versions sauf la plus ancienne, Windows Server 2003, sont affectées. La mise à jour imposera de réinitialiser le système, un paramètre à inclure dans votre planning, plus particulièrement côté serveur.

Les bulletins 3, 4 et 5 traitent de vulnérabilités liées à des élévations de privilèges dans Windows. Toutes les versions de Windows sont concernées. Il s’agit de vulnérabilités locales qui ne permettent pas d’exécuter du code à distance via le réseau, mais qui imposent à l’attaquant d’être déjà présent sur la machine ciblée en tant qu’utilisateur normal ou standard. Les exploits pour ces types de vulnérabilités font partie de la boîte à outils de tout pirate qui a obtenu un compte sur la machine ciblée, après avoir subtilisé des certificats. Dans tous les cas de figure, l’attaquant souhaitera pouvoir contrôler la machine en permanence et, pour ce faire, il devra devenir administrateur de cette dernière afin d’y installer son code de contrôle malveillant. C’est à ce moment que ces vulnérabilités entrent en jeu. Nous estimons donc que résoudre ces dernières est une priorité absolue pour contrarier ou ralentir les attaquants installés sur la machine ciblée.

Enfin, le bulletin 6 traite une vulnérabilité par déni de service (DoS) dans le Service Bus de Windows. Le Service Bus est un tout nouveau composant de Windows utilisé dans l’environnement Windows Azure pour développer des applications hétérogènes. Selon nos estimations, rares sont les entreprises qui ont installé ce composant. Sur Azure, Microsoft se charge de déployer le correctif à votre place.

Courant juillet, Oracle publiera sa mise à jour des patchs critiques (CPU). Elle devrait être diffusée le 15 juillet et fournir des correctifs pour des centaines de vulnérabilités. La pertinence de ces patchs pour votre entreprise dépend de votre inventaire logiciel, mais, dans tous les cas, la mise à jour de Java sera incontournable pour la plupart des entreprises.

Même chose pour ADOBE. Il est d’ailleurs conseillé de se rendre sur le site afin de mettre à jour rapidement l’outil Flash Player. Une mise à jour d’Adobe Flash indispensable. Passez rapidement vers la version 14.0.0.145 qui tourne sur les systèmes Windows, Mac et Linux. Voyez le site ADOBE pour connaitre votre version de flash installée. (avec Wolfgang Kandek, CTO Qualys)

Logiciels, Mise à jour, Oracle, Patch

104 vulnérabilités corrigées pour Oracle

Le géant américain de la base de données, Oracle, vient de corriger 104 vulnérabilités dans ses logiciels. La dernière mise à jour de sécurité visant les produits Oracle n’aura pas fait dans la demi-mesure. Pas moins de 104 failles, dont certaines critiques, ont été colmatées pour Java SE, Virtual Box, Oracle Fusion, Oracle iLearning, Oracle Siebel CRM, MySQL… 37 patchs, dont 4 critiques, s’attaquent à des problèmes dans Java SE. MySQL se voit gratifié de la correction de deux vulnérabilités critiques. La version Windows permet à un pirate de compromettre l’ensemble du système attaqué. Il faut cependant que le malveillant soit authentifié. Autant dire que les mises à jour sont obligatoires. Il est bon de rappeler l’article 34 de la loi Informatique et Libertés qui impose au responsable de traitement de prendre les mesures nécessaires pour sécuriser les données à caractère personnel. Le responsable de traitement doit se tenir informé et réagir lorsqu’une faille est découverte. « Ne pas corriger une faille de sécurité connue et pour laquelle des correctifs sont proposés est susceptible de constituer un manquement à l’obligation de sécurisation imposée aux responsables de traitement. » indique la CNIL.

Cyber-attaque, Entreprise, Leak, Mise à jour, Patch

Windows XP sera-t-il la nouvelle aire de jeu des cybercriminels à compter du 8 avril 2014 ?

A partir de ce mardi 8 avril, Microsoft cessera le support de son système d’exploitation Windows XP alors que sa part de marché reste encore élevée (29.53% en février 2014 d’après Net Applications). Quel est l’impact sécuritaire de cette décision ? Concrètement, tous les ordinateurs qui fonctionneront encore sous Windows XP à compter de cette date ne bénéficieront plus des patchs créés contre les failles de sécurité de ce système d’exploitation. Que l’on soit un particulier ou une entreprise, deviendrons-nous la cible privilégiée des cybercriminels à compter du 8 avril 2014 ? Pas si sûr…

Qu’elles soient petites, moyennes ou grandes entreprises, issues du secteur bancaire, industriel ou tertiaire, le 8 avril 2014 préoccupe un certain nombre d’organisations car la fin du support de Windows XP n’est pas qu’une simple question de migration vers un nouveau système d’exploitation. D’autres contraintes comme le coût ou bien l’interruption de services liés à cette migration peuvent être des éléments critiques à prendre en compte pour certaines entreprises.

Prenons l’exemple du secteur bancaire. 95% des distributeurs automatiques de billets (DAB) dans le monde reposent actuellement sur des ordinateurs fonctionnant sous Windows XP. Outre la nécessité d’une interruption de services pour réaliser cette migration, ces ordinateurs ne tolèrent en général pas une version plus récente de Windows. Dans ce cas de figure, impossible de migrer sans changer l’ensemble du matériel informatique et engendrer un coût non négligeable pour les entreprises. Idem pour les environnements industriels dits SCADA comportant des applications métiers spécifiques créées depuis des dizaines d’années et difficiles à migrer.

Une des alternatives envisagées par ces entreprises est de ne rien faire. Seront-elles donc plus vulnérables ? N’en soyez pas si certain ! Il est fréquent qu’une organisation n’effectue pas les correctifs disponibles de l’OS pour éviter toute interruption de leurs services.  En effet, pour ces organisations, l’interruption de services n’est pas uniquement liée à la migration vers un nouvel OS mais est également nécessaire pour toute mise à jour de n’importe quel système d’exploitation. Ces entreprises seront donc autant vulnérables qu’aujourd’hui puisque sans ces correctifs, elles ne sont pas protégées des vulnérabilités actuelles. A l’inverse, d’autres entreprises ont l’habitude de mettre à jour automatiquement leur système d’exploitation, dans ce  cas, elles deviendront plus vulnérables qu’aujourd’hui puisqu’elles ne bénéficieront plus de protection actualisées.

Pour ce qui est des DAB, rassurez-vous, ces distributeurs ne sont pas directement connectés à Internet. Donc le seul moyen pour un cybercriminel de les cibler est d’intervenir sur la machine elle-même (comme par exemple : y introduire un cheval de Troie par le biais d’une clé USB qu’il connecterait au distributeur). Une opération très peu probable car risquée pour les cybercriminels.

Vous l’aurez donc compris la clé pour rester sous Windows XP est de ne pas être connecter à Internet. Sans quoi, il est recommandé de migrer vers un autre système d’exploitation car on peut s’attendre à une recrudescence d’attaques ciblant les prochaines vulnérabilités XP visant à extraire des informations sensibles (informations concurrentielles, numéros de cartes de crédit …). – Par Guillaume Lovet, expert en cybercriminalité au sein de l’équipe FortiGuard Labs de Fortinet.

Cybersécurité, Mise à jour, Patch

Patch Day : Java, Adobe Reader et Flash, Microsoft Word

Un commentaire

Microsoft vient de diffuser son premier Patch Tuesday de l’année. Et même si l’éditeur ne publie que quatre mises à jour, les administrateurs informatiques auront du pain sur la planche avec les nouveaux correctifs publiés par Adobe et Oracle.

En effet, comme le rappel Wolfgang Kandek, CTO de Qualys, Oracle résout 144 vulnérabilités avec sa dernière mise à jour de patchs critiques (CPU) de janvier 2014, soit un nouveau record pour Oracle. La plupart des vulnérabilités se trouvent dans la version de Java 7, sachant que Java v6 est déjà en fin de vie. La mise à jour 51 de la version de Java 7 fournit 34 correctifs pour des vulnérabilités exploitables à distance. La note « 10 », soit la plus élevée sur l’échelle du système d’évaluation des vulnérabilités CVSS (Common Vulnerability Scoring System), est attribuée aux plus critiques d’entre elles.

En 2013, Java fut l’un des logiciels les plus attaqués et cela va continuer en raison d’une politique de mise à jour pas assez énergique. L’installation d’un logiciel malveillant sur la page d’accueil du site Yahoo via des publicités par des pirates qui ont profité d’une vulnérabilité Java sur des PC d’utilisateurs affectés a d’ailleurs récemment fait La Une. Commencez par résoudre cette vulnérabilité et si vous rencontrez de la résistance pour mettre à jour Java, demandez-vous pourquoi ces machines ne peuvent pas exécuter cette toute dernière version de Java.

Adobe diffuse deux mises à jour qui sont toutes les deux critiques car elles concernent l’exécution de codes à distance et une prise de contrôle total du système ciblé. APSB14-01 est une mise à jour pour Adobe Acrobat et Reader avec un vecteur d’attaque sous la forme d’un fichier PDF. Quant à la mise à jour APSB14-02 pour Adobe Flash, elle traite les vecteurs d’attaque typiques sur des pages Web et des documents malveillants via des objets Flash intégrés. Ces deux packages Adobe devraient figurer en tête de liste de vos mises à jour. Les utilisateurs de Google Chrome et d’Internet Explorer 10 et 11 n’ont pas à se préoccuper de la mise à jour de Flash. En effet, cette dernière sera installée via les mécanismes de mise à jour automatique de ces navigateurs.

Microsoft publie quatre bulletins qui sont tous classés comme « Importants » en termes de sévérité.MS14-001 résout une vulnérabilité dans le format de fichier Microsoft Word qui peut être exploitée pour exécuter des codes à distance sur le système affecté lors de l’ouverture d’un fichier malveillant. Il s’agit de la vulnérabilité la plus importante à résoudre. Elle concerne toutes les versions de Microsoft Word sous Windows 2003, 2007, 2010 et 2013, ainsi que les visionneuses de documents Word. Les utilisateurs de Mac OS X ne sont pas concernés.MS14-002 est un patch pour la vulnérabilité Zero Day signalée le mois dernier et présente dans Windows XP et 2003. S’agissant d’une escalade locale de privilèges, cette vulnérabilité ne peut être exploitée que par un pirate déjà présent sur la machine en tant qu’utilisateur standard et qui a besoin d’obtenir des droits administratifs.Microsoft a reconnu son existence pour la première fois le 27 novembre 2013 dans l’avis de sécurité KB2914486. L’éditeur a expliqué que cette vulnérabilité était utilisée pour un petit nombre d’attaques ciblées qui exploitent une vulnérabilité corrigée dans Adobe Reader (APSB13-15 depuis mai 2013) comme moyen de transmission. Les autres bulletins, à savoir MS14-003 et MS14-004, traitent une vulnérabilité au sein du noyau Windows ainsi qu’un état de Déni de Service dans le progiciel d’ERP Microsoft Dynamics AX.

En résumé, voici notre liste de priorités pour ce mois-ci : Java, Adobe Reader et Flash, Microsoft Word ainsi que la vulnérabilité Zero-Day.

À propos, d’autres vulnérabilités traitées dans la version CPU d’Oracle vous concernent si vous utilisez les logiciels Oracle suivants :

  • MySQL contient 18 vulnérabilités, dont trois exploitables à distance et auxquelles a été attribuée la note CVSS maximum de « 10 ».
  • Solaris fait l’objet de 11 correctifs, dont un lié à une attaque à distance. La note CVSS maximum est de « 7,2. »
  • Les solutions logicielles Oracle Virtualization, dont la célèbre VirtualBox, contiennent neuf vulnérabilités, dont quatre exploitables à distance et avec une note CVSS maximum de « 6,2 ».

  • Quant au SGBDR Oracle lui–même, il contient cinq vulnérabilités, dont une exploitable à distance. »