Articles avec #failles securite tag

Publié le 28 Septembre 2012

Java une faille critique menacerait 1 milliard d'ordinateurs

 

Et ça continue, après la faille du mois d'août, voici une nouvelle faille critique découverte, par la société de sécurité Security Explorations, dans Java SE 5, SE 6 et SE 7, en clair toutes les versions sont concernées.


Cette vulnérabilité toucherait les navigateurs : Internet Explorer, Firefox, Chrome, Opera et Safari, ainsi que les systèmes d'exploitation : Windows, Mac OS X antérieurs à 10.7 (version Snow Leopard), ou même Linux.
Ce qui représente selon la société Oracle, plus d’un milliard d'ordinateurs susceptibles d'être exposés à cette faille.


Quelles sont les conséquences

Le problème a été détecté dans la machine virtuelle Java, ce qui permettrait de contourner les règles de sécurité du bac à sable (sandbox) et de pouvoir exécuter du code malveillant dans le système d'exploitation.

Le risque pour un internaute mal sécurisé, serait de visiter un site malveillant et de permettre à des cybers-pirates, par l'intermédiaire de son navigateur via des applets Java d'exploiter cette faille, et de prendre le contrôle de son ordinateur à distance pour y installer du code malicieux ou dérober des données personnelles.

Pour l'instant, il n'y a aucune inquiétude à avoir puisque personne n'a exploité cette vulnérabilité.


Quelle précaution prendre...

Oracle a bien confirmé la faille  et travaille sur un correctif. Mais si la société maintient son calendrier habituel, elle sera corrigée lors de la prochaine mise à jour de sécurité, prévue pour le 16 octobre

Ce qui laisse le temps aux pirates informatiques de s'exercer.

Dans l'attente d'un patch, il est recommandé de désactiver les plugins Java de son navigateur web.


> Pour Internet Explorer

Menu Outils > Gérer les modules complémentaires

Dans la section Barre d’outils et extensions > Sélectionner Java

Cliquer sur le bouton "Désactiver"


> Pour Mozilla Firefox

Cliquer sur Menu Outils > Modules complémentaires

Cliquer sur Plugins (à gauche) puis sur Java(TM)

Cliquer sur le bouton "Désactiver"


> Pour Google Chrome

Dans la barre d’adresse saisir : chrome://plugins/ et validez par Entrée

Cliquer sur le lien "Désactiver" correspondant à Java(TM)


> Pour Safari Windows

Menu icône engrenage > Préférence > Onglet Sécurité

Décocher la case "Activer Java"


> Pour Opera

Dans la barre d’adresse saisir : opera:plugins et validez par Entrée

Cliquez sur "Désactiver" en face de Java(TM)

désactiver le plugin Java

 

Malgré qu'aucune attaque n'ait été identifiée, restez prudent et vigilant lorsque vous surfez sur Internet.


Source : Security Explorations - ComputerWorld - Oracle 

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 31 Octobre 2011

skype.jpg

 

 Une faille a été découverte sur le logiciel de téléphonie VoIp: Skype. Des chercheurs du laboratoire de recherche de l'Inria (Institut national de recherches en informatique et en automatique) en partenariat avec l’Institut polytechnique de New York, ont mis à jour une vulnérabilité qui accède aux fichiers téléchargés en Peer-to-Peer et localise géographiquement les clients Skype grâce à leurs adresses IP.


Quels sont les risques ?

 L'exploitation de la faille fait référence à une attaque ciblée de type MITM (man-in-the-middle), il suffit qu'un cyberpirate créée une passerelle entre les utilisateurs de Skype pour utiliser Skype comme un mouchard. Même avec un appel refusé, notre personne malveillante arrive à obtenir l’adresse IP simplement en utilisant le pseudonyme sur Skype (bien souvent composé du nom et du prénom).

 Avec ses renseignements (nom, prénom, adresse IP), il peut grâce localiser géographiquement l'utilisateur, accéder aux fichiers téléchargés via des logiciels Peer-to-Peer, suivre les activités de l'internaute sur la toile par exemple sur les réseaux sociaux... Cette vulnérabilité met à mal la vie privée avec le risque d'exploiter des informations personnelles.


Comment se protéger ?

 Le principal défaut du service voix sur IP de Skype réside dans le protocole de communication, basé sur un système en Peer-to-Peer (P2P) qui permet l’échange de données et la mise en relation entre utilisateurs.

 L'autre problème concerne les annuaires utilisés dans les protocoles de VoIP, car il permet de trouver le nom d’une personne et de l’appeler.

 Une simple connexion ente deux pairs, même avec un appel fermé ou refusé, suffit pour rendre visible l’adresse IP.

 A l'heure actuelle, aucun paramètre de sécurité sur Skype ne permet de bloquer une communication.

 En attendant un correctif de la part de Microsoft, qui a racheté le logiciel Skype, en collaboration avec l'Inria, il est recommandé de :

- ne pas laisser Skype ouvert lorsqu'on ne s'en sert pas

- ne pas utiliser son nom et prénom comme pseudonyme

- ne pas utiliser d'autres logiciels de communication instantanée en P2P comme MSN, Windows Live Messenger, Yahoo

messenger...


Source : Site Inria

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 22 Juin 2011

dropbox

 

 Dropbox, le service de stockage et de partage de fichiers en mode cloud computing, a confirmé sur son blog que les comptes des utilisateurs, tout de même 25 millions de membres, étaient accessibles sans mot de passe durant 4 heures dans la nuit de dimanche à lundi.


Dropbox  des comptes sans mot de passe

 Suite à une mise à jour du site, une faille dans le module d’authentification a donné l'accès aux comptes sans aucune vérification, ce qui signifie qu'un internaute avec une adresse mail d'un compte existant (rien de plus facile à trouver !!) pouvait se connecter avec n'importe quel mot de passe.

 Pour rassurer ses membres, Dropbox indique que seulement 1% des utilisateurs se sont connectés (1% de 25 millions ça fait quand même 25 000 personnes qui ont eu accès aux comptes). Par précaution, elle analyse les journaux de connexion (logs) pour vérifier les accès aux comptes, si des comptes ont été victimes de cette faille, les propriétaires seront informés par mail.

 Dans le doute vous avez la possibilité d'en savoir plus :

- Déjà vérifier l'intégrité de vos fichiers

- Envoyer un courrier à Dropbox : support@dropbox.com

- sur le forum officiel : Forum Dropbox


 Malgré des excuses de la part de la société, voilà une affaire qui risque de remettre en cause la sécurité des données personnelles et privées dans les "nuages".


L'informatique dans les nuages

 Regardez cette vidéo pour mieux comprendre l'avenir du Cloud computing.


 

Source : Blog Dropbox

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 7 Juin 2011

adobe

 

 Contrôlez votre version du plugin Flash Player car une faille de sécurité vient d'être corrigée par Adobe.

 Cette vulnérabilité concerne les versions depuis la 10.3.181.16 et les versions antérieures (10.3.185.22 sous Android).

 Dans son bulletin de sécurité, l'éditeur signale que cette faille peut "être utilisée afin de contrôler le compte d'un utilisateur sur un site Web ou un webmail, si les utilisateurs consultent un site malveillant". Attention de ne pas cliquer sur un lien malveillant diffusé via un mail.

 Il va de soi que si votre version est concernée, il est recommandé de mettre à jour Flash version 10.3.181.23 sous Internet Explorer et 10.3.181.22 pour les autres navigateurs sous Windows, Mac OS X, Linux ou Solaris.

 Par contre, concernant le navigateur Google Chrome, les utilisateurs devront faire leur mise à jour, Chrome intégrant son propre add-on Flash.

 Pour Android, Adobe proposera un correctif dans la semaine.


 Pour contrôler votre version Flash installé : version Flash


 Pour télécharger la dernière version : Adobe Flash Player 10.3.181.23


Source : Bulletin Adobe

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 14 Avril 2011

avast

 

 L'éditeur d’antivirus Avast Software a publié lundi une mise à jour de son logiciel, ce dernier a détecté de nombreux sites web sains comme infectés.

 Ce faux positif incombe à la publication de la mise à jour 110411-1 qui contenait une erreur, d'où un début de panique pour certains internautes en surfant sur la toile, le logiciel détectait des sites web comme malveillants, parce qu'ils contenaient le même format de script.

 Avast a présenté, envers ses clients, des excuses et a fait en sorte de corriger rapidement ce problème qui a affecté 4% d'utilisateurs sur 130 millions.

 Par contre, l'éditeur recommande sur son blog, pour les internautes ayant toujours un problème avec la version 110411-1, d'effectuer une mise à jour manuelle pour installer la 110411-2.

 Il faut pour cela cliquer avec le bouton droit sur l'icône de l'antivirus situé sur la barre de tâches.
 Ensuite, sélectionner l'option de mise à jour.


Source : Blog Avast

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 13 Avril 2011

 

adobe

 

 Adobe émet un bulletin d'alerte concernant une nouvelle faille jugée comme critique dans Flash Player pour Windows, Macintosh, Linux, Solaris et Android.

 La faille concerne les versions :
- Flash Player 10.2.153.1 et versions antérieures pour Windows, Mac OS, Linux et Solaris
- Flash Player 10.2.154.25 et versions antérieures pour Chrome
- Flash Player 10.1.156.12 et versions antérieures pour Android

 La technique utilisée par les cyberpirates est classique, la vulnérabilité est exploitée par mail dans une pièce jointe contenant du code Flash malveillant (.swf) dans un document Word (.doc) afin de prendre possession de l'ordinateur de la victime.

 Les documents Word portent comme nom :

- Disentangling Industrial Policy and Competition Policy.doc
- Japan Nuclear Weapons Program.doc


adobe-spam-flash


 Pour l'instant, Adobe n’a pas précisé de date pour la sortie d'un correctif.

 Comme les navigateurs intègrent le plugin Flash player, utilisée pour lire les contenus multimédias des sites Internet, il serait plus prudent, jusqu'à la diffusion du patch, de désactiver ce plugin dans votre navigateur web ou pour plus de sécurité désinstaller Flash Player. Attention sans composant Flash, certains sites risquent de ne pas fonctionner correctement.

 En attendant, méfiez-vous des mails avec en pièce jointe des documents Word.


Source : Bulletin Adobe

 

Article similaire

 

- Adobe Flash Player infecte les fichiers Excel

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 24 Mars 2011

windows

 

 Microsoft émet un bulletin d'alerte à destination des systèmes Windows XP, Vista, 7, Server 2003 et 2008 concernant une faille dans les certificats SSL.

 Pour rappel, ces certificats sont utilisés pour établir une connexion sécurisée (le fameux protocole HTTPS) entre l'ordinateur de l'internaute et le serveur distant du site auquel vous voulez vous connecter.

 Microsoft alerte que certaines certifications émises par l'autorité de certification Comodo, auraient été compromises sur des sites très connus, en voici la liste :

- login.live.com
 
- mail.google.com
 
- www.google.com
 
- login.yahoo.com (3 certificates)
 
- login.skype.com
 
- addons.mozilla.org
 
- "Global Trustee"

 L'exploitation de faux certificats peut permettre à des cyberpirates à usurper l'identité de ces sites et de mettre en place des attaques de phishing, de prendre le contrôle de votre machine, d'installer des programmes malveillants sur votre ordinateur...

 Microsoft propose un patch à télécharger pour résoudre ce problème : patch certificats SSL


 Source : Alerte sécurité (eng)

 Complément d'info :
- Vérifier un certificat numérique

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 23 Mars 2011

adobe

 

 Adobe propose un correctif pour combler la faille critique 0-day découverte la semaine dernière sur Adobe Reader et Flash Player.

 Il faut savoir que la mise à jour sur Flash Player ne se fait pas automatiquement, c'est aux utilisateurs de contrôler la version du lecteur. Adobe met à disposition une page pour vérifier les versions

Vérifiez que vous ayez la version 10.2.153.1, sinon il faut la télécharger

- Cliquez sur le lien Player Download Center.
- Cliquez sur le bouton Téléchargez dès maintenant.
- Enregistrez le fichier.

 Avant de faire l'installation, quitter toutes vos applications Internet.

 La mise à jour concerne les systèmes Windows, Macintosh, Linux et Solaris.

 Au sujet d'Adobe Reader,

Une mise à jour est prévue pour MAC, passez à la version 9.4.3, ou à la 10.0.2 sous Mac OS X pour les utilisateurs de Reader/Acrobat X.

Pour la version 10.0.1 de Windows, protégé par le bac à sable (Sandbox), la faille sera corrigée lors du prochain correctif trimestriel prévu vers le 14 juin.


 Il est recommandé de faire les mises à jour le plus rapidement possible.

Les versions corrigées peuvent être téléchargées sur le site d'Adobe

- Télécharger Flash Player version 10.2.153.1

- Télécharger Adobe Reader X (10.0.1) pour Windows

- Télécharger Adobe Reader autres versions


Source : Bulletin Adobe Reader - Bulletin Flash Player


Article Similaire

- Alerte sécurité Flash Player et Adobe Reader

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 16 Mars 2011

adobe

 

 Adobe confirme, dans une alerte sécurité jugée comme critique, l'existence d'une faille dite 0-day (exploitée et non corrigée) sur Flash Player.

 Attention une attaque ciblée par mail est signalée à partir d'une pièce jointe au format Excel (.xls) intégrant un fichier Flash (.swf) dans le but d'installer du code malveillant pour infecter votre ordinateur

 Cette faille concerne tout le monde car, en exploitant cette vulnérabilité, les cyberpirates peuvent prendre le contrôle à distance de Windows, Mac OS, Linux, Solaris et même Android.

 Par contre, Adobe ne compte pas corriger la faille immédiatement, mais prévoit un correctif à compter de la semaine prochaine.

 A noter que le lecteur Adobe Reader 10.x et antérieur peut être touché par cette vulnérabilité car, il peut exécuter du contenu au format SWF, à l'exception pour une fois de la version pour Windows car, elle inclut un mode protégé dit bac à sable anti-exploit (Sandbox), il évite que des attaques accèdent au système d'exploitation.

 Mais, il reste beaucoup d'Internautes qui utilisent encore des versions antérieurs, eux sont vulnérables jusqu'à la mise en ligne du patch.

 En attendant, vous pouvez appliquer par sécurité ces préventions :


 Pour Flash Player :

- Désactiver la prise en charge de Flash dans votre navigateur web

- Désinstaller le plug-in Flash Player : sur Windows 
Menu Démarrer / Panneau de Configuration / Ajout/suppression de programmes

Mais ces solutions risquent de perturber votre navigation sur certains sites Internet


 Pour Adobe Reader :

- Installer la dernière version pour Windows : Adobe Reader X (10.0.1)

- Utiliser un lecteur alternatif


Source : Adobe

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0

Publié le 17 Février 2011

Faille critique dans le protocole SMB de Windows

 

La société de sécurité Vupen émet une alerte jugée comme "critique" sur une vulnérabilité concernant le système d'exploitation Windows pour les versions Windows XP SP3 et Windows Server 2003 SP2.

Cette faille dite 0-Day (non découverte et non corrigée) touche le protocole SMB (Server Message Block) qui permet le partage des fichiers et de certains périphériques comme les imprimantes sur un réseau local.

A savoir qu'un internaute se faisant appeler "Cupidon-3005", a publié le jour de la Saint-Valentin (d'où son pseudo), l'exploit de cette vulnérabilité.

Si elle est exploitée par des pirates informatiques, ils peuvent lancer des attaques du type Ddos (déni de service) ou exécuter du code malveillant en prenant le contrôle de la machine infectée.

Dans un communiqué sur le site de Computerworld, Microsoft étudie l'existence et le degré critique de cette faille, du côté du MSRC (Microsoft Security Response Center) la question est de savoir de quelle manière ils vont corriger ce problème à savoir soit mettre en ligne un correctif, soit sous forme de recommandations aux utilisateurs "Fix-It".

Sachant que la prochaine mise à jour (Patch Tuesday) est prévue le 8 mars, elle pourrait également corriger ce bug.

En attendant soyez prudent lorsque vous surfez et pensez à vérifier votre ordinateur avec les dernières mises à jour de vos outils de sécurités : Antivirus - Antispywares...

 

Voir les commentaires

Rédigé par Cybersecurite

Publié dans #Failles Sécurité

Repost 0