La faille se trouve plus exactement dans le fichier Win32k.sys et plus précisément dans la fonction NtGdiEnableEUDC, qui était sensible aux attaques de type buffer overflow, et donc pouvait altérer d’autres zones mémoires susceptibles de provoquer une élevation de droits.

La faille a été trouvée par une société qui s’appelle PrevX, et a contacté Microsoft pour patcher la faille. Cette dernière a publiée une vidéo de démonstration que vous pouvez voir ci-dessous :

Il a pu inclure le programme de commande en ligne ‘cmd’, Adobe Reader affiche un message d’avertissement, mais avec un peu de social-engineering, il existe un moyen d’ajouter un message personnalisé pour tromper l’utilisateur et le pousser a ignorer l’avertissement et continuer l’opération. Foxit Reader parcontre ne se rend compte de rien et exécute le programme sans le moindre petit soupçon.

Le chercheur en sécurité n’a pas voulu partager son exploit publiquement, pas encore selon lui, il a d’ailleurs contacté Adobe pour qu’ils règlent le problème, mais la majorité des utilisateurs ne mettent pas leur programme à jour, et ça risque de faire des victimes. surtout si un virus ou un trojan exploite cette vulnérabilité et l’utilise pour se propager.

La démonstration dans la video ci-dessous :

La cause est très simple, le navigateur possède un bouclier qui s’appelle « le bac à sable » ou « sandbox » en anglais. un système implanté dans le navigateur qui permet de séparer l’exécution des codes malveillants et l’application elle-même. Microsoft avait intégré un système similaire dans la version IE8, Mais jusqu’à prèsent personne ne connait vraiment le fonctionnement de ce système. On en saura sûrement davantage dans les années qui viennent, lorsque d’autres technologies vont apparaître, les sandbox seront alors banalisés, et on aura d’autres critères et fonctionnalités pour pousser la course des navigateurs.

Source : Eureka, cnet

vBulletin le fameux script payant de création communautaire qui est bien connu par son plugin SEO et sa sécurité, a vu ces derniers jours des vulnérabilités XSS exploitables, un pirate peut s’emparer des cookies appartenants à d’autres utilisateurs et prendre le contrôle de leurs comptes juste en lui envoyant un lien appartenant au site en intégrant son code malveillant.

Ces failles de sécurité sont rectifiés dans la version PL 4.

Les versions vulnérables sont :
VBulletin 4.0.2
VBulletin 4.0.2 PL 3
VBulletin 4.0.2 PL 2

Sécurisé a partire de :
VBulletin 4.0.2 PL 4

Source : securityfocus

Google change de dialogue, et surtout de comportement vis à vis de la Chine, en fait, Google jusque là coopérait avec la censure chinoise, en censurant ses propres résultats, mais depuis quelques jours, la censure est levée, et les chinois peuvent désormais accéder aux résultats qui étaient tant censurés, Google a posté un article sur son blog officiel, disant que cette nouvelle politique est une réponse aux attaques menées par des pirates Chinois qui travaillent pour le gouvernement de Pékin.

Des ingénieurs de Google ont réussi à hacker un serveur Taïwanais qui selon eux est à l’origine des attaques Chinoises, et selon leur analyse, les Chinois ont accédé à plusieurs infrastructures de firmes Américaines tel que Adobe Systems, et Symantec, au total plus d’une dizaine de sociétés ont été hackés, Google ajoute que les chinois ont mis la main sur des projets confidentielles dont la propriété  intellectuelle revient à Google, et du coup « THEY GOT SO DAMN MAD ! » qu’ils ont renoncé à la censure.

Que va-t-il se passer ensuite ? La Chine bloquera t-elle l’accès à Google ? ce qui est sûr c’est que des tensions fortes sont actuellement entre les USA et l’empire Chinoise, l’administration Obama, ne sait plus quoi faire non plus, mais dit qu’elle va apporter une réponse au sujet dans les jours qui viennent, à noter que la maison blanche à montrer son soutien à la firme Californienne.

Selon un rapport, l’attaque serait baptisé « Operation Aurora » et aurait utilisé une nouvelle faille de IE selon McAfee,  actuellement les ingénieurs de Google et de Microsoft travaillent ensemble pour réparer la faille.

Serait-elle une annonce du début de la première CWW ? Cyber World War =)

Une affaire à suivre …

Architechture du noyau - kernel

On vient de découvrir une faille de sécurité dans le kernel 2.6.32-RC8 de linux , et qui s’avère très dangereuse . On peut provoquer des failles dans ip_dfrag() de  la pile de TCP/IPV4  (net/ipv4/ip_fragment.c), ce qui peut provoquer des dé-référencements du pointeur, et par la suite le système se plante.

Cette faille peut être exploité par des utilisateurs qui sont enregistré dans le même système et qui son moins privilégiés pour exécuté du code malicieux au niveau du noyau. pour résoudre le problème dans la version Linux 2.6.32-RC8 il suffit de passer à la version finale du kernel, ce qui est déjà fait par les distributions connus, mais cela n’empêche que la plupart des systèmes ne son pas encore mis à jour.

En même temps les distributions profitent de cette mise à jour pour intégrer la résolution du problème de gestion du système de fichiers Ext4, ce dernier a connu un bug qui se manifeste dans l’insuffisante de vérification des privilèges lors d’utilisation de la commande pvmove « move extents », un bug qui peut être exploité pour écraser des fichiers système arbitrairement ce qui peut paralyser le système ou encore changer les privilèges d’un utilisateur pour gagner les privilèges du « root ».

Le système de fichiers Ext4 est inclut par défaut dans quelques distributions (OpenSUSE 11.2, Ubuntu 9.10 (Karmic Koala), Fedora Core) ce qui les rend vulnérables. De nouveaux paquets d’installations pour résoudre le problème seront de plus en plus disponible.

La nouvelle version qui vient d’être publiée, avec un patch de mise-à-jour qui change beaucoup de fichiers et du coup on a fait des erreurs dans la création de cette version , c’est sûr que c’est une mise-à-jour très importante mais sera capable de déstabiliser le site au profit de la sécurité. il fallait faire les testes ,mais bon, déjà les développeurs de SMF recommandent de faire un backup avant de procéder avec une mise-à-jour. mais bon espérons que le problème sera réglé très prochainement, sinon il y aura beaucoup de webmasters qui vont changer leur SMF.

Pour plus d’informations rendez-vous au site officiel de SMF

XOOPS est un  CMS(content manager script), un script de gestion de contenu, comme plein d’autres connus : joomla, wordpress, subdreamer…etc, l’abreviation XOOPS c’est pour  eXtensible Object Oriented Portal System, ce qui veux dir que tous le scripts sont écrit en Programmation Orienté Objet ce qui le rend facile dans l’utilisation et facile à modifier.

Comme tous les projets OpenSource, on peut accéder à la source et donc voir tout ce qui se passe derrière, et par la suite pouvoir scanner et trouver les failles plus facilement.

La faille trouvée réside dans le fait que Xoops et incapable de déterminer et vérifier proprement les permissions de « activation_type » quand un renvoi d’e-mail d’activation de profile est demandé, tous les version inférieur a XOOPS  2.4.1 sont affectés.
source: http://www.xoops.org/modules/news/article.php?storyid=5096

L'éléphant symbole du langage PHP

Une faille découverte récemment permet de mettre le serveur en DOS (Denial Of Service) empêchant toute réponse à d’éventuelles requêtes, la faille consiste à envoyer des fichiers sur le serveur, en upload simultanément. Les différents systèmes ont agit chacun d’une manière différente, certains ne pouvaient lister le répertoire /tmp/php où ces fichiers étaient uploadés avant d’être déplacés dans le répertoire de destination, d’autres listaient le répertoire avec des millions de fichiers, mais ne répondaient pas à la requête. Le gagnant si j’ose dire est OpenBSD qui lui répond tout de même aux requêtes et sa charge CPU commençait à descendre après la fin de l’attaque, contrairement à Windows ou Ubuntu ou encore FreeBSD.

Les solutions possibles pour patcher le problème  :

Soit de changer le paramètre file_uploads = Off dans le fichier php.ini rendant tout upload impossible, si vous en avez pas besoin.

Soit de mettre à jour PHP vers 5.3.1 ou supérieure et là toujours dans le fichier php.ini un nouvel paramètre a été pris en charge celui de max_file_uploads = 20, qui est par défaut 20 même si le paramètre n’est pas présent dans le fichier de configuration.

Pour plus d’informations lisez ce petit rapport qui est accompagné de tests sur différents OS, et avec une petite analyse pour mieux comprendre ce qui se passe.