Window Maker, sans conteste le meilleur gestionnaire de fenêtre sous X, a des problèmes avec la lecture des images. Des crackers, en créant des images "spéciales", peuvent faire executer du code lorsque WindowMaker lit ces images, lors d'une prévisualisation d'un thème par exemple.

Afin de vous protéger contre ces méchants pirates, rien ne vaut un apt-get update && apt-get upgrade.

Note du modérateur : L'alerte de sécurité n'a été diffusée que par Debian, donc même si la première partie de la news (et cette note aussi) est un gros troll la deuxième ne l'est pas. Si vous avez peur que votre distribution soit infectée vous pouvez aussi faire emerge unmerge wmaker && emerge fluxbox

Dans le cadre du thème Sécurité des Rencontres Mondiales du Logiciel Libre 2003, nous avons décidé d'organiser une rump session le Vendredi 11 (matin). Une adresse d'inscription est ouverte depuis aujourd'hui : security-rump@lsm.abul.org .

Je sollicite donc vos contributions. Cette rump session est l'occasion de présenter des travaux récents en matière de sécurité. Les sujets retenus auront droit à 10 min d'exposé et 5 min de questions.

Merci à tous ! Venez nombreux aux RMLL !

NdM : (tiré de l'annonce sur fr.comp.securite) « la rump session permet à des personnes de venir présenter brièvement des sujets particulièrement intéressants. Nous prévoyons 10 min d'exposé puis 5 min de questions. »

Après plusieurs mois de travail, la première version stable du LiveCD NuFW.Live est disponible. Basé sur une knoppix, ce LiveCD permet à ses utilisateurs de tester facilement et rapidement les fonctionnalités du pare-feu NuFW, et les outils d'administration qui permettent de le gérer : Nulog2, Nuface2 en RC4, pyctd le "tueur de connexion Netfilter" ...

Le LiveCD contient également NuApplet2, un client NuFW pour Linux, ce qui permet de réaliser des tests sans rien installer, en utilisant le LiveCD sur deux machines.

NuFW.Live [version 1.0.1] est téléchargeable en HTTP et en Bittorent. Les volontaires pour fournir un miroir de téléchargement seront les bienvenus.

Microsoft a lancé un bulletin de sécurité dont ils ont le secret : deux failles dans ... Media Player !
Le truc : les scripts dans les skins de ce programme et les streams qui peuvent permettre aux virtuoses de jouer avec votre PC :)

A ce rythme, on pourra bientôt faire du MSAnyWhere grâce à Notepad...

Tous les serveurs sous ProFTPd sont vulnérables à un déni de service. Il suffit de se connecter normalement puis de lancer la commande
ls */../*/../*/../*/../*/../* (etc.) pour que le démon prenne subitement toutes les ressources (cpu et mémoire) de la machine qui finit par s'écrouler.
Le serveur FTP de NetBSD semble avoir le meme problème et il est possible que d'autres logiciels soient concernés par la meme faille.
L'équipe de ProFTPd tente de résoudre le bug, classé critique.

update: PureFTPd, qui n'aurait pas avoir avoir ce bug (mais qui l'a quand même). L'auteur s'est fait avoir à son propre jeu, hihihi :-)

Vous avez besoin d'un routeur ou d'un firewall, mais vous êtes fauché, ou radin, et en plus feignant. Vous voudriez bien utiliser le vieux clou et son disque dur de 200 Mo...

Smoothwall est fait pour vous: téléchargez une petite iso, brûlez là, et voilà! Le CD est autoboot, s'installe en un clin d'oeil, reconnait automatiquement le materiel PCI, se configure par une page web... Le travail est tout mâché...

Merci qui?

Le module apache "mod_eaccess", développé au départ par Patrick ASTY, est maintenant maintenu par HSC, et à cette occasion la documentation française a été rédigée.

Cet article présente l'installation et la configuration d'un système de filtrage pour un site type "e-commerce", de l'architecture à adopter jusqu'à la configuration d'apache.

Intéressant, pour ceux qui sont concernés par la sécurité de leur site...

Le CERTA ( Centre d'Expertise gouvernemental de Réponse et de Traitement des Attaques informatiques ) publie un bulletin d'alerte sur le risque de divulgation de données personnelles/confidentielles par des produits Microsoft. Une solution dite "provisoire" est apportée, mais aucune sur un éventuel changement d'OS.

A cause d'une mauvaise gestion des arguments trop longs, la fonction d_path() des noyaux Linux jusqu'au 2.2.20 et 2.4.18 permettent l'execution des processus avec des privilèges usurpés. Pensez à mettre à jour !

Des failles de sécurité dans openssl 0.9.6d ou inférieur ou 0.9.7-beta2 ou inférieur ont été découvertes par A.L. Digital Ltd et The Bunker lors d'un audit de securité. Pas moins de 4 vulnerabilités sont exploitables.

Suite à l'article précédent sur systrace GTK (définition interactive des droits d'accès d'un programme aux appels systèmes, et peut-etre le meilleur IDS pour linux) voici fireflier QT, qui permet de définir interactivement les règles du firewall iptables et d'etre sollicité quand des paquets sont refusés.
Avec ces 2 systèmes, avoir une sécurité maximale sous Linux n'a jamais été aussi simple. Ou presque.

Il nous manque maintenant cruellement le meme genre d'outil pour la sécurité de X : par défaut tous les process qui accèdent à un serveur X peuvent observer et interagir avec le clavier et toutes les fenetres de ce serveur ! Ce qui rend systrace et fireflier en partie inutiles (pensez aux overflows dans les programmes internet qui ont accès à votre serveur X, comme votre browser ...)

Trois vulnérabilités ont été identifiées dans OpenSSL, elles pourraient être exploitées par un attaquant distant afin de causer un Déni de Service (DoS) :
Le premier problème se situe au niveau de la fonction "do_change_cipher_spec()", le second au niveau d'une mise à jour ajoutée à la version OpenSSL 0.9.6d, la dernière vulnérabilité se situe au niveau de la routine utilisée pour le handshake SSL/TLS combiné à Kerberos ciphersuites.

Toutes les versions de 0.9.6c à 0.9.6l ainsi que de 0.9.7a à 0.9.7c sont vulnérables. Ils faut mettre à jour vers les versions 0.9.6m ou 0.9.7d en prenant soins de recompiler les binaires liés statiquement à cette librairie.

Les liaisons WiFi sont fréquemment protégées par un algorithme de chiffrement, le WEP. Il utilise une technique de chiffrement faible, mais il apparaît aujourd'hui nettement insuffisant : une équipe de chercheurs a réussi à casser des clefs en quelques secondes (là où plusieurs minutes étaient nécessaires auparavant). L'algorithme est disponible, avec le code utilisé pour la démonstration.
En parcourant l'archive des sources (aircrack.c dans l'archive), il semblerait que cet exploit soit un dérivé d'aircrack utilisant une autre méthode attaque. Il s'appuie sur la fragmentation des paquets et l'utilisation des en-têtes LLC/SNAP.

L'exploit ne tourne pour le moment que sur une machine FreeBSD munie d'une carte atheros et d'une carte prism2, mais le code source étant disponible, ces limitations logicielles et matérielles risquent de sauter.

Le WEP est donc devenu définitivement inutile après près de 7 années de service, dont 3 alors qu'existait une alternative garantissant un meilleur chiffrement, le WPA.

Dans un article en 3 parties, les différentes solutions de firewalling sous Linux sont passées en revue. La première partie concerne les solutions Open Source.
L'article commence par les rappels concernant les bases, ( différentes architectures, IPchains ... ), puis analyse les différentes solutions proposées.