Une nouvelle version d'apache est disponible 2.0.45 afin de contrer les attaques de types DoS, qui sont destinées à saturer un réseau et ainsi à rendre inaccessible les requêtes fondées.

Il semblerait que pour la version 2.0.44 tous les OS soient touchés. Et que malheureusement pour Os/2 cette nouvelle mouture ne règle pas entièrement les problèmes, il faudra attendre la 2.0.46.

• Apache Week (0 clic)
• ZdNet Fr (0 clic)
• Apache HttPd (0 clic)
• ChangeLog (0 clic)

Une nouvelle faille de sécurité vient d'être mise à jour dans Sendmail, versions 8.12.8 et précédentes. Il n'est pas impossible que cette faille puisse mener à un accès root distant. Elle serait aussi plus facilement exploitable sur les systèmes petit boutistes. Seuls les systèmes dont le type char est signé sont vulnérables tels quels.
Bien sûr une version corrigée de Sendmail est d'ores et déjà disponible

• Site de Sendmail (0 clic)
• Alerte (0 clic)
• Page de téléchargement de la version corrigée (2 clics)

Phpnuke est un CMS, Content Manager System très largement utilisé sur Internet. Il serait utilisé par plus de 25.000 webmasters afin de construire leur site facilement en php et en utilisant la base de données MySQL. Une importante vulnérabilité vient d’être découverte dans un des scripts PHP composant Phpnuke, permettant de modifier n’importe quel article en ligne sur un site utilisant le système phpnuke.

• L'article sur isecurelabs.com (0 clic)

Une importante faille de sécurité a été découverte dans le noyau Linux par Andrzej Szombierski. Elle permet aux utilisateurs locaux de gagner les privilèges du super-utilisateur (root) grâce à un bug dans l'appel système ptrace. La mise à jour immédiate de votre noyau est donc chaudement recommandée.

La faille est corrigée dans Linux 2.2.25 pour le noyau 2.2, et un patch est fourni par Alan Cox pour les noyaux 2.4. Les versions 2.0 et 2.5 ne sont pas vulnérables (de lapin).

• L'annonce sur la LKML et le patch pour Linux 2.4.X (1 clic)
• Linux 2.2.25 (0 clic)

La "SuSe security Team", durant un audit du code source de Samba, a découvert une faille dans smbd qui permettrait à un utilisateur externe d'obtenir à distance et anonymement les droits root sur la machine qui fait tourner le serveur. Cette faille existe dans toutes versions 2.X jusque (et inclus) la 2.2.7a. La version 2.2.8 a été annoncée aujourd'hui et contient un patch correctif.

Il est fortement conseillé de mettre à jour immédiatement.

• Annonce (0 clic)
• Le site de Samba (0 clic)
• Source (0 clic)

Une défaillance dans le binaire lprm (utilitaire pour effacer des travaux partis à l'impression) de OpenBSD rend la possiblité d'exploiter le système avec les privilèges du propriétaire de lprm.

Cependant, depuis OpenBSD 3.2, cet utilitaire appartient à l'utilisateur daemon et non root ce qui limite les possibilités.
Des correctifs sont disponibles.

• Errata (1 clic)
• alerte (2 clics)

Un faille de sécurité vient d'être découverte dans Sendmail. Celle-ci peut donner un accès root à une personne non autorisée. Il n'y a pas d'exploit connu à l'heure actuelle, mais chacun est très fortement encouragé à patcher son système ou à passer à la dernière version, dans les plus brefs délais.

NdM: Encore un buffer overflow dans Sendmail. La protection contre l'exécution de la pile semble être inefficace ici. Pas encore d'infos sur l'efficacité de StackGuard/ProPolice vis à vis de cette faille (en fait, il n'y a pas encore d'exploit pour tester si ProPolice fonctionne ou pas dans ce cas). RedHat et OpenBSD semblent être les premiers à avoir livré des patchs pour leurs systèmes respectifs.

N'hésitez pas à poster en commentaire les URIs vers les patchs de votre système/distribution favorite !

• La dernière version de Sendmail (1 clic)
• Annonce sur le site d'ISS (1 clic)
• Liste des correctifs pour Red Hat (1 clic)
• Correctif pour OpenBSD (0 clic)

Le RedHat Advanced Server 2.1 est la première distribution à être certifiée COE. La certification a été réalisée sur un IBM eServer® xSeries® 330 . La certification COE (Common Operating Environment) est nécéssaire pour l'utilisation d'un système d'exploitation par l'armée Américaine dans les domaines critiques : commande, contrôle, communication, etc...

Jusque là, cette dépêche fait de la propagande pour RedHat.
Mais elle fait écho à une dépêche précédente sur le manque de confiance des Américains sur les solutions GNU/Linux et peut les rassurer. Enfin, ce n'est pas si spécifique RedHat que ça. J'ai jeté un coup d'oeil au fichier .spec de construction du noyau et je n'ai rien trouvé de spécifique à cette certification (mais je peux me tromper). Bref, cette certification ne dénature pas GNU/Linux et est à la portée de tous les distributeurs.

NB: le RH SA n'est pas très « accessible ». Il est coûteux et seules les sources sont disponibles en téléchargement.

• L'annonce (0 clic)
• Les sources RH SA (0 clic)
• Les mises à jour (sources) (0 clic)
• Les mises à jour (0 clic)
• Aux Etats-Unis, on se méfie de Linux (dlfp) (0 clic)

Suite à l'article précédent sur systrace GTK (définition interactive des droits d'accès d'un programme aux appels systèmes, et peut-etre le meilleur IDS pour linux) voici fireflier QT, qui permet de définir interactivement les règles du firewall iptables et d'etre sollicité quand des paquets sont refusés.
Avec ces 2 systèmes, avoir une sécurité maximale sous Linux n'a jamais été aussi simple. Ou presque.

Il nous manque maintenant cruellement le meme genre d'outil pour la sécurité de X : par défaut tous les process qui accèdent à un serveur X peuvent observer et interagir avec le clavier et toutes les fenetres de ce serveur ! Ce qui rend systrace et fireflier en partie inutiles (pensez aux overflows dans les programmes internet qui ont accès à votre serveur X, comme votre browser ...)

• fireflier interactif (1 clic)
• mason, non interactif firewall builder (2 clics)
• article sur systrace (4 clics)

Le PHP Group vient d'annoncer qu'un trou de sécurité avait été découvert dans la version CGI de PHP 4.3.0, la toute dernière version en date du célèbre langage de script, très utilisé sur le web.

PHP 4.3.1, corrigeant ce trou de sécurité, vient de sortir dans la foulée. Tous ceux qui utilisent la version CGI de PHP 4.3.0 sont évidemment fortement invités à mettre à jour leur version de PHP.

NdM : Merci à Christophe Guilloux d'avoir également proposé cette dépêche.

• PHP (0 clic)
• Description de la faille (0 clic)
• Page de téléchargement (0 clic)

Afin d'étendre le nombre des noms de domaines disponibles, et donc son C.A, VeriSign a décidé d'imposer les URL avec support des accents.
Ce n'est qu'une première étape avant le support des langues non européennes, et à terme chinois, cyrilliques, arabe devraient faire leur apparition.
Seul problème, VeriSign y va à la hache, à coup de plugin sur les serveurs DNS de base (TDS), sans attendre l'autorisation de l'ICANN. Pas sympa.
Du coup deux problèmes se posent. 1) D'après l'ICANN ces plugins compromettraient la sécurité du DNS. Et 2) Va-t-on faire la fin du Web universel ? Car accéder à des sites chinois par exemple depuis sa barre d'adresse risque pour des occidentaux de devenir extrêmement compliqué...

• VnuNet (0 clic)
• On en parlait en 2000 sur DLFP (0 clic)

L'Open Web Application Security Project (OWASP), organisation de volontaires publiant des outils logiciels et bases de connaissance Libres sur la sécurisation des applications web, a publié une étude portant sur les 10 vulnérabilités (trous/failles de sécurité) les plus courantes des applications et services web.
Le rapport est au format PDF et pèse 336 Ko.

• The Open Web Application Security Project (OWASP) (0 clic)
• Le rapport en PDF (336 Ko) (3 clics)
• Web Application Security Mailing List (2 clics)
• Web Application Security Mailing List - Charter V1.0 (0 clic)

L'ouverture d'un fichier texte sous VIM peut déclencher l'exécution d'un code malicieux. Cet exploit posté mardi dernier sur neworder et mis en forme pour réaliser un ver, peut être évité en ajoutant la ligne "set modelines=0" dans votre .vimrc.

Note du modérateur : comme d'hab, mettre à jour avec les nouveaux paquets fournis par l'équipe sécurité de votre distribution. J'ai rajouté les liens vers les 4 dernières références.

• L'exploit sur Neworder (4 clics)
• CVE CAN-2002-1377 (0 clic)
• Annonce BugTraq (5 clics)
• Annonce Full disclosure (0 clic)
• Annonce Guninski (0 clic)

Le second hors série de linux magazine "le firewall votre meilleur ennemi" vient de paraitre. Sachant que le premier était excellent celui ci s'annonce aussi très bien (je n'ai pas encore tout lu).

La Commission des Lois de l'Assemblée Nationale a adopté un certain nombre d'amendements pour « renforcer » le projet de loi Sarkozy (qui sera examiné le 14 lanvier).

Parmi les amendements proposés, on trouve des éléments pour autoriser les perquisitions informatiques et l'accès aux données des opérateurs téléphoniques et élargir les inscriptions obligatoires dans le fichier des personnes recherchées, de même que le champ du fichier des empreintes génétiques..

• L'article sur Le Monde (2 clics)