Europe Online est un fournisseur d'accès Internet par satellite. Plusieurs failles de sécurité avaient déjà été découvertes par Satspy. Cette fois-çi, il s'agit d'une faille sérieuse à propos de leur site web www.europeonline.net.
Il est effectivement possible de pénétrer dans la partie dite "sécurisée" du site, de se faire passer pour un autre utilisateur et d'obtenir des informations confidentielles le concernant telles que nom, prénom, adresse, numéro de téléphone, adresse email, numéro de carte de crédit, etc.
Il est également possible de modifier le mot de passe de cet utilisateur et d'utiliser alors son compte pour avoir une bande passante plus importante.
Un document a été réalisé pour expliquer de façon approfondie la faille de sécurité.
Une nouvelle version de OpenSSH est disponible. Un bug permet au serveur accedé en ssh de forcer le client en mode agent ainsi que la redirection X11. Des updates sont disponibles pour Debian et certainement d'autres distributions.
De meme pour le programme cron qui est attaquable localement.
A vos updates !
Un problème de sécurité a été découvert lors de l'utilisation de StarOffice en mode multi-utilisateurs. En effet les permissions d'accès au répertoire temporaire /tmp/soffice.tmp sont établies à 0777. Donc pensez à modifier le répertoire tmp par default pour qu'il soit créer dans l'espace utilisateur ($home).
Le réseau de Microsoft aurait été à nouveau piraté. Cette fois-ci, le pirate se serait contenté d'utiliser une faille de sécurité connue dans le serveur IIS de Microsoft. La firme de Redmond avait même développé un pacth pour fixer ce problème... patch qui n'a pas été appliqué à toutes ses machines !
Les "security-scripts" de FreeBSD viennent d'être portés pour Linux !
Ces scripts permettent à quiconque de vérifier certains points vitaux de sa box (vérification des suid, des umasks, des root-kits, les logs, les bons droits...), bref que du bonheur (enfin pour une linuxbox).
Sysadmin sous Linux ? ca s'améliore ,-)
En lisant zipiz.com, je suis arrivé sur digital-network.org
J'ai remarqué que http://www.digital-network.org/php/ était accessible, et notamment http://www.digital-network.org/php/phpMyAdmin/
Avec accès d'administrateur sur la base de données !!
C'est d'autant plus marrant quand on sait qui a créé le site...
Et ca tourne sur
Server: Apache/1.3.9 (Unix) Debian/GNU mod_perl/1.21_03-dev
Note du modérateur: Cette news nous est parvenue hier. Nous avons preferé attendre que le problème soit corrigé avant de laisser passer l'info.
De nouvelles photos des "gourous" (Bindview Razor, Security Focus, l0pht, atstake, NMRC, etc).
"Spread the word!
As already stated this project can only be a success if enough people are forming a critical mass to keep the project alive through their contributions. Therefore spread the word! This project gives the Open Source Community the unique possibility to design and develop better, easier, and more sophisticated security solutions than already available from commercial suppliers. Do not hesitate and consider this project a technological challenge. Once again - spread the word!"
(NdM) En résumé, le projet d'un antivirus opensource ne pourra fonctionner que si suffisament de personnes y contribuent. Donc si vous voulez des solutions meilleures que les solutions commerciales existantes, contribuez !
Pour plus d'infos, voir le site.
En 1997, le gouvernement américain lançait un appel aux chercheurs du monde entier pour qu'ils développent un algorithme cryptographique (autrement dit une méthode de codage secret), destiné à remplacer un standard universel, le DES, une méthode de codage en vigueur depuis 1977. Au bout d'une véritable course qui a duré trois ans et que le gouvernement qualifie "d'olympiades de la cryptographie", c'est une équipe de deux chercheurs belges (Joan Daemen de chez Proton World, et Vincent Rijmen de la Katholiek Universiteit Leuven) qui a remporté la "médaille d'or" de cette épreuve marathon.
En regardant Soir 3 hier soir, je suis tombé en ouverture du journal sur deux reportages plus qu'intéressants.
Le premier concernait Echelon, le réseau militaire d'espionnage américain bien connu pour ses dérives vers l'espionnage industriel, ceci à l'occasion de la sortie d'un rapport de l'Assemblé Nationale. Bref, un classique.
Le second reportage est beaucoup plus inquiétant, il concernait l'existence de backdoors ds le célèbre programme de cryptage PGP. Ces backdoors permettraient aux Américains de lire en clair les textes cryptés avec ce logiciel.
Note du modérateur: ces inquiétudes concernant le logiciel PGP avaient déjà été évoquées et sont réelles. Utilisez GnuPG ! :)
Après wanadoo et la lecture des mails voici wanadoo et ses forums...
Sans commentaires ( c'est dur d'etre le plus gros provider francais :) )
LinuxFr.org propose des dépêches et articles, soumis par tout un chacun, puis revus et corrigés par l'équipe de modération avant publication. C'est la partie la plus visible de LinuxFr.org, ce sont les dépêches qui sont le plus lues et suivies, sur le site, via Atom/RSS, ou bien via partage par messagerie instantanée, par courriel, ou encore via médias sociaux.
Ce que l’on sait moins, c’est que LinuxFr.org vous propose également à tous de tenir vos propres articles directement publiables, sans validation a priori des modérateurs. Ceux-ci s'appellent des journaux. Voici un florilège d'une dizaine de ces journaux parmi les mieux notés par les utilisateurs… qui notent. Lumière sur ceux du mois de novembre passé.
Une défaillance dans le binaire lprm (utilitaire pour effacer des travaux partis à l'impression) de OpenBSD rend la possiblité d'exploiter le système avec les privilèges du propriétaire de lprm.
Cependant, depuis OpenBSD 3.2, cet utilitaire appartient à l'utilisateur daemon et non root ce qui limite les possibilités.
Des correctifs sont disponibles.
Suites aux récentes nouvelles vous aimeriez essayer GPG, simplement , au premier abord il se peut que ses concepts de clés, de signature, de keyservers, d'encryption vous paraissent quelques peu hardus. Chez Kuro5hin vous trouverez un tutorial en deux parties où vous serez guidé dans toutes les étapes de la compilation de GPG en passant par l'interaction avec votre logiciel de mail, jusqu'au dépot de votre clé publique. En outre vous y trouverez de nombreux liens, vous permettant de vous tenir au courant et de réagir aux évènements. Bonne lecture.
