IPFilter, qui est aux *BSD ce que IPChains est à Linux (mais en beaucoup plus puissant), comporte une faille dans la gestion des paquets fragmentés.
Par exemple, si le Firewall autorise les connexion vers le port 80 d'un serveur web dans une DMZ, l'exploitation de cette faille permet de se connecter à TOUS les ports ouverts sur cette machine, outrepassant les règles du firewall.
Les détails sont dans un post de Bugtraq, et la version 3.4.17 d'IPFilter corrige ce problème.
Ce journal s'agit en fait d'une sorte de sondage, ou plutôt d'une demande de retour d'expériences.
Je cherche activement à sécuriser mon petit linux des méchants
buffersoverflow et autres joyeusetés... pour une machine x86 en utilisation serveur (PII-266 48moRAM 3goDISK par exemple, mais ne vous heurtez pas à la config, ca pourrai etre un athlon2000+).
dessus ca serai pour utiliser des demons du styles: iptables,dhcpd,ftpd,httpd,sshd
Je cherche à savoir qu'est ce que utilisent les admins qui ont un grand besoin
(…)
Steven Gibson, directeur de Gibson Research, "expert en sécurité sur Internet", déclare dans un article du New York Times que Windows XP serait trop vulnérable aux attaques DOS.
Note du modérateur: un anonyme nous a proposé pour cette nouvelle:
« Les experts en securité Linux savent que les attaques non-spoofing par Internet sont presque toujours genérées par des PC sous environnement Windows. Cela risque d'empirer avec la sortie de Windows 2000 et la sortie de Windows XP. Pour on ne sait quelle raison, Microsoft a equipé Windows 2000 et XP avec la possibilité pour n'importe quel application de générer un méchant traffic Internet, communément connu comme étant une attaque DOS (Denial of Service) !
Des hackers malicieux sont dejá au courant de cette force majeure des nouvelles versions de Windows et ils attendent impatiemment l'arrivée de la "version maison" de Windows XP.»
Un virus/ver assez dangereux (W32/Sircam) circule sur Internet depuis une huitaine de jours. Ecrit en Delphi et utilisant les faiblesses de Windows/Outlook (express), celui-ci se propage en s'envoyant aux correspondants de votre carnet d'adresse avant d'effacer le contenu de votre disque dur...
Il est conseillé aux administrateurs systèmes/réseaux de filtrer les messages contenant ce ver (assez facile à détecter grace à son texte).
Note du modérateur: il est possible de régler définitivement tous ces problèmes en configurant postfix de la manière suivante. Editez main.cf et rajoutez:
body_checks = regexp:/etc/postfix/body_checks
Enfin éditez body_checks et rajoutez:
/^Content-(Disposition|Type): application\/mixed/ REJECT
/^Content-(Disposition|Type):.*name="?.*\.(bat|com|pif|vb|exe|lnk|scr|reg|chm|wsh|js|inf|shs|job|ini|shb|scp|scf|wsc|sct|dll)/ REJECT
Ainsi, tout attachement type executable windows sera refusé systèmatiquement. Il est certainement possible de faire la même manipulation pour les autres daemon smtp.
A tous ceux qui utilisent la version stable de webalizer de Debian et
les autres qui même sans utiliser le package debian utilisent webalizer
1.30 ou 2.0.0, regardez vos statistiques web ; elles risquent bien de
s'être arrêtées au 4 octobre.
Visiblement, il y a des problèmes au niveau des timestamps qui sont
calculés en utilisant une fonction jdate refaite et basé sur le 1er
janvier 1990 (?).
Mozilla et DynDNS ont subi ce bug par exemple (voir urls).
Seule la dernière version 2.0.1 ne semble pas affectée par ce Pb (voir stats li.org).
Solution :
- passer à la dernière version de webalizer
- calculer epoch depuis le 1/1/1970 au lieu du 1/1/1990 :
/* initalize epoch */
epoch=jdate(1,1,1970); /* used for timestamp adj. */
ps : ce n'est pas certain que cette dernière solution corrige tous les problèmes...
Un article intéressant sur l'intérêt des pots de miel et leur mise en place a été publié sur SecurityFocus.
Les pots de miel, à condition d'être bien configurés, sont d'un très grand intérêt éducatif puisque leur but est de permettre d'apprendre les attaques et les méthodologies d'attaque employées par les pirates. C'est un complément très intéressant aux lectures de publications comme "Halte aux hackers" ou "Intrusion Signatures and Analysis" (chez New Riders) et à la mise en oeuvre des exploits publiés sur Bugtraq & cie qui permet de voir en direct la manière de procéder des pirates. Mais la mise en place d'un pot de miel est un art à part entière car si vous ouvrez trop de ports par exemple sur le pot de miel, seuls les script kiddies s'acharneront dessus et l'intérêt est tout de suite moindre.
L'auteur utilise RedHat 7.1 comme pot de miel et Snort comme IDS et s'appuie sur iptables en firewall amont. Seul bémol, il utilise VMWare pour mettre des pots de miel de différents OS sur la même machine et quand on sait que la licence coûte 300USD env. pour la 3.0...
Bien pratique, Linux port/socket pseudo ACLs permet entre autres d'autoriser le bind des ports réservés à root, pour des utilisateurs classiques. Les services qui sont susceptibles d'être défaillant sont ainsi un peu mieux protégés contre une quelconque faiblesse. Cela permet d'éviter de jongler avec les IPChains/Tables. Le patch kernel existe pour Linux 2.4.16/17, 2.2.19/20, 2.5.0/1.
Un trou de sécurité a été
découvert dans plusieurs versions de OpenSSH qui permet
aux utilisateurs ayant un compte de passer r00t !
L'exploit pour cela n'a pas encore été publié...
Le PINE-CERT recommande une mise à jour rapide et
classe ce risque comme HIGH (le patch est déja disponible et
intégré dans le CVS d'OpenSSH).
Liste
Health check d'un service web ou de l'IOT (camera, etc)
camera : ${alignr}${execp curl --connect-timeout 5 --user-agent "Conky HealthCheck" -k -s http://192.168.42.42 >/dev/null 2>/dev/null && echo '${color green}ONLINE${color}' || echo '${color red}OFFLINE${color}' }
Remplacez http://192.168.42.42 par l'adresse de la WEBUI de votre caméra. Certaines caméra utilisent https à la place d'http (il n'y a pas vraiment de différence ici mais il faut l'indiquer dans l'URL)
Health check d'un service web à travers Tor
Pratique pour vérifier la présence en (…)
Les versions de SSHd compilées avec le support Kerberos et AFS souffrent d'un nouveau problème de sécurité. Les conséquences peuvent être dangereuses puisque la faille permet un exploit distant pour les versions inférieures à 2.9.9 et un local pour les autres (jusqu'a 3.3).
Il est à noter que si la séparation de privilèges (à laquelle Niels Provos travaille) est activée, aucun accès privilégié n'est possible...
Une nouvelle version du serveur Web Apache vient de sortir, corrigeant les récents problèmes de sécurité. (NdM: 1.3.26)
Dans un même temps, la société ISS subit un retour de flamme du à sa "mauvaise conduite" lorsqu'elle a commencé le thread sur les problèmes de sécurité d'Apache.
En effet, la procédure (non-formelle) de rapport de bug prévoit que le fabricant d'un logiciel (ou le "groupe" qui développe un logiciel libre) soit mis au courant avant la publication...
ISS n'avait pas jugé nécessaire de le faire mais avait en plus proposé un patch qui ne résolvait pas complètement le problème !
Une nouvelle version pour apache 2.0 devrait apparaitre dans peu de temps...
Un LUG de Houston a découvert la présence d'un Cheval de Troie dans les dernières sources de la libpcap et de tcpdump disponibles sur le site de tcpdump.
Il semblerait que certains miroirs soient deja infectés.
Afin d'étendre le nombre des noms de domaines disponibles, et donc son C.A, VeriSign a décidé d'imposer les URL avec support des accents.
Ce n'est qu'une première étape avant le support des langues non européennes, et à terme chinois, cyrilliques, arabe devraient faire leur apparition.
Seul problème, VeriSign y va à la hache, à coup de plugin sur les serveurs DNS de base (TDS), sans attendre l'autorisation de l'ICANN. Pas sympa.
Du coup deux problèmes se posent. 1) D'après l'ICANN ces plugins compromettraient la sécurité du DNS. Et 2) Va-t-on faire la fin du Web universel ? Car accéder à des sites chinois par exemple depuis sa barre d'adresse risque pour des occidentaux de devenir extrêmement compliqué...
Vu sur /.
Apparemment, une exploit dans le Dashboard de la Xbox permet entre autre d'installer Linux sans avoir à intervenir au niveau matériel. Le détail de l'exploit (voir ci-dessous) est assez complet.
Apparemment l'équipe Free-X a essayé de contacter Microsoft pour l'informer de cette découverte. Microsoft n'ayant pas réagi, FreeX a publié l'exploit.
IBM et SUSE annoncent conjointement que SUSE LINUX Enterprise Server 8 + Service Pack 3 vient d'atteindre la certification EAL3+, une évaluation américaine sur des critères de sécurité en environnement à risques. Ceci s'applique sur l'ensemble de la gamme IBM eServer.
Dans le même temps SUSE LINUX Enterprise Server 8 passe le COE (Common Operating Environnement), référence créée par le département de la défense américaine, qui permettra à SuSE de déployer ses serveurs pour faire fonctionner certaines applications critiques dans un environnement à risque.
Ceci bien sûr ne s'applique qu'aux États-Unis. Rappelons que Windows Server 2000 + Service Pack 3 a atteint EAL4+ mais seulement sous certaines conditions et sur une faible gamme de machines.
