Google est bien connu des internautes en recherche de liens. Il semblerait qu'il fasse trop bien son travail ou que les serveurs contiennent des fichiers qui ne devraient pas être accessible:
il a été fait une recherche sur les site militaires americains et les fichiers Word et on a vu apparaître des documents plutôt sensibles dans la réponse de la requête. La faute ne revient pas à Google de trop bien faire son travail mais plutôt à quelques webmestres qui ne font pas bien le leur.

A peine le nouveau système d'authentification de Microsoft, Passport, dévoilé, que déjà un développeur américain vient de trouver une faille assez succulente dans Passport. Le principe constiste à envoyer un email à un utilisateur de Hotmail contenant du JavaScript simulant un message Hotmail qui re-demande à l'utilisateur son mot de passe et qui l'envoie dans la base de données du pirate. Cela n'est pas bien nouveau, c'est une "fonctionnalité" des emails en HTML.
Mais le problème, c'est qu'une nouvelle fonctionnalité de Windows XP, baptisée "Wallet", permet d'enregistrer son numéro de carte de crédit dans le système et de s'en servir pour effectuer des achats plus rapidement. Le pirate, une fois en possession du mot de passe peut alors tranquillement effectuer ses achats sur les sites Passport avec votre n° de carte bleue... Rassurant, non ?

Infos trouvées sur www.secusys.com,
"« Ptracekm » est un module kernel pour Linux 2.2 (et probablement 2.4 mais non testé) permettant de bloquer les appels (syscall) ptrace() pour tous les utilisateurs excepté le root.
Ce module vous protègera donc contre les pirates voulant prendre le root grâce aux exploits de type ptrace()."

De plus, ne pas oublier de vérifier Webmin 0.88 qui permet la création de fichiers modifiables par tous sous /tmp avec les droits 777.... pour modifier le script run.cgi... voir la news originale pour plus de détails.

Note du modérateur : Le problème webmin, c'est un rappel, on en avait déjà parlé ici le 22 Octobre.

La cérémonie allemande des Big Brother Awards s'est tenue à Bielefeld le 26 octobre. Le grand vainqueur de cette cérémonie est sans contexte le ministre allemand de l'intérieur (Otto Schily). Le ministre socialiste (SPD) de l'Intérieur de la République fédérale a reçu une double distinction, celle de la catégorie «Politique» et le prix d'honneur de la soirée. «Parce que sous couvert de la lutte contre le terrorisme, il contribue à restreindre les droits des citoyens et la protection des données personnelles», s'est justifié le comité organisateur.
Mais n'oublions pas les autres lauréats, entre autres : Real Network, puisqu'il faut obligatoirement s'enregistrer pour utiliser leur logiciel Real Player ainsi que ProtectCom qui surveille ses employés.

Certains d'entre vous connaissaient peut-être l'excellent site de Hrvoje Crvelin, qui regroupait bugs, solutions et exploits depuis 1996.
Il a malheureusement décidé d'arrêter ce travail le 9 septembre dernier, laissant bon nombre d'administrateurs en manque d'une source d'informations claire et concise.

Pour y remédier, une association vient de faire renaître Security BugWare.

Les packages de la RedHat 7.2 (Enigma) sont incorrectement signés sur les miroirs ftp. La 7.1 était quant à elle correctement signée avec GnuPG. Soit RedHat a tout simplement oublié cette étape, soit leur process qualité a été shunté, ce qui est plus grave. Pas encore de réactions sur le site de RedHat. Celà me permet de conseiller ici l'excellent site de Kurt Siegfried sur la sécurité informatique.

La surprise du matin en lisant le changelog Linux 2.2.20pre10 : celui-ci est censuré, pour respecter le DMCA .... (autocensure d'Alan Cox ?)

Il y a quelques threads sur le sujet. Personnellement, je reste perplexe ... et je ne comprends pas! Si quelqu'un peut m'expliquer?

Sur le forum Usenet sci.crypt, un certain Beale Screamer a annoncé qu'il avait réussit a cracker le Digital Right Management de Microsoft.

Cet ensemble de composants est censé faire respecter les droits que les licences accordent aux utilisateurs. Ainsi un éditeur peut vous accorder une licence vous permettant d'envoyer tutut.wma vers les baffles, mais vous interdira de l'expédier sur le réseau.

C'est MS-DRM qui s'occupe du respect des licences en utilisant des canaux cryptés (de manière à éviter l'espionnage) entre des composants certifiés (de manière à éviter les indésirables).
Le crack de Screamer permet de délivrer le fichier des restrictions qui lui ont été attribués. Pour arriver a ceci, il a exploité les failles du schéma :
- Pour avoir des canaux cryptés, il va falloir que l'OS stocke des clefs privés qu'il aimerait vous cacher;
- L'OS peut certifier des composants, mais l'inverse n'est pas vrai. Un composant n'a pas de moyen de vérifier que l'OS est sain.

Screamer aprés avoir bien détaillé la cuisine interne, indique ses motivations à la fin du message. Il s'adresse aux utilisateurs, à Microsoft, aux DOJ, aux artistes, aux éditeurs. Il n'a pas travaillé la dessus pour qu'on se mette à déchirer toutes les licences mais pour attirer l'attention sur une situation qu'il pense préoccupante.
Microsoft a indiqué qu'il corrigerait promptement pour contrer l'exploit. Screamer précise que ca leur sera effectivement facile et conseille de ne pas upgrader.

Cette faille a été découverte par Christophe Casalegno et Aurélien Cabezon.
Webmin souffre d'un problème de sécurité concernant la création temporaire de fichier qui peut être utilisée pour compromettre le compte root.

En effet, Webmin crée des fichier temporaires dans /tmp qui ont les permissions : -rwxrwxrwx (777) et qui appartiennent à l'utilisateur root (ex : commandes personnalisées). N'importe qui peut modifier le fichier créé pendant l'exécution de la commande par le système. Il suffit donc pour l'attaquant de rajouter une commande dans le fichier, qui sera exécutée par le root. L'attaquant pourra donc à loisir, lancer des commandes, créer/effacer/modifier des fichiers/répertoires, etc...
Exemple:
Il suffit de rajouter la commande suivante à la fin du fichier temporaire crée par webmin pendant son exécution pour gagner les privilèges de root:
cp /bin/sh /tmp/.backdoor vous donnera un shell root dans /tmp
Le problème est situé dans le script run.cgi qui crée le fichier temporaire en lui donnant de mauvaises permissions.
$temp = &tempname();
open(TEMP,">$temp");
...blablabla...
chmod(0777, $temp);
Pour fixer le problème il suffit de hanger la ligne chmod(0777, $temp); par chmod(0700, $temp);

Note du modérateur : Il ne semble pas y avoir de confirmation sur le site de Webmin. En outre, webmin 0.89 devrait sortir sous peu.

Suite à une annonce sur Yahoo (ZDNet en fait) où il est annoncé la mort de PGP (ce n'est pas nouveau), j'ai pu lire "vive WinPT". En creusant un peu plus, il s'avère qu'il s'agit d'un "portage" basé sur GnuPG pour Windows. (Je sais que ...) Mais bon, voilà qui élargit un peu le domaine d'action de GnuPG et des utilisateurs qui l'utilisent, (c'est le but de l'article).

Un déni de service et un exploit root viennent d'être publiés.

Cela concerne les noyaux de la série 2.2.x x <= 19 et 2.4x x <= 9.
Le noyau 2.4.12 est OK.
Plus de détails dans le lien.

Note du modérateur: Les distributions commencent déjà à sortir des mises à jour, cf. liens supplémentaires.

D'après un éditorial sur le site de Microsoft, il est temps de se lancer dans la chasse à «l'anarchie de l'information». Monsieur Culp (responsable du 'Security Response center') explique dans son petit billet qu'il n'y aurait pas de vers et de virus s'il n'y avait pas cette bande d'anarchistes irrésponsables qui trouvent les bugs et les publient.
Moi je suis d'accord avec lui, et je pense que toute personne faisant un rapport de bug devrait être sévèrement punie par la loi. Non mais franchement...

Qui a dit :
« dans les forces armées, Bill Gates règne aujourd´hui en maître »,
et
« il eut été préférable pour l´armée française d´investir dans le développement de ses propres applications "libres" plutôt que de dépendre de technologies "propriétaires" américaines. »

Je vous le donne en mille : le Général Jean-Louis Devisgnes, ex directeur du SCSSI, à l'occasion du discours de clôture du second salon des technologies de l´information et de la communication organisé par l´École supérieure d´application des transmissions (ESAT).

Le site Telepolis, qui est toujours très bien informé sur les affaires touchant à la crypto, à Echelon, et tout ce genre de choses, a un article plutôt inquiétant sur une annonce faite par le gouvernement hollandais qui veut réglementer strictement l'usage du cryptage fort.

Le gouvernement n'a pas dit comment il comptait s'y prendre, mais un projet précédent de 1994 prévoyait, tenez-vous bien, d'accorder des licences d'utilisation aux personnes voulant utiliser un logiciel de crypto...

A tous ceux qui utilisent la version stable de webalizer de Debian et les autres qui même sans utiliser le package debian utilisent webalizer 1.30 ou 2.0.0, regardez vos statistiques web ; elles risquent bien de s'être arrêtées au 4 octobre.

Visiblement, il y a des problèmes au niveau des timestamps qui sont calculés en utilisant une fonction jdate refaite et basé sur le 1er janvier 1990 (?).
Mozilla et DynDNS ont subi ce bug par exemple (voir urls).
Seule la dernière version 2.0.1 ne semble pas affectée par ce Pb (voir stats li.org).

Solution :
- passer à la dernière version de webalizer
- calculer epoch depuis le 1/1/1970 au lieu du 1/1/1990 :

/* initalize epoch */
epoch=jdate(1,1,1970); /* used for timestamp adj. */
ps : ce n'est pas certain que cette dernière solution corrige tous les problèmes...