Journal Vulnérabilité critique dans Mozilla Firefox,

Posté par .
Tags : aucun
0
8
mai
2005
Une vulnérabilité critique a été identifiée dans Mozilla Firefox, elle pourrait être exploitée par des attaquants distants afin d'exécuter des commandes arbitraires. Le problème résulte d'une erreur présente au niveau de la procédure de gestion des tags "IFRAME" qui ne filtre pas correctement un paramètre "src" spécialement conçu, ce qui pourrait être exploité par des attaquants distants afin de compromettre un système vulnérable, via une page web ou un email contenant du code javascript malicieux.

Note : Aucun correctif de sécurité n'est disponible pour cette vulnérabilité

solution :
Désactivez JavaScript ou désactivez l'option "Permettre aux sites web d'installer des logiciels" [dans Outils - Préferences - Fonctionnalités Web].

http://www.frsirt.com/bulletins/1192(...)
  • # Vulnérabilité critique dans Mozilla Firefox

    Posté par . Évalué à 7.

    > solution : Désactivez JavaScript ou désactivez l'option "Permettre aux sites web d'installer des logiciels" [dans Outils - Préferences - Fonctionnalités Web].

    Ou utilisez/découvrez Opera/Konqueror en attendant. Pour ma part, il y a de nombreux sites avec lesquels je ne peux pas désactiver JavaScript, donc ce sera Opera /Konqueror en attendant un correctif.

    Par contre, il y a un exemple d'exploit [1] mais il semble qu'il ne soit applicable que sous Windows, bien que le bulletin de sécurité de FrSirt ne mentionne pas la ou les plateformes concernées. Cependant, le bulletin de SecurityFocus signale que Linux serait aussi concerné [2] mais l'exploit fournit [3] ne semblerait s'appliquer qu'à la version Windows de FireFox.

    [1] http://www.frsirt.com/exploits/20050507.firefox0day.php(...)
    [2] http://www.securityfocus.com/bid/13544(...)
    [3] http://www.securityfocus.com/bid/13544/exploit/(...)

    « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

    • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

      Posté par . Évalué à 4.

      L'exploit donné est celui publié sur bugtraq hier soir, ce n'est pas le seul qui existe et surment pas le meilleur ( a mon avis le code est volontairement brouillon). Donc cette faille touche aussi les autres systéme que windows, et faire autre chose que DL un fichier.
      • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

        Posté par . Évalué à 6.

        > et faire autre chose que DL un fichier

        Je n'en doute pas : à partir du moment où une faille permet de télécharger/créer un fichier en local puis de l'exécuter, elle peut tout se permettre :) Du moins en tant que l'utilisateur courant ...

        « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

        • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

          Posté par . Évalué à 3.

          Une bonne occasion de rappeler, exemple à l'appui, qu'il ne faut JAMAIS surfer en root.
          • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

            Posté par . Évalué à 4.

            De manière générale, ne jamais utiliser le compte root, sauf pour l'administration de la machine. Mais bon, on le dit, on le répète, on se plaind qu'on le répète, mais il y en a toujours un ou deux pour venir répondre "qu'en attendant que je comprenne mieux, j'utilise root, c'est ma machine je fais attention". Et justement, c'est probablement le cas le plus exemplaire pour ne pas utiliser le compte root :)

            « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

            • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

              Posté par . Évalué à 3.

              Celui qui travaille en root sur sa machine indique implicitement qu'il en est l'unique utilisateur. En tant que machine mono-utilisateur, le fait de travailler en root ou en user ne change pratiquement rien puisque tous les documents important à l'utilisateur sont sur son compte donc pourraient être corrompus ou effacé par un virus/vers/pirate. De plus, depuis un compte utilisateur il n'y a pas de restriction spéciale (en général) qui empêcheraient le vers/virus/pirate de se propager plus loin.

              De plus si un pirate arrive à être dans le compte utilisateur de quelqu'un qui passe en root en utilisant 'su' ou des programmes similaires il est généralement plus que facile de pièger l'utilisateur et de devenir root.

              Ce qui protège surtout les linuxiens de ce genre de problèmes c'est qu'ils sont beaucoup plus formés aux soucis de sécurité que l'utilisateur lambda.

              Mais bon, à part ça je ne dis pas qu'il s'agit d'une bonne habitude de se logguer en root car un jour ou l'autre on est plus chez soi tout seul sur son pc...
              • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

                Posté par (page perso) . Évalué à 10.

                il y a plusieurs choses :

                1) Passer d'un compte utilisateur à root, ce n'est pas très difficile pour un pirate expérimenté. Mais ça l'est beaucoup plus pour un programme automatique !
                En étant root, on peut exploiter de suite toute la machine ! En étant utilisateur, il faut intercepter les droits root ! Et ce n'est pas évident, surtout si l'utilisateur n'utilise pas su ou sudo parce qu'il utilise son PC pour faire du traitement de texte.

                2) Sans le compte root, le virus est plus limité : pas de possibilité d'ouvrir les ports en dessous de 1024, de sniffer l'interface réseau, d'accéder au fichier de passwd, de changer la config d'un programme, de remplacer un programme par un autre !
                Le truc à utiliser par le pirate serait de faire un alias dans la config bash de l'utilisateur. Mais si l'utilisateur n'utilise pas bash ? De nouveau, c'est très facile au cas par cas, mais très dur à utiliser.

                Enfin, on est d'accord, cela ne protège pas d'un rm -rf ~, ce qui serait le plus embêtant pour un utilisateur standard. Remarquons qu'en entreprise, c'est surtout les deux points que je viens de citer les plus dangeureux car la confidentialité serait compromise.
                Cela protègé aussi de vers du type "Sasser"

                Mais :

                3) Admettons que le virus puisse lancer un rm -rf ~. Le disque lui reste intact. Ce qui signifie qu'un backup régulier fait en dehors de $HOME ne serait pas atteint par un virus non-root !! j'avoue que monsieur tout le monde fait rarement ça.

                4) Les permissions. Quand tu télécharge un fichier, il n'est jamais exécutable.
                Donc pour avoir un virus sous Linux, il faut exécuter une action pour le rendre exécutable. Cela signifie qu'il faut **toujours** une action humaine pour rendre un nouveau fichier exécutable.
                Le seul contournement serait de prendre le contrôle d'un programme déjà lancé


                5) Les utilisateurs newbies de Linux ne sont pas plus au fait de la sécurité que les windowsiens. Mais simplement, sous Linux, on a pas de programmes qui s'amuse à exécuter automatiquement des trucs ! Un client mail qui exécute automatiquement certains attach, on en voit pas sous Linux ;-)


                6) La variété : ce qui a tué windows c'est son homogénéité ! Tout le monde utilise IE+OE+MSOffice.
                Donc une faille est découverte, tout le monde est dedans...
                Sous Linux, chaque machine est différente. Une faille dans Evolution, par exemple, serait fortement limitée car on peut imaginer que tous les utilisateurs d'Evo ne sont pas connectés entre eux et que, à un moment ou un autre, il faudra passer par Thunderbird, Kmail, mutt, pine, ....
                Regarde cette faile de Firefox. Le gars qui veut l'utiliser, il doit prévoir : si le visiteur est sous Linux, Windows, Mac, Solaris ? Mon binaire, je le compile en x86 ? 64bit ? ppc ? etc...
                Est-ce que Epiphany, Galeon, Mozilla sont affectés ? Et sinon, il reste Opera ou Konqueror !
                La variété est une arme de défense énorme !!! (il suffit de voir la variété de la vie sur notre planète pour comprendre. Et pourtant, tous habitent et ont été créés pour la même planête !)
                • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

                  Posté par . Évalué à 3.

                  2) de changer la config d'un programme, de remplacer un programme par un autre !
                  Le truc à utiliser par le pirate serait de faire un alias dans la config bash de l'utilisateur. Mais si l'utilisateur n'utilise pas bash ? De nouveau, c'est très facile au cas par cas, mais très dur à utiliser.

                  on peux modifier la config d'un programe dans les fichiers de config utilisateur.

                  Pour forcer un binaire y a plus simple que les alias : tu change la variable PATH et ca marchera partout.


                  Le gars qui veut l'utiliser, il doit prévoir : si le visiteur est sous Linux, Windows, Mac, Solaris ? Mon binaire, je le compile en x86 ? 64bit ? ppc ? etc...
                  Pourquoi forcement un binaire, on peut faire deja tres mal avec un script sh, perl ou interpreteur windows...


                  Sinon je suis tout a fait d'accord que la diversite c'est un moyen de defense, mais y a toujours des especes predominates plus suceptible que d'autre...
                • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

                  Posté par (page perso) . Évalué à 2.

                  6) La variété : ce qui a tué windows c'est son homogénéité ! Tout le monde utilise IE+OE+MSOffice.
                  Et c'est la variété de Linux qui limite l'expansion de Linux, est-ce mieux?
                  Démonstration : quand un newbee a un problème, il appelle un copain, qui connait le domaine, et hop le dépanne. Avec Linux il faut trouver un ami qui a telle distrib, car chaque distrib est differente.
                  Bref, ce que tu trouves un inconvénient de Windows ne serait-il pas plutot sa force?
                  • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

                    Posté par (page perso) . Évalué à 3.

                    Il existe des gens suffisemment compétents pour s'en sortir avec à peu près n'importe quelle distrib hein...

                    En général, c'est plutôt ceux qui tournent sur des distribs sans outils de conf-qui-font-tout d'ailleurs, comme Slackware, Gentoo, LFS ou Debian.
                    • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

                      Posté par (page perso) . Évalué à 2.

                      Mouais m'enfin quand tu dois bricoler une distro qui fait tout toute seule (au hasard la mdk) tu as beau connaitre assez bien les mécanismes unix, tu es un peu dans le caca quand même.
                      Tout ce que tu peux faire rapidement c'est une bidouille de goret pas du tout intégrée à la distro donc inmaintenable.
                      L'avantage, c'est qu'on a toujours au moins une solution de goret :)
                • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

                  Posté par . Évalué à 1.

                  4) Les permissions. Quand tu télécharge un fichier, il n'est jamais exécutable.
                  Donc pour avoir un virus sous Linux, il faut exécuter une action pour le rendre exécutable. Cela signifie qu'il faut **toujours** une action humaine pour rendre un nouveau fichier exécutable.
                  Le seul contournement serait de prendre le contrôle d'un programme déjà lancé


                  Pas vraiment : tu télécharges un script shell et tu fais "bash script", ou pareil en perl, ou python, en plus comme c'est pas binaire c'est cool ça va marcher de la même manière sous linux ppc, ou alpha, ou amiga...
                  Mieux encore ça risque de tourner à l'identique sous BSD ! Voire MacOS X, ou même Hurd, ou Solaris, ou...

                  Bref, on n'est pas vraiment à l'abris hein...

                  Yth.
                  • [^] # Re: Vulnérabilité critique dans Mozilla Firefox

                    Posté par . Évalué à 5.

                    meme un binaire n'a pas besoin des droits d'excecution pour etre lance :


                    $ ls -l /tmp/ls
                    -rw-r--r-- 1 toto toto 75948 2005-05-09 13:49 /tmp/ls
                    $ /lib/ld-linux.so.2 /tmp/ls /
                    bin dev initrd lib media proc srv usr vmlinuz.old
                    boot etc initrd.img lib64 mnt root sys var
                    cdrom home initrd.img.old lost+found opt sbin tmp vmlinuz


                    magique...
  • # "Permettre aux sites web d'installer des logiciels"

    Posté par (page perso) . Évalué à 4.

    Dans la fenêtre des préférences, à l'option "Permettre aux sites web d'installer des logiciels", c'est coché mais dans la liste des "Sites autorisés" il n'y a que update.mozilla.org.
    Je n'ai pas changé quoi que ce soit dans cette option, donc je pense que c'est le réglage par défaut. Est-ce que je suis donc protégé de cette vulnérabilité (ainsi que tous ceux qui n'ont pas changé le réglage par défaut de cette option) ?
    • [^] # Re: "Permettre aux sites web d'installer des logiciels"

      Posté par . Évalué à 2.

      Apparemment, tu n'es pas du tout protégé car sinon ce ne serait pas une faille classée critique. Par ailleurs, l'exemple de code fourni tenterait d'installer une extension depuis ftp.mozilla.org, donc sûrement pas dans la liste des sites autorisés par défaut : donc il semblerait que la faille permette justement d'installer une extension en passant outre les autorisations.

      Ceci dit, les exemples de code fournis ne sont utilisables que sous Windows et je n'ai pas Windows pour tester le truc par moi-même (ce qui ne signifie pas du tout que seul Windows est concerné puisque SecurityFocus précise que Linux l'est aussi).

      De tout façon, la recommandation est de désactiver l'installation des logiciels via FireFox ou de désactiver JavaScript : donc il me paraît sage de respecter ces recommandations. Personnellement, à ta place je désactiverais carrément JavaScript si tu peux te le permettre en attendant un correctif. Pour ma part, j'ai choisi d'utiliser un autre navigateur en attendant que ce soit corrigé car j'ai des sites où sans JavaScript, c'est assez infernal voir impossible.

      « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

    • [^] # Re: "Permettre aux sites web d'installer des logiciels"

      Posté par . Évalué à 4.

      La faille permet de spoofer le domaine d'origine du fichier donc tu peux tous faire passer pour du update.mozilla.org

      Dans l'exploit donné, test.exe est téléchargé depuis illmob.zapto.org en se fesant passé pour une extention venant de update.mozilla.org
      • [^] # Re: "Permettre aux sites web d'installer des logiciels"

        Posté par . Évalué à 2.

        Apparemment, l'annonce de Secunia [1] dit le contraire : il faudrait que le site soit autorisé à installer des logiciels via FireFox pour permettre l'installation du code malveillant.

        [1] http://secunia.com/advisories/15292(...) : « Successful exploitation requires that the site is allowed to install software (default sites are "update.mozilla.org" and "addons.mozilla.org"). »

        « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

        • [^] # Re: "Permettre aux sites web d'installer des logiciels"

          Posté par . Évalué à 2.

          Vu la tete du PoC posté sur le bugzilla [1], je dirais qu'il spoofe bien le domaine.

          [1] https://bugzilla.mozilla.org/show_bug.cgi?id=293302(...)
          • [^] # Re: "Permettre aux sites web d'installer des logiciels"

            Posté par . Évalué à 1.

            Cela prouve quand même la totale confusion qui règne autour de l'ampleur de cette faille : entre Secunia et FrSirt, le seul dénominateur commun est la désactivation de JavaScript. Qu'en est-il de ceux qui se sont contentés de la solution du FrSirt de désactiver uniquement l'installation des logiciels via FireFox ?

            Bref, on attend toujours que FireFox mette tout le monde d'accord en utilisant la même faculté de communication dont il ont fait preuve jusqu'à présent car beaucoup se posent des questions. Mais là forcément la raison de communiquer est beaucoup moins glorifiante pour un logiciel qui se veut une alternative plus sûre à IE ...

            Pour infos, le passage de FireFox 1.0.2 à 1.0.3 était déjà au moins nécessaire par la présence d'une faille critique [1] permettant l'exécution de code malveillant à distance, ainsi qu'une faille assez similaire à celle d'aujourd'huii [2].

            En tout cas, nul doute que cette mise à jour occasionnera probablement d'autres millions de téléchargement qui gonfleront artificiellement les statistiques de l'initiative SpreadFirefox. Et nul doute aussi que cet argument sera repris par ses détracteurs pour discréditer les chiffres ...

            [1] http://www.mozilla.org/security/announce/mfsa2005-37.html(...) : « Firefox and the Mozilla Suite support custom "favicons" through the <LINK rel="icon"> tag. If a link tag is added to the page programmatically and a javascript: url is used, then script will run with elevated privileges and could run or install malicious software. »

            [2] http://www.mikx.de/firelinking/(...) : « The example is cross platform: On Windows this example creates the file c:\booom.bat and launches it (opens a dos box with a dir command). On Linux (tested Fedora Core) and MacOSX the example creates the file ~/booom.txt or /booom.txt. »

            « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

            • [^] # Re: "Permettre aux sites web d'installer des logiciels"

              Posté par . Évalué à 2.

              D'après Mozillazine [1], il serait suffisant de désactiver l'installation des logiciels via FireFox comme le décrit le FrSirt. Cependant, il est aussi précisé que Secunia décrit la faille plus précisément que le FrSirt. Bref, l'article sur Mozillazine est à lire pour ceux qui cherchent enfin plus de clarté sur cette faille,

              [1] http://www.mozillazine.org/talkback.html?article=6582(...)

              « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

              • [^] # Re: "Permettre aux sites web d'installer des logiciels"

                Posté par . Évalué à 3.

                La fondation Mozilla a annoncé avoir effectué des modifications au service Mozilla Update pour limiter les risques de cette faille.

                http://www.mozilla.org/security/#Security_Alerts(...) : « Security Advisory (May 8, 2005) The Mozilla Foundation is aware of two critical Firefox security vulnerabilities as reported publicly Saturday, May 7th. There are currently no known active exploits of these vulnerabilities although a "proof of concept" has been reported. Changes to the Mozilla Update web service have been made to mitigate the risk of an exploit. Mozilla is aggressively working to provide a more comprehensive solution to these vulnerabilities and will provide that solution in a forthcoming security update. Users can further protect themselves today by temporarily disabling JavaScript or disabling "Allow web sites to install software" option in Tools > Options > Web Features. »

                « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

  • # Pas "malicieux"

    Posté par . Évalué à 9.

    Pitié cessons d'utiliser malicieux pour traduire l'adjectif anglais malicious, lequel se traduirait plutôt par pernicieux ou malfaisant...
    • [^] # Re: Pas "malicieux"

      Posté par (page perso) . Évalué à 4.

      Laisse tomber. Tu vas encore te prendre te prendre une bonne vieille définition de dictionnaire dans la gueule. De préférence une définition de dico totalement inconnu de l'informaticien moyen, mais qui va lui permettre après coup de se justifier. Avant, il utilisait le mot par fainéantise de traduction, après, par pédanterie... C'est infernal.
      • [^] # Re: Pas "malicieux"

        Posté par . Évalué à -2.

        C'est marrant comme tu défends ton ignorance. Avant de donner des leçons aux autres, vérifie un peu.
      • [^] # Re: Pas "malicieux"

        Posté par . Évalué à 6.

        D'ailleurs, puisque tu attends la définition :

        "MALICIEUX, EUSE. adj. Qui est porté à nuire, à mal faire."
        • [^] # Re: Pas "malicieux"

          Posté par (page perso) . Évalué à 3.

          "MALICIEUX, EUSE. adj. Qui est porté à nuire, à mal faire."

          On pourrait avoir une référence ? Parce que sur http://atilf.atilf.fr(...) je trouve seulement :
          MALICIEUX, -EUSE, adj.
          A. Vieilli. Qui est habité des forces insidieuses du mal. (...)
          B. 1. Qui a un penchant à se jouer, à se moquer d'autrui (...)
          2. Qui dénote ce penchant.

          Donc un emploi (vieilli) qui se rapproche (un peu) de la définition donnée, et un autre (a priori commun) qui n'a rien à voir. Après, c'est vrai que ce n'est pas un dictionnaire d'informaticiens ;-)
        • [^] # Re: Pas "malicieux"

          Posté par (page perso) . Évalué à 1.

          Merci, Maître Capello qui sait tout, et même faire de la belle édition de texte. Je sais parfaitement d'où vient le mot malicieux. C'est même en référence au Malin que j'avais mis le mot infernal à la fait de mon message. Et ici, on peut tout à fait parler de logiciel malicieux, même si une fois de plus, c'est une traduction littérale, presque de visu, de l'anglais, en oubliant la richesse des autres mots.
          Je suis juste énervé par les tics de langage de l'informatique, justifiés après coup, c'est tout.
      • [^] # Re: Pas "malicieux"

        Posté par . Évalué à 2.

        Ben oui, faut pas oublier que les transferts de mots d'une langue à l'autre, ca varie selon les modes et les époques, et que cette "traduction paresseuse", d'autres l'ont peut être fait avant, et dans l'autre sens.
    • [^] # Re: Pas "malicieux"

      Posté par . Évalué à 3.

      Il faut engueuler les gens de chez FrSIRT qui ont redigé l'alerte a ce moment la.

      http://www.frsirt.com/bulletins/1192(...)
    • [^] # Re: Pas "malicieux"

      Posté par . Évalué à 4.

      > Pitié cessons d'utiliser malicieux pour traduire l'adjectif anglais malicious, lequel se traduirait plutôt par pernicieux ou malfaisant...

      Personnellement, je traduirais malicious plutôt par malveillant.

      « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

  • # vulnérabilité

    Posté par . Évalué à -7.

    >ce qui pourrait être exploité par des attaquants distants afin de compromettre un système vulnérable

    moi je lis "système vulnérable", à mon avis cela concerne surtout ceux qui sont encore sous windoze, alors bon, je ne me fais pas trop de soucis.

    Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it

    • [^] # Re: vulnérabilité

      Posté par . Évalué à 0.

      apparemment j'ai froissé les utilisateurs de firefox sous windows...

      ...ou alors ceux qui ne savent pas qu'en ne se connectant pas en root et en navigant sous linux on ne risque rien, jusqu'à preuve du contraire, et malgré des "alertes de sécurité" que cela soit avec firefox, konqueror, opera, ou même internet explorer émulé avec wine. (merci, j'ai configuré mes iptables)

      Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it

      • [^] # Re: vulnérabilité

        Posté par . Évalué à 2.

        Tu as vite des cours de sécurité à prendre.

        Preuve que tu as tort :
        Je prend la dernière faille. Je programme un exploit pour obtenir un shell avec ton compte user. Par exemple, il me suffirait de demander à mon exploit d'ouvrir une connexion tcp sur le port 80 d'une machine que je contrôle, comme ça ton parefeu n'y verra que du feu. A partir du moment où j'ai un shell, si je suis un pirate expérimenté et que tu n'es pas un expert en sécurité, il n'est pas difficile d'obtenir les privilèges root, que ce soit par une autre faille, ou une mauvaise configuration de ton système.

        Evidemment, je ne pense pas que tu aies des ennemis qui t'en veulent personnellement à ce point. Mais il est curieux de constater que les gens se croient en sécurité derrière un pare-feu.
      • [^] # Re: vulnérabilité

        Posté par . Évalué à -1.

        apparemment j'ai froissé les utilisateurs de firefox sous windows...

        En fait tu as surtout froissé ceux qui aiment lire des discussions sans commentaires inutiles.

        Tu comprends bien que si tout le monde ici utilisait les balises 'mavie' voire 'troll' à outrance, linuxfr tournerait rapidement à la sauce clubic, où il est impossible de se concentrer sur le fond de la discussion tellement les commentaires irritants sont légion.

        J'en profite pour rendre un petit hommage à ce système de notation, qui soulage admirablement les fonctions "check_troll" et "keep_cool" de notre cerveau..

        Pourvu que ça dure!
  • # Aucun fix disponible ?

    Posté par (page perso) . Évalué à 2.

    Quel est l'interet de diffuser une info sur une faille de securite si aucun fix n'est disponible ? Quand on decouvre une faille, il est quand meme classique d'informer d'abord les devs, de leur laisser un temps raisonnable pour sortir un correctif (une semaine) avant d'en faire grand bruit.
    • [^] # Re: Aucun fix disponible ?

      Posté par . Évalué à 5.

      À mon avis, l'intérêt est déjà de diffuser les mesures préventives (ici désactiver les fonctionnalités mises en cause) avant qu'un correctif ne soit disponible. L'auteur qui a signalé la faille est marqué comme "inconnu" et rien ne garanti que l'information ne circule pas ailleurs entre des mains malveillantes. Donc en attendant de guérir, mieux vaut prévenir ...

      [1] Le bulletin de FrSirt précise que « Le découvreur de cette vulnérabilité est actuellement inconnu »

      « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

    • [^] # Re: Aucun fix disponible ?

      Posté par . Évalué à 5.

      C'était justement l'intention de l'auteur de l'exploit, mais comme il l'explique ici http://addict3d.org/index.php?page=viewarticle&type=security&am(...) l'exploit a été posté alors qu'il ouvrait le bug sur le bugzilla de mozilla.
  • # question 0day

    Posté par . Évalué à 1.

    Pourquoi appelle t-on celà un "zero-day" (0day) ?
    est-ce aprceque c'est tout neuf (du jour, zero day) ?

    merci.
    • [^] # Re: question 0day

      Posté par . Évalué à 4.

      Appliqué au domaine de la sécurité informatique, un 0day exploit signifie que l'utilisation malveillante d'une faille de sécurité a été diffusée publiquement le jour même et avant l'annonce officielle de la faille (et de ses correctifs/palliatifs éventuels).

      « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

      • [^] # Re: question 0day

        Posté par . Évalué à 3.

        Wikipédia contient d'ailleurs une page en anglais [1] descrivant les différentes utilisations du terme 0day en informatique.

        [1] http://en.wikipedia.org/wiki/Zero_day(...)

        « Je vous présente les moines Shaolin : ils recherchent la Tranquillité de l'Esprit et la Paix de l'Âme à travers le Meurtre à Main Nue »

    • [^] # Re: question 0day

      Posté par . Évalué à 3.

      Le 0 Day correspond au nombre de jour depuis la divulgation de la faille. Un 0 Day Exploit est donc logiquement un exploit qui correspond a une faille inconnue, non signalé ou divulgué depuis moins de 24h. L'impacte d'un exploit dépend principalement de la date de divulgation de sa faille on leur attache une chronologie. Donc les 0 Day sont les plus intéressant pour un cracker.

      Récament il y a eux on a vue apparetre des concepts comme les -1 Day exploit, dut fait qu'il existe de plus en plus de liste ou de groupe privés ou fermés de divulgation entre les professionnels/industriels de la sécurité informatique, un -1 deviendrait donc un exploit non divulgué, un 0 Day un exploit a divulgation très restreinte et un donc l'exploit ne serait plus un 0 Day quand il arrive sur bugtraq ou autre, mais bon c'est assez rare comme dénomination et assez stupide un exploit est connue ou non.

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.