Vulnérabilités
Linux vulnérable par son navigateur
Par Jerome Saiz, le 21 jan 2006 à 11:03:00.
Ca n'arrive pas qu'à Windows. L'environnement KDE sous Linux, et son navigateur Konqueror, digérerait mal les chaînes de caractères au format universel UTF-8. Un simple code Javascript piégé permettrait ainsi d'exécuter du code sur le système. Les rustines sont disponibles.
L'environnement KDE pour Linux est vulnérable à un dépassement de mémoire tampon. La faille se situe dans l'interprétation du Javascript : une chaîne encodée au format UTF-8 utilisée dans un script Javascript permettrait de faire "planter" le navigateur ou d'exécuter du code sur le système.
Le code en question, bien sûr, ne pourra s'exécuter qu'avec les droits de l'utilisateur tombé dans le piège, ce qui sous Linux en limite considérablement le risque (contrairement à Windows, Linux permet une séparation crédible des privilèges). Cependant, que les surfeurs Linuxiens ne se sentent pas pour autant invulnérables : les méthodes d'augmentation des privilèges ne manquent pas une fois un compte local obtenu !
Grâce cependant à l'hétérogénéité des systèmes Linux, cette vulnérabilité sera toutefois moins exploitable à grande échelle que celle, par exemple, qui a récemment frappé Windows et ses images WMF. Les amateurs de Linux ont en effet le choix entre plusieurs environnement fenêtrés, et KDE n'est que l'un d'eux. Tous les Linux ne sont donc pas vulnérables. En outre, tous les Linux n'embarquent pas un environnement fenêtré : ceux destinés à fonctionner comme serveurs en sont généralement dépourvus (ou, si c'est le cas, c'est une négligence dangereuse !).
La vulnérabilité concerne KDE 3.2.0 à 3.5.0. Des correctifs sont disponibles sur le site du projet (
ftp.kde.org) et, bien sûr, des binaires corrigés seront probablement proposés par les éditeurs des différentes distributions de Linux.Plus d'information
- L'alerte chez FrSIRT (en français).
Cartes blanches
Une phrase d'Eric Domage, d'IDC, interpelait récemment décideurs et acteurs du marché sur l'importance des coûts et le peu de ROI découlant des projets d'IAM. Bruno Vincent nuance voire réfute en partie, ces propos.
Rien ne semble changer en matière de risques et sécurité dans le monde bancaire. Constat désabusé et inquiet d'un RSSI du secteur.
Les dossiers
Les thématiques
espace partenaires
Livres Blancs
Guides
Le Guide Sécurité & Stockage 2009, c'est 290 pages consacrées au marché et à ses acteurs, et 300 entreprises référencées.
