Vulnérabilités
Nouvelle faiblesse pour OpenSSH.
Par Jerome Saiz, le 07 mars 2002 à 16:47:00.
Les utilisateurs d'un serveur peuvent exploiter OpenSSH pour obtenir les droits de l'administrateur. Pire, un serveur SSH malicieux peut utiliser la même faille pour compromettre les clients qui se connecteraient à lui.
L'implémentation libre du protocole SSH (Secure SHell) est de nouveau affligée d'une faille de sécurité. Il s'agit de la seconde série en quelques mois, toutes heureusement rapidement réparées, logiciel libre oblige.
La vulnérabilité concerne ici toutes les versions d'OpenSSH 2.0 à 3.0.2, et est exploitable essentiellement par les utilisateurs qui disposent déjà d'un compte sur le serveur. Cela touche donc particulièrement les hébergeurs qui offrent à leurs clients un accès en ligne de commande au serveur (tous les hébergeurs sérieux, donc...).
Il s'agit d'une erreur de type "Off By One" (décalage involontaire), une erreur classique de programmation qui permet ici de profiter de privilèges accrus. L'alerte ne donne cependant pas le détail de la méthode.
En outre, puisque un serveur SSH établit un tunnel direct avec les clients qui s'y connectent, il peut lui aussi exploiter la vulnérabilité sur le poste distant. Pour un pirate qui aurait pris le contrôle de son hébergeur, cela serait la moyen idéal de compromettre l'ensemble des clients du fournisseur.
La faille est bien sûr jugée critique, et en attendant version 3.1 d'OpenSSH, dont la disponibilité est imminente, un correctif est disponible.
Plus d'informations : l'alerte de pine-cert.
Cartes blanches
Une phrase d'Eric Domage, d'IDC, interpelait récemment décideurs et acteurs du marché sur l'importance des coûts et le peu de ROI découlant des projets d'IAM. Bruno Vincent nuance voire réfute en partie, ces propos.
Rien ne semble changer en matière de risques et sécurité dans le monde bancaire. Constat désabusé et inquiet d'un RSSI du secteur.
Les dossiers
Les thématiques
espace partenaires
Livres Blancs
Guides
Le Guide Sécurité & Stockage 2009, c'est 290 pages consacrées au marché et à ses acteurs, et 300 entreprises référencées.
