1 Activité en cours
1.1 Faille actuellement exploitée
Le CERTA a été informé de l’exploitation d’une faille concernant Horde 3 (voir avis CERTA-2006-AVI-153). La vulnérabilité affectant cet applicatif est généralement exploitée dans le but de réaliser des défigurations, mais une analyse des machines ainsi compromises reste nécessaire pour découvrir la portée réelle des intrusions.
2 Vulnérabilités dans les navigateurs
De nombreuses vulnérabilités non corrigées affectant différents navigateurs ont récemment été rendues publiques sur des listes de discussion. Les navigateurs concernés sont Safari, Internet Explorer et Firefox avec pour conséquences la possibilité de réaliser des dénis de service ou d’exécuter du code arbitraire à distance.
Habituellement, lorsqu’une telle vulnérabilité est révélée alors qu’il n’existe pas de correctif, il est possible d’utiliser un navigateur alternatif en guise de contournement provisoire. Le problème est que le navigateur alternatif prévu pour ces cas est peut-être concerné par une vulnérabilité.
Recommandations :
En attendant la publication de correctifs, il est conseillé de désactiver les contrôles ActiveX ainsi que l’interprétation du langage javascript dans les navigateurs utilisés.
Rappel des avis émis
Dans la période du 17 au 23 avril 2006, le CERT-FR a émis les publications suivantes :
- CERTA-2006-ALE-004-001 : Multiples vulnérabilités sous Mac OS X d’Apple
- CERTA-2006-AVI-156-003 : Multiples vulnérabilités dans Firefox
- CERTA-2006-AVI-157 : Vulnérabilité dans Dokeos
- CERTA-2006-AVI-158-001 : Multiples vulnérabilités sur les logiciels Oracle
- CERTA-2006-AVI-159 : Vulnérabilité sur sh sous Solaris
- CERTA-2006-AVI-160 : Vulnérabilité dans Sun Java Studio Enterprise
- CERTA-2006-AVI-161 : Vulnérabilités dans le noyau Linux
- CERTA-2006-AVI-162 : Multiples vulnérabilités dans J2SE sous Mac OS X
- CERTA-2006-AVI-163 : Vulnérabilité sur Plone
- CERTA-2006-AVI-164 : Vulnérabilité dans EAServer de Sybase
- CERTA-2006-AVI-165 : Vulnérabilité dans AIX d’IBM
- CERTA-2006-AVI-166 : Vulnérabilité dans Symantec LiveUpdate pour Macintosh
- CERTA-2006-AVI-167 : Plusieurs vulnérabilités dans Cisco IOS XR
- CERTA-2006-AVI-168 : Vulnérabilités dans Cisco CiscoWorks WLSE
Durant la même période, les publications suivantes ont été mises à jour :
- CERTA-2006-AVI-104-003 : Vulnérabilité de Kpdf
- CERTA-2006-AVI-145-001 : Vulnérabilités sur CACTI
