S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 08 septembre 2006
N° CERTA-2006-ACT-036
Affaire suivie par: CERT-FR
le 08 septembre 2006

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité 2006-36

Gestion du document

Référence CERTA-2006-ACT-036
Titre Bulletin d’actualité 2006-36
Date de la première version 08 septembre 2006
Date de la dernière version 08 septembre 2006
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Activité en cours

1.1 Vulnérabilité dans Microsoft Office – Word

Une vulnérabilité non corrigée existe dans Microsoft Office. Elle a fait l’objet d’un avis Microsoft 925059 et le CERTA a publié l’alerte ALE-2006-ALE-0011 à ce sujet.

Cette vulnérabilité semble affecter Word 2000, et des codes malveillants exploitant celle-ci se propagent actuellement sur l’Internet. Ceux-ci se nomment, en fonction des antivirus :

  • W32/Mofei.worm.de (McAfee)
  • Trojan.Mdropper.Q (Symantec)
  • Trojan-Dropper.MSWord.1Table.bv (Kaspersky)
  • TROJ_MDROPPER.BR (TrendMicro).

Dans l’attente d’un correctif, le CERTA recommande :

  1. de n’ouvrir que les documents bureautiques de confiance ;
  2. d’utiliser une suite bureautique alternative à jour ;
  3. de vérifier la mise à jour des antivirus

2 Listes blanches anti-spam

Certains sites web, au nom de la lutte contre les messages électroniques non désirés, proposent d’entretenir des listes blanches d’adresses de messagerie. Le principe est le suivant : lorsque vous envoyez un message électronique, vous êtes invités à vous inscrire auprès d’un site web, qui se pose comme tiers de confiance. Ce dernier validera pour tous vos échanges futurs le fait que vous n’êtes pas un robot de spam.

Ces listes blanches soulèvent toutefois de nombreuses questions :

  • avez-vous accès à l’information stockée dans ces bases de données ?
  • pouvez-vous modifier ces informations ?
  • quelle confiance accordez-vous dans ce tiers que vous ne connaissez pas ?
  • le transit de vos messages électroniques par ces tiers de confiance est-il conforme à votre politique de sécurité ?
  • est-il souhaitable de communiquer une adresse électronique réellement utilisée ?
  • une adresse de messagerie ainsi stockée chez un tiers de confiance peut-elle être utilisée par un robot de spam ?

Le CERTA vous recommande de bien réfléchir à ces questions avant d’imposer l’utilisation d’une quelconque liste blanche d’adresses de messagerie à vos correspondants.

Des questions similaires se posent pour toute solution utilisant des listes noires, c’est à dire des listes à éviter. Ce procédé est employé dans des outils proposant de combattre le spam, ou le filoutage.

3 Vulnérabilités de BIND

Le CERTA a publié le 07 septembre 2006 un avis sur le service ISC BIND (Berkeley Internet Name Domain). Ce dernier met en œuvre le protocole DNS servant à la résolution de noms de domaine (association entre une adresse IP et un nom.

Le CERTA annonce dans cet avis (CERTA-2006-AVI-384) deux vulnérabilités pouvant conduire une personne malveillante à provoquer un mauvais fonctionnement (arrêt de service) d’un serveur DNS vulnérable.

DNS est un élément important dans le bon fonctionnement d’un système d’information connecté à l’Internet. Il est utilisé par de nombreuses applications, comme les navigateurs, mais parfois de manière discrète, comme par exemple les messageries. Un mauvais fonctionnement des serveurs DNS peut ainsi entraîner des dysfonctionnements en chaîne.

Le CERTA recommande donc vivement d’appliquer les mises à jour signalées dans l’avis.

4 Analyse de journaux Microsoft

Microsoft utilise dans un ensemble d’applications une numérotation particulière pour identifier les événements. Par exemple, sous Windows XP, une liste d’événements observés se trouve à l’emplacement suivant :

  • démarrer
  • Panneau de configuration
  • Performances et maintenance
  • Outils d’administration
  • Observateur d’événements.

Les événements sont classés en trois grandes catégories, celles ayant trait aux applications installées, celles liées au système d’exploitation et celles de sécurité.

En cliquant sur un événement particulier, il peut arriver que le champ description soit manquant, car des droits empêchent de récupérer cette information ou la bibliothèque installée ne le fournit pas. Plusieurs sites se proposent de lister et expliciter les messages associés à chaque événement, en fonction d’un numéro d’identifiant et des sources (ou bibliothèques). Il est intéressant de se reporter à ceux-ci pour éclaircir des événements donnés :

Ces deux sites fournissent par ailleurs d’autres informations utiles :

Rappel des avis émis

Dans la période du 28 août au 03 septembre 2006, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 08 septembre 2006
    version initiale.