S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 17 décembre 2010
N° CERTA-2010-ACT-050
Affaire suivie par: CERT-FR
le 17 décembre 2010

Bulletin d'actualité du CERT-FR

Objet: Bulletin d’actualité 2010-50

Gestion du document

Référence CERTA-2010-ACT-050
Titre Bulletin d’actualité 2010-50
Date de la première version 17 décembre 2010
Date de la dernière version 17 décembre 2010
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Mise à jour des produits Microsoft

Comme tous les mois, Microsoft a publié cette semaine une liste de correctifs de certains de ses produits, couvrant de nombreuses versions de Windows. Parmi les 17 avis émis par Microsoft, dix traitent de vulnérabilités permettant l’exécution de code arbitraire à distance.

On pourra également noter que le bulletin de sécurité MS10-090 (voir l’avis CERTA-2010-AVI-593) corrige la vulnérabilité décrite dans l’alerte CERTA-2010-ALE-019 du 03 novembre 2010.

Compte tenu de la criticité des failles corrigées, il est impératif d’appliquer l’ensemble des correctifs de manière diligente.

Documentation

2 Dépôt d’une porte dérobée dans phpMyFAQ

Les développeurs du projet phpMyFAQ ont annoncé sur leur site Web (http://www.phpmyfaq.de) que le serveur principal du projet avait été compromis. Cette attaque a eu pour conséquence le dépôt de versions contenant une porte dérobée. Les versions affectées par cette modification sont phpMyFAQ 2.6.11 et 2.6.12. L’attaquant a également changé les fichiers de condensats cryptographiques (hash) MD5 afin de dissimuler la modification des sources.

La porte dérobée a été ajoutée dans le fichier inc/Faq.php et encodée en base64. Ce code envoie tout d’abord un courriel vers une adresse définie puis ajoute une entrée dans la table faqconfig utilisée par phpMyFAQ. Cette entrée est ensuite utilisée comme porte dérobée en permettant d’inclure du code PHP arbitraire.

Les sources contenant cette porte dérobée ont été disponibles en téléchargement du 04 au 15 décembre 2010. Le CERTA recommande, par précaution, à tous les administrateurs ayant déployé phpMyFAQ de vérifier les condensats cryptographiques (hash MD5) des sources sur la page de l’éditeur.

Documentation

Rappel des avis émis

Dans la période du 06 au 12 décembre 2010, le CERT-FR a émis les publications suivantes :


Durant la même période, les publications suivantes ont été mises à jour :

Gestion détaillée du document

    le 17 décembre 2010
    version initiale.