ACTUALITES

Début de mois agité pour internet, qui était soumis dès le 6 février à une attaque de grande envergure. Trois des treize serveurs racine de la Toile, le Saint des Saints, étaient noyés sous un flot massif de requêtes, selon la bonne vieille technique du déni de service (DDoS). Selon l'ICANN, qui gère une partie des serveurs, c'est l'assaut le plus puissant connu depuis 2002. Les trois serveurs attaqués, bien que très perturbés, ne sont toutefois pas tombés. Depuis la grande attaque de 2002, des mesures de protection sérieuses, à la fois techniques, matérielles et organisationnelles, sont venues renforcer ces serveurs essentiels au fonctionnement d'internet. Si l'objectif de l'attaque du 6 février dernier  demeure inconnu (en tout cas aucun des responsables de ces serveur n'a révélé d'information à ce sujet), son origine, en revanche, semble avoir été identifiée en Corée du Sud.

Un cran sous internet, il y a la myriade de réseaux locaux, qui bien souvent s'appuient sur les produits du fabricant Cisco. Et là aussi, le mois a été riche en incidents. Les pare-feux PIX et les boîtiers ASA de Cisco sont vulnérables à une série d'attaques à distance qui permettraient de faire crasher les équipements. L'attaque vise ici le Firewall Services Module (FWSM). Du côté de la voix sur IP, ce sont les téléphones Cisco qui permettent à n'importe qui de devenir administrateur via notamment des mots de passe par défaut. Sur le réseau lui-même, la faille la plus embarrassante concerne le Cisco's Secure Services Client (un client 802.1x utilisé pour l'authentification sur les réseaux, notamment dans le cadre de l'initiative NAC du fabricant). Dans tous les cas, des correctifs sont disponibles auprès du constructeur.

Sur le poste de travail enfin, les choses ont été aussi particulièrement chargées. La suite Office de Microsoft a été victime d'une série de vulnérabilités majeures, notamment sur Word et Excel. Certaines de ces vulnérabilités ne sont pas encore corrigées. Internet Explorer, dans ses versions 6 et 7, souffre lui aussi d'une série de vulnérabilités dont certaines critiques permettant la prise de contrôle à distance du PC. Elles sont cependant corrigées par la dernière livraison mensuelle des correctifs de sécurité de l'éditeur.

Enfin, toujours sur le poste de travail, Google a corrigé ce qui était une faille majeure de son outil de recherche locale Google Desktop. La faille, de type cross-site scripting, permettait à n'importe qui d'explorer le contenu du PC (soigneusement indexé par Google Desktop) après avoir exécuté du code JavaScript hérité de la visite d'une page web. Il est vivement conseillé de télécharger la dernière version de l'outil, qui ferme la porte à cette vulnérabilité.

Plus d'informations :
Les vulnérabilités Cisco : VoIP, Secure Services Client et PIX.
Les alertes Microsoft du mois de février.
L'alerte sur Internet Explorer chez Secunia.
Télécharger la dernière version de Google Desktop.