OSSIR Groupe SécuritS. curité Windows. Réunion du du 7 novembre 2005 EADS. Réunion OSSIR du 07/11/2005. page 1

Transcription

1 OSSIR Groupe SécuritS curité Réunion du du 7 novembre 2005 page 1

2 Revue des dernières res vulnérabilit s Microsoft Nicolas RUFF EADS-CCR nicolas.ruff@eads.net page 2

3 Avis Microsoft (1/5) (Avis de de sécurité Microsoft depuis le le octobre 2005) Octobre 2005 MS ::"directory traversal" le le client FTP FTP Affecte :: IE IE 6 SP1 SP1 Exploit :: un un serveur malicieux renvoie un un nom nom de de fichier fichier de de la la forme forme "../fichier" MS :: DoS DoSlocal sur sur les les connexions réseau via via la la "connection manager" Affecte :: SP4, SP4, XP XP SP1/SP2, SP0/SP1 Exploit :: N/D N/D page 3

4 Avis Microsoft (2/5) MS "Buffer Overflow" le le service client client NetWare Affecte Affecte :: SP4, SP4, XP XP SP1/SP2, SP1/SP2, SP0/SP1 SP0/SP1 Exploit Exploit :: exécution exécution de de code code à distance distance (note (note: : le le service service NetWare NetWare n'est n'est pas pas démarré démarrépar par défaut) défaut) Crédit Crédit :: Kostya KostyaKortchinsky Kortchinsky MS "Buffer Overflow" le le service PnP PnP Affecte Affecte :: SP4, SP4, XP XP SP1/SP2 SP1/SP2 Exploit Exploit :: exécution exécution de de code code à distance distance (requière (requière une une authentification authentification sous sous XP) XP) Crédit Crédit :: eeye eeye (Derek (Derek Soeder) Soeder) MS "Buffer Overflow" CDO CDO (Collaborative Data Data Objects) Affecte Affecte :: SP4, SP4, XP XP SP1/SP2, SP1/SP2, SP0/SP1, SP0/SP1, Exchange Exchange SP3 SP3 Exploit Exploit :: exécution exécution de de code code à distance distance Crédit Crédit :: Gary Gary O'leary-Steele O'leary-Steele page 4

5 Avis Microsoft (3/5) MS Vulné multiples l'interface Affecte Affecte :: SP4, SP4, XP XP SP1/SP2, SP1/SP2, SP0/SP1 SP0/SP1 Exploit Exploit :: 2 2 vulné vulné le le support support des des fichiers fichiers.lnk.lnk 1 1 vulnérabilité vulnérabilité l'aperçu l'aperçu WebView WebView Crédit Crédit :: Cesar CesarCerrudo Cerrudo // Brett Brett Moore Moore MS "Buffer Overflow" DirectShow Affecte Affecte :: DirectX DirectX c 9.0c Exploit Exploit :: exécution exécution de de code code arbitraire arbitraire à l'ouverture l'ouverture d'un d'un fichier fichier.avi.avi Crédit Crédit :: eeye eeye (Fang (Fang Xing) Xing) MS Vulné multiples COM+ COM+ et et DTC DTC Affecte Affecte :: SP4, SP4, XP XP SP1/SP2, SP1/SP2, SP0/SP1 SP0/SP1 Exploit Exploit :: "Buffer "Buffer Overflow" Overflow" COM+ COM+ exploitable exploitable à à distance distance "Buffer "Buffer Overflow" Overflow" DTC DTC exploitable exploitable à à distance distance Utilisation Utilisation de de DTC DTC comme comme zombie zombie pour pour DoS DoS (via (via IDENTIFY) IDENTIFY) DoS DoS DTC DTC Crédit Crédit :: eeye, eeye, idefense, idefense, Cesar CesarCerrudo Cerrudo page 5

6 Avis Microsoft (4/5) MS Vulné multiples IE IE Affecte :: IE IE SP4, SP4, IE IE SP2, SP2, IE IE 6.0, 6.0, IE IE SP1 SP1 Exploit ::"Buffer Overflow" multiples lors lors de de l'initialisation de de composants ActiveX Crédit Crédit :: Will Will Dormann, FrSIRT, Parvez ParvezAnwar, eeye eeye (Fang (Fang Xing) Xing) Advisories Q :: problèmes recensés avec MS si si le le répertoire %WINDIR%\registration n'a n'a pas pas les les permissions par par défaut Novembre 1 bulletin critique affectant page 6

7 Avis Microsoft (5/5) Révisions MS Version Version :: les les "monikers" "monikers" ne ne sont sont plus plus supportés supportés IE IE MS Version Version :: description description de de la la clé cléde de base base de de registre registre pour pour MS Version Version :: clarifications clarifications de de la la description description Version Version :: clarifications clarifications de de la la description description Version Version :: détails détails sur sur les les interactions interactions avec avec DirectX DirectX MS Version Version :: problèmes problèmes de de permissions permissions décrits décrits ci-dessous ci-dessous MS Version Version :: clarifications clarifications de de la la description description Version Version :: description description de de la la clé cléde de base base de de registre registre pour pour Version Version :: incompatibilité incompatibilitéentre entre différents différents niveaux niveaux de de protection protection page 7

8 Infos Microsoft (1/2) Les Les futures futures Stock Stock Control Control Unit Unit (SKU) (SKU) de de Starter Starter Basic Basic Premium Premium Ultimate Ultimate Standard/SB Standard/SB Enterprise Enterprise (ADS) (ADS) Enterprise Enterprise - - IA64 IA64 Standard Standard Datacenter Datacenter Std/SB/Ent Std/SB/Ent - - VL VL Binding Binding Service Service Std/SB/Ent Std/SB/Ent VLGeneric VLGeneric Std/SB/Ent Std/SB/Ent DMAK DMAK Starter Starter Digital Digital Boost Boost Basic Basic Premium Premium Ultimate Ultimate Standard/SB Standard/SB Enterprise Enterprise Basic Basic N Standard Standard N page 8

9 Infos Microsoft (2/2) Sortie Sortie de de Office Office SP2 SP2 Date Date :: // // Site Site :: Autres Autres sorties sorties Beta Beta 2 IE IE 7 Beta Beta 1 for for XP XP SP2 SP2 Present-and-Future.ppt Present-and-Future.ppt VirtualWifi :: connexions multiples sur sur la la même même carte carte WiFi WiFi Microsoft porte porte plainte plainte contre contre campagnes de de spam spam utilisant des des réseaux de de zombies Spam Spam capturé capturédepuis Hotmail Hotmail page 9

10 Autres avis (1/3) Premier "hit" "hit" pour pour le le "Zero "ZeroDay Initiative" ZDI : ZDI : VERITAS VERITAS NetBackup NetBackupRemote RemoteCode Execution Execution Skype SkypeSecurity Evaluation Tom Tom Berson Berson // Anagram AnagramLaboratories Des Des outils outils de de sécurité à surveiller WehnTrust WehnTrust :: GRSecurity GRSecuritypour pour Core CoreForce :: Mandatory MandatoryAccess Control Control pour pour Gartner déconseille la la migration vers vers Office Office avant avant Office-12 Office-12 L'urgence L'urgence est est de de renouveler renouveler le le parc parc Note Note :: Office Office devra devra désormais désormais être être activé activéen en ligne ligne page 10

11 Autres avis (2/3) La La comédie musicale "Nerds" a joué jouéà guichets fermés fermés Il Il est est possible possible d'écouter d'écouter les les titres titres " " Rap" Rap" et et "I'm "I'mJust A Nerd" Nerd" en en MP3 MP3 Sony Sony a une une conception particulière de de la la DRM DRM Activité virale virale pagation pagation du du ver ver Mocbot Mocbot Exploite Exploite la la faille faille MS MS (PnP) (PnP) Forte Forte activité activitémytob.* Reçu(s) Reçu(s) fois fois ce ce mois-ci mois-ci sur sur la la boite boite de de l'ossir l'ossir Contournement Contournement antivirus antivirus Les Les antivirus antivirus se se basent basent sur sur l'entête l'entête du du fichier fichier Un Un fichier fichier.bat.bat commençant commençant par par "MZ" "MZ" est est scanné scanné comme comme un un binaire binaire Il Il est est possible possible de de créer créer un un fichier fichier avec avec 3 3 points points d'entrée d'entrée différents différents selon selon son son extension extension!! (.EXE,.HTML, (.EXE,.HTML,.EML).EML) page 11

12 Autres avis (3/3) Michael Lynn embauché par par Juniper Symantec attaque Microsoft devant la la commission européenne Abus Abus de de position dominante Suite Suite aux aux annonces de de Microsoft Futur Futur "Microsoft "Microsoft Client Client tection" tection" Anti-virus, Anti-virus, anti-spyware, anti-spyware, anti-rootkit anti-rootkit Nouvelle Nouvelle version version Antigen Antigenpour Exchange Exchange Espère sans sans doute doute faire faire mieux mieux que que RealNetworks Accord Accord amiable amiable de de million million de de dollars dollars cès cès Rhapsody Rhapsodyvs. vs. MSN MSN Search Search cès cès RealPlayer RealPlayervs. vs. Media Media Player Player page 12

13 Questions / réponsesr Questions // réponses Date de de la la prochaine réunion Lundi décembre 2005 N'hésitez pas à proposer des sujets et et des salles page 13