Les détails de la faille d'OpenSSH
26 juin 2002. ISS vient de publier sur Bugtraq les détails de la faille d'OpenSSH. Il s'agit d'un problème dans le mécanisme d'authentification "challenge-response". Apparemment si OpenSSH est compilé sans les options SKEY ni BSD_AUTH, la vulnérabilité n'est pas exploitable. De meme, utiliser la ligne suivante(...) (Auteur: Victor Vuillard)
> Sécurité / Sécurité

Vulnérabilité OpenSSH
25 juin 2002. ISS, peu après avoir dévoilé le problème sur Apache, avait annoncé qu'ils travaillaient sur une faille d'un autre logiciel libre (en annonçant cette fois-ci que la démarche serait un peu différente !). Encore Bind ? Sendmail ? Squid ? Et bien non, OpenSSH... :-( Les détails sur la faille(...) (Auteur: Victor Vuillard)
> Sécurité / Sécurité

Version corrigée d'Apache
19 juin 2002. Une nouvelle version du serveur Web Apache vient de sortir, corrigeant les récents problèmes de sécurité. (NdM: 1.3.26) Dans un même temps, la société ISS subit un retour de flamme du à sa "mauvaise conduite" lorsqu'elle a commencé le thread sur les problèmes de sécurité d'Apache. En effet(...) (Auteur: Victor Vuillard)
> Sécurité / Sécurité

faille dans apache
18 juin 2002. Une petite faille (buffer overflow) vient d'être annoncée sur securityfocus (ex bugtraq) concernant apache 1.x. Il s'agit d'une erreur d'entier signé/non-signé pour allocation d'un tampon mémoire, qui peut-être exploitée, selon X-Force, découvreur du bug, sur les plate-formes WIN32 mais pas(...) (Auteur: falbala)
> Sécurité / Sécurité

Vers des logiciels plus sûrs ?
17 juin 2002. Les logiciels occupent une position privilégiée dans notre monde en ce qui concerne leurs défauts : si votre chaîne HiFi explose lorsque vous écoutez un album de Celine Dion, vous pouvez poursuivre le fabriquant et éventuellement obtenir des dommages et intérêts. Or cette cause ne s'applique(...) (Auteur: bad_sheep)
> Sécurité / Justice

Billou laisse les fenêtres ouvertes
13 juin 2002. Voici un nouveau problème dans les serveurs IIS de Microsoft qui fait préférer l'OpenSource... Le fait que l'on puisse executer du code à distance sur le serveur IIS grâce à ce bug dans la gestion des requetes HTR n'est probablement pas le plus grave ! En effet, comme le dévoile un article de Wired(...) (Auteur: Victor Vuillard)
> Sécurité / Microsoft

Déni de service dans x-window
13 juin 2002. Lors d'utilisation de fontes anormalement grandes, il est possible de geler un PC utilisant X-window... L'expérience peut etre tentée avec Gimp, mais le plus dangereux reste encore le deni de service à distance grace à Mozilla, lorsque les fontes se voient assignées une valeur trop grande dans(...) (Auteur: Victor Vuillard)
> Sécurité / X-Window

Vulnérabilité de type DoS sur BIND 9
06 juin 2002. Une vulnérabilité de type DoS (déni de service) a été découverte sur BIND 9. L'exploitation de cette vulnérabilité se fait grâce à la construction d'un paquet malformé qui aura pour effet d'arrêter le service BIND. L'impact d'une telle attaque peut être grave dans la mesure où beaucoup(...) (Auteur: saad (a.k.a. bsdguy))
> Sécurité / Sécurité

Virus multiplate-formes Linux et Windows
05 juin 2002. Ca y est le premier "vrai" virus qui affecte à la fois Windows et Linux est arrivé. Il s'appelle "Simile.D" et est polymorphe. Petites précisions : - il n'affecte que les machines Linux qui sont en mode super-utilisateur (ndm : huh ?) - il affiche une boite de dialogue sous windows et écrit(...) (Auteur: QasU)
> Sécurité / Linux

CBS / Enfin un outil qui nous facilite la vie.
01 juin 2002. CBS est un systeme client-serveur qui permet aux utilisateurs de lier les ports TCP/UDP en dessous de 1024. Un simple fichier de configuration permet d'autoriser tel ou tel utilisateur a ouvrir tel ou tel port. Dans la pratique, un utilisateur particulier pourra donc etre autorisé à lancer un service(...) (Auteur: Auroux Lionel)
> Sécurité / Linux

Trop Carnivore ?
30 mai 2002. L'EPIC (Electronic Privacy Information Center) a mis à jour un disfonctionnement du programme du FBI (sniffer) qui analyse les communications Internet chez les fournisseurs d'accès. En effet, celui-ci aurait analysé des courriels n'entrant pas dans le cadre de personnes sous mandat d'écoute (donc(...) (Auteur: Flyounet)
> Sécurité / Internet

L'Europe dit oui à la rétention des données
30 mai 2002. Pas de surprise à Bruxelles : les eurodéputés ont voté en faveur de la rétention de données, à 340 pour et 150 contre, soit une grande majorité. Le principe de «la rétention des données» privées est donc adopté. Ce vote ouvre la voie à la surveillance générale et exploratoire des communications(...) (Auteur: Scoubid00)
> Sécurité / Justice

wu-imapd
29 mai 2002. RedHat, Mandrake, Eridani et sûrement d'autres (Debian ?) viennent de sortir des patches pour leur packages... En effet, un buffer overflow vient d'être découvert dans les serveurs IMAP utilisés dans ces distributions. Ce problème engendre la possibilité de lancer des commandes sur le serveur(...) (Auteur: BeTa)
> Sécurité / Sécurité

Backdoor dans irssi
25 mai 2002. Il semblerait qu'un petit malin ait trouvé le moyen de modifier les sources d'irssi (client irc). La modification porterait sur le script configure d'irssi. Ce dernier ouvrirait une connexion entre votre box et une machine distance, par le biais de laquelle il serait possible de s'infiltrer dans votre babasse(...) (Auteur: FeelGoord)
> Sécurité / Sécurité

CanSecWest/core02
21 mai 2002. Les présentations de CSW/core02 sont en ligne : - Immunix - Owl GNU/Linux - honeyd et pots de miel - Outils taranis, radiate, etc. Ainsi que des photos ! Note du modérateur : la CanSecWest Core02 est une convention sur la sécurité informatique qui s'est déroulée du 1er au 3 mai à Vancouver (Auteur: Jean)
> Sécurité / Sécurité

Astuces de base pour sécuriser un serveur Linux
21 mai 2002. George Rushmore sur le site de Help Net Security, nous propose un article qui donne quelques conseils de base pour sécuriser un serveur Apache sous Linux. « Si vous venez de mettre un serveur web Apache en ligne, et que vous pensez à la sécurité, ce bref article pourra vous y aider. Par le fait(...) (Auteur: Naxale)
> Sécurité / Sécurité

Sortie de Steghide 0.4.6
18 mai 2002. La nouvelle version de steghide, un logiciel de stéganographie sous licence GPL, est sortie. Plusieurs améliorations, dont une de taille: le support des fichiers JPEG, plus largement utilisés que les fichiers BMP. Les messages d'aide/d'erreur du programme sont francisés, mais pour les pages man(...) (Auteur: Julien)
> Sécurité / Sécurité

Bug dans NetFilter
09 mai 2002. Un bug a été trouvé dans l'implémentation de la translation d'adresse dans NetFilter... Lorsqu'une régle de NAT s'applique à un packet qui cause un message d'erreur ICMP, celui-ci est renvoyé avec l'adresse locale de la machine natée ! Ceci peut montrer quels ports d'un firewall sont translatés(...) (Auteur: Victor Vuillard)
> Sécurité / Sécurité

Faille dans certains noyaux : détournement de stdio/stderr
23 avril 2002. Une série de messages de Joost Pol (pine), James Youngman (FreeBSD) et Theo de Raadt (OpenBSD) fait état d'un grave problème dans plusieurs noyaux unix (testé et vérifié sur FreeBSD et Solaris) : les redirections standards (input, output et error) peuvent être détournées par un programme sans(...) (Auteur: Jitsu)
> Sécurité / Sécurité

encore une faille dans sshd
22 avril 2002. Les versions de SSHd compilées avec le support Kerberos et AFS souffrent d'un nouveau problème de sécurité. Les conséquences peuvent être dangereuses puisque la faille permet un exploit distant pour les versions inférieures à 2.9.9 et un local pour les autres (jusqu'a 3.3). Il est à noter(...) (Auteur: Victor Vuillard)
> Sécurité / Sécurité