faille

Allez zou, encore une nouvelle faille de sécurité vient d'être découverte dans Mozille cette fois.

La faille a été découverte par Mozilla, sur un site d'actualités russe... Cette publicité exploitait le lecteur pdf et Java Script pour injecter un joli script nauséaband qui en fait, vous dérobe vos données... comme d'habitude et vos données étaient ensuite, immédiatement, envoyées, sur un serveur ukrainien... ben quoi, les voyages forment la jeunesse.

Donc, si ce n'est pas encore fait, merci de mettre à jour votre Firefox le plus rapidement possible... et ce, même si vous n'allez pas sur les sites d'actualités russe.

Il faut aller en Inde, pour qu'un chercheur en sécurité du nom de Laxman Muthiyah, découvre dans Facebook, une faille qui permet de supprimer l'ensemble des photos d'un profil, d'une page ou d'un groupe, sans avoir besoin d'autorisation.

Cette faille se trouvait dans l'API graphique du réseau. "N'importe quel album photo détenu par n'importe quel utilisateur du réseau social, groupe ou page peut être supprimé".

Etant donné que c'est un chercheur en sécurité, il a prévenu Facebook de l'existence de la faille, animation à l'appui. Faille que le réseau a comblé en quelques heures.

Il a ensuite, mis en ligne cette vidéo.

Un simple jeton d'accès mobile de l'API lui a permi de réaliser cela. Il aurait pu, supprimer l'ensemble des photos sur le réseau...

En remerciement, Facebook lui a offert un joli chèque de 12 500 $.

En allant sur le site de Adobe, on peu lire qu'ils viennent de trouver un gros bug :

Ici : https://helpx.adobe.com/security/products/flash-player/apsa15-02.html

Trend Micro lance une alerte au niveau de la sécurité de Adobe Flash Player. Cette faille ne concerne que la version 16.0.0.296... qu'on se le dise.

Les premières victimes de la faille, ont été les utilisateurs de Dailymotion, qui se sont vu redirigés vers des pages utilisant la faille, via des URL pubilicitaires, essentiellement, des bannières.

Cette faille, permet, pour celui qui l'exploite, de prendre possession de votre ordinateur.

Le patch n'est pas encore disponible et Trend Micro, de son côté, conseille de désactiver le module.

Encore une faille qui s'ajoute aux précédentes.... soit, les hackeurs deviennent de plus en plus malin... soit les éditeurs deviennent de moins en moins efficace...

Pendant la dernière conférence Black Hat, une importante faille de sécurité sur les clés USB a été révélée. Elle permet de corrompre n'importe quel type de supports USB, en introduisant des malwares qui sont indétectables.

Que font-ils ?

Ils vont injecter en sous-marin et de manière silencieuse, des malwares, dans la machine hôte et leur permettre de s'exécuter silencieusement, dans le but de dérober vos informations. Cela n'est pas sans rappeler l'infection il y a quelques années du fichier autorun.inf sous Windows.

A la différence près, c'est qu'à l'heure d'aujourd'hui, rien n'est fait pour contrer efficacement cette faille.

Adam Caudill et Brandon Wilson, deux chercheurs, ont publiés leur recherche sur le sujet et démontré la faille : https://github.com/adamcaudill/Psychson

« Nous pensons que tout ceci devrait être public. Ce ne devrait pas être gardé caché. Nous publions donc tout ce que nous avons ». Le détail de la faille n'a pas été publié, ne rêvez pas non plus.

Adam Caudill indique de son côté : « Si cela doit être corrigé, nous avons besoin de plus qu’une présentation à la Black Hat. Si les seules personnes qui peuvent le faire sont celles ayant de gros budgets, les constructeurs ne feront jamais rien. Vous devez prouver au monde que c’est utilisable, que n’importe qui peut le faire… Ce qui impose une pression aux constructeurs pour qu’ils corrigent le vrai problème ».

La solution ?

Flasher les firmwares de millions de clés, dont certaines ne sont plus produites depuis fort longtemps ?... impossible. Il est juste possible de prendre des précautions pour celles qui vont sortir.

Un conseil ?

• Utiliser dans la mesure du possible une clé USB dans un bac à sable pour l'isoler au maximum si on est pas sûr de la clé que l'on va introduire dans sa machine.
• Ne pas faire un doucle-clic pour l'ouvrir et ne pas lancer l'auto-run et d'utiliser les commandes pour l'ouvrir tout simplement... plus long, mais cela semble le moins dangereux pour l'instant.
• Scanner sa clé régulièrement et la formater au besoin.

Mais que fait Microsoft ?... il ne corrige plus ses failles, du moment qu'elles ne sont pas exploitées par les "hackeurs".... belle mentalité Messieurs.

Pour résumer, une faille de sécurité sous Explorer 8 existe depuis octobre 2013... rien que cela. Le Zero Day Initiative révèle l'information au grand public, car, si au bout de 180 jours, la firme n'a pas corrigée la faille, le ZDI informe le grand public et la, forcemment, elle doit être corrigée, sinon, les hackeurs, qui en prennent connaissances, vont pouvoir s'en donner à coeur joie.

"La faille se trouve au sein de l'élément CMarkup, dans le moteur de rendu MSHTML. En exploitant cette vulnérabilité, les pirates peuvent exécuter du code arbitraire, en vue de détourner l'usage de la machine infectée."

Ce qui est regrettable, c'est que, si la faille avait été corrigée à temps, elle aurait pu bénéficier à XP... ce qui n'est plus le cas aujourd'hui.

La question est : combien d'autres failles existent réellement et qui ne sont pas corrigées ?.. en gros, on le savait déjà, Microsfot est une passoire.