Le site du projet du Grand Paris contiendrait des malwares
Le spécialiste informatique de Plus belle la vie à la rescousse !
Alors que France.fr se remet tout doucement de ses émotions, un autre site de l’Hexagone connaît lui aussi quelques soucis. Le projet du Grand Paris, hébergé sur le site du ministère de la Culture, serait en effet un véritable « nid à malwares » selon notre confrère Bluetouff, qui suit le sujet depuis le début.
« Une mauvaise configuration aurait ouvert la porte à un cross site scripting et sûrement d’autres joyeusetés, résultant en une compromission du site qui n’est aujourd’hui qu’un nid à malware » résume Bluetouff. Or cela fait désormais plus de trois semaines que ces problèmes ont été remarqués et dévoilés. Et depuis, rien n’a été fait pour colmater ces brèches. Une situation incroyable, alors que le danger est réel, autant pour le site que pour ses visiteurs.
Face à cette non-réaction, Bluetouff a alors eu la bonne idée de vérifier les nombreux sous-domaines du site du ministère de la Culture. Certains sont nouveaux, d’autres bien plus anciens. Certains sont très bien configurés, et d’autres… bien moins.
« Les solutions techniques déployées sont très hétérogènes et certaines datent de Mathusalem. C’est par exemple le cas du catalogue partagé du réseau documentaire de l’administration centrale. Le Tomcat 4.1.18 est en proie à plusieurs vulnérabilités plus ou moins importantes, exploitables à distance, comme une RequestDispatcher directory traversal vulnerability, des vulnérabilités xss sur les servlets (utilisables pour du vol de session par exemple), j’en passe et des meilleurs… »
En somme, le projet du Grand Paris n’est pas le seul concerné par ces problèmes de négligences caractérisées...
« Une mauvaise configuration aurait ouvert la porte à un cross site scripting et sûrement d’autres joyeusetés, résultant en une compromission du site qui n’est aujourd’hui qu’un nid à malware » résume Bluetouff. Or cela fait désormais plus de trois semaines que ces problèmes ont été remarqués et dévoilés. Et depuis, rien n’a été fait pour colmater ces brèches. Une situation incroyable, alors que le danger est réel, autant pour le site que pour ses visiteurs.
Face à cette non-réaction, Bluetouff a alors eu la bonne idée de vérifier les nombreux sous-domaines du site du ministère de la Culture. Certains sont nouveaux, d’autres bien plus anciens. Certains sont très bien configurés, et d’autres… bien moins.
« Les solutions techniques déployées sont très hétérogènes et certaines datent de Mathusalem. C’est par exemple le cas du catalogue partagé du réseau documentaire de l’administration centrale. Le Tomcat 4.1.18 est en proie à plusieurs vulnérabilités plus ou moins importantes, exploitables à distance, comme une RequestDispatcher directory traversal vulnerability, des vulnérabilités xss sur les servlets (utilisables pour du vol de session par exemple), j’en passe et des meilleurs… »
En somme, le projet du Grand Paris n’est pas le seul concerné par ces problèmes de négligences caractérisées...
Nil Sanyas
le 17 août 2010 à 17:41
(16 255
lectures)
Actualités et brèves relatives
- 17 / 08 / 2010 : Facebook : Sophos met en garde contre un faux bouton "Je n'aime pas"
- 13 / 08 / 2010 : Jailbreakme : le code exploitant la faille d'iOS 4 rendu public
- 12 / 08 / 2010 : Apple corrige la faille critique utilisée par JailbreakMe
- 06 / 08 / 2010 : Microsoft : 34 failles corrigées dans les prochains bulletins
- 05 / 08 / 2010 : Failles de l’iPhone : colmatage imminent d'iOS, l'alerte du CERTA
- 03 / 08 / 2010 : Windows : Microsoft colmate la brèche critique des raccourcis
- 02 / 08 / 2010 : Un chercheur hacke le flux payant de la conférence Black Hat
- 30 / 07 / 2010 : Des apps papier-peint sous Android récupèrent des infos personnelles
