Le top 20 des failles de sécurité selon le SANS
Le célèbre SANS (SysAdmin, Audit, Network, Security) vient tout juste de ...
Le célèbre SANS (SysAdmin, Audit, Network, Security) vient tout juste de publier sa liste des vulnérabilités les plus importantes constatées durant le trimestre écoulé. Il s'agit en fait d'une mise à jour de son grand classement publié chaque année en octobre. Ces Oscars des trous de sécurité ont été distribués à partir d’une liste, excusez du peu, de 600 failles découvertes lors durant cette période.
Pour avoir l’illustre honneur de figurer dans ce Top 20, la vulnérabilité doit répondre à cinq caractéristiques :
- Elle doit affecter un maximum de personnes
- Elle ne doit pas avoir été corrigée dans les faits sur un nombre substantiel de systèmes informatiques
- Elle doit permettre à un utilisateur distant et non autorisé de prendre commande de la machine faillible
- Des détails suffisants doivent avoir été postés sur Internet pour permettre à un attaquant de les exploiter
- Elle doit avoir été découverte ou patchée durant les trois premiers mois de l’année 2005.
Parmi les produits ou logiciels listés sous Windows, on retrouvera Microsoft avec plusieurs failles dont :
- Windows License Logging Service Overflow (MS05-010)
- Microsoft Server Message Block(SMB) Vulnerability (MS05-011)
- Internet Explorer Vulnerabilities (MS05-014 and MS05-008)
- Microsoft HTML Help ActiveX Control Vulnerability (MS05-001)
- Microsoft DHTML Edit ActiveX Remote Code Execution (MS05-013)
- Microsoft Cursor and Icon Handling Overflow (MS05-002)
- Microsoft PNG File Processing Vulnerabilities (MS05-009)
La liste met également à l’index, plusieurs éditeurs d’antivirus (Symantec, F-Secure, Trend Micro et McAfee ) avec des cas de débordements de mémoire tampon (buffer overflow), la sinistre faille de DNS Cache Poising, ou encore plusieurs lecteurs multimédias dont RealPlayer, Winamp and iTunes, tous victimes de buffer overflows.
Sous système UNIX, ont déjà été pointés des failles concernant :
- U1 BIND Domain Name System
- U2 Web Server
- U3 Authentication
- U4 Version Control Systems
- U5 Mail Transport Service
- U6 Simple Network Management Protocol (SNMP)
- U7 Open Secure Sockets Layer (SSL)
- U8 Misconfiguration of Enterprise Services NIS/NFS
- U9 Databases
- U10 Kernel
On pourra avoir un descriptif détaillé des problèmes sur cette page et celle-ci . A défaut de l’avoir fait en temps utile, on profitera surtout de l'événement pour faire un rapide bilan des mises à jour sur son système.
Pour avoir l’illustre honneur de figurer dans ce Top 20, la vulnérabilité doit répondre à cinq caractéristiques :
- Elle doit affecter un maximum de personnes
- Elle ne doit pas avoir été corrigée dans les faits sur un nombre substantiel de systèmes informatiques
- Elle doit permettre à un utilisateur distant et non autorisé de prendre commande de la machine faillible
- Des détails suffisants doivent avoir été postés sur Internet pour permettre à un attaquant de les exploiter
- Elle doit avoir été découverte ou patchée durant les trois premiers mois de l’année 2005.
Parmi les produits ou logiciels listés sous Windows, on retrouvera Microsoft avec plusieurs failles dont :
- Windows License Logging Service Overflow (MS05-010)
- Microsoft Server Message Block(SMB) Vulnerability (MS05-011)
- Internet Explorer Vulnerabilities (MS05-014 and MS05-008)
- Microsoft HTML Help ActiveX Control Vulnerability (MS05-001)
- Microsoft DHTML Edit ActiveX Remote Code Execution (MS05-013)
- Microsoft Cursor and Icon Handling Overflow (MS05-002)
- Microsoft PNG File Processing Vulnerabilities (MS05-009)
La liste met également à l’index, plusieurs éditeurs d’antivirus (Symantec, F-Secure, Trend Micro et McAfee ) avec des cas de débordements de mémoire tampon (buffer overflow), la sinistre faille de DNS Cache Poising, ou encore plusieurs lecteurs multimédias dont RealPlayer, Winamp and iTunes, tous victimes de buffer overflows.
Sous système UNIX, ont déjà été pointés des failles concernant :
- U1 BIND Domain Name System
- U2 Web Server
- U3 Authentication
- U4 Version Control Systems
- U5 Mail Transport Service
- U6 Simple Network Management Protocol (SNMP)
- U7 Open Secure Sockets Layer (SSL)
- U8 Misconfiguration of Enterprise Services NIS/NFS
- U9 Databases
- U10 Kernel
On pourra avoir un descriptif détaillé des problèmes sur cette page et celle-ci . A défaut de l’avoir fait en temps utile, on profitera surtout de l'événement pour faire un rapide bilan des mises à jour sur son système.
Marc Rees
le 9 mai 2005 à 10:24
(5 399
lectures)
Actualités et brèves relatives
- 04 / 05 / 2005 : Apple : 20 failles corrigées pour MacOS X client et serveur
- 25 / 04 / 2005 : Une faille hautement critique corrigée par RealNetworks
- 20 / 04 / 2005 : 1,4 million de victimes d’une fraude informatique
- 20 / 04 / 2005 : Une vulnérabilité dans McAfee Internet Security Suite 2005
- 14 / 04 / 2005 : Failles, une pour Microsoft Office, une pour OpenOffice
- 05 / 04 / 2005 : Mars 2005 : Top 10 des virus les plus rencontrés
- 04 / 04 / 2005 : Deux failles cachées dans Internet Explorer et Outlook
- 25 / 03 / 2005 : Firefox plus sécurisé que IE : la réponse de Microsoft
- 09 / 03 / 2005 : De nouveaux patchs pour Windows 98 et Me ? Oui !
