FortiRecorder versions 7.0.x antérieures à 7.0.6

FortiRecorder versions 7.2.x antérieures à 7.2.4

FortiVoice versions 7.2.x antérieures à 7.2.1

FortiMail versions 7.4.x antérieures à 7.4.5

FortiCamera versions antérieures à 2.1.4

FortiMail versions 7.0.x antérieures à 7.0.9

FortiNDR versions 7.6.x antérieures à 7.6.1

FortiNDR versions 7.4.x antérieures à 7.4.8

FortiVoice versions 6.4.x antérieures à 6.4.11

FortiNDR versions antérieures à 7.0.7

FortiNDR versions 7.1.x à 7.2.x antérieures à 7.2.5

FortiRecorder versions 6.4.x antérieures à 6.4.6

FortiMail versions 7.2.x antérieures à 7.2.8

FortiVoice versions 7.0.x antérieures à 7.0.7

FortiMail versions 7.6.x antérieures à 7.6.3

## Solutions

Le CERT-FR recommande l'application des correctifs dans les plus brefs délais, se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

 Si cela n'est pas possible, l'éditeur recommande de désactiver l'interface de gestion. Le CERT-FR rappelle que l'exposition d'une interface de gestion sur Internet est contraire aux bonnes pratiques.

Avis CERT-FR CERTFR-2025-AVI-0399 du 13 mai 2025

Version initiale

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
Le 13 mai 2025, Fortinet a publié un avis de sécurité concernant la vulnérabilité CVE-2025-32756.  Celle-ci permet à un attaquant non authentifié d'exécuter du code arbitraire à distance.

L'éditeur indique que cette vulnérabilité est activement exploitée. Les exploitations constatées jusqu'ici concernent les produits FortiVoice.

Fortinet fournit également des marqueurs de compromission à rechercher.

Vulnérabilité dans les produits Fortinet

Bulletin de sécurité Fortinet FG-IR-25-254


Endpoint Manager Mobile versions 11.12.0.x antérieures à 11.12.0.5

Endpoint Manager Mobile versions 12.5.0.x antérieures à 12.5.0.1

Endpoint Manager Mobile versions 12.3.0.x antérieures à 12.3.0.2

Endpoint Manager Mobile versions 12.4.0.x antérieures à 12.4.0.2

## Solutions

Le CERT-FR recommande l'application des correctifs dans les plus brefs délais.

Ivanti indique que la mise en place de listes de contrôle d'accès au niveau de l'API [1] permet de limiter la menace. De plus l'éditeur peut mettre à disposition une mesure de contournement sous la forme d'un fichier RPM.

Avis CERT-FR CERTFR-2025-AVI-0400 du 13 mai 2025

[1] Documentation d'Ivanti relative à l'utilisation des listes de contrôle d'accès

Version initiale

Une preuve de concept est publiquement disponible.

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
[Mise à jour du 15 mai 2025]

Une preuve de concept est publiquement disponible sur Internet.

[Publication initiale]

Le 13 mai 2025, Ivanti a publié deux avis de sécurité concernant les vulnérabilités CVE-2025-4427 et CVE-2025-4428. L'utilisation combinée de ces deux vulnérabilités permet l'exécution de code arbitraire à distance pour un utilisateur non authentifié.

Ivanti indique que ces vulnérabilités sont activement exploitées.

Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile (EPMM)

Bulletin de sécurité Ivanti Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM

Bulletin de sécurité Ivanti epmm-security-update


Roundcube Webmail versions 1.6.x antérieures à 1.6.11

Roundcube Webmail versions antérieures à 1.5.10

## Solutions

Les versions correctives 1.5.10 et 1.6.11 ont été publiées par l'éditeur.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Avis CERT-FR CERTFR-2025-AVI-0468 du 02 juin 2025

Version initiale

Exécution de code arbitraire à distance

Summary:
[Mise à jour du 06 juin 2025]

Une preuve de concept est publiquement disponible.

[Publication initiale]

Le 01 juin 2025, Roundcube a publié des correctifs concernant une vulnérabilité critique affectant son portail de messagerie ainsi que tous les produits l'incluant (par exemple cPanel et Plesk).

Cette vulnérabilité permet à un utilisateur authentifié d'exécuter du code arbitraire à distance.

L'éditeur ne mentionne pas d'identifiant CVE.

Des détails techniques sur cette vulnérabilité ont été publiés avec l'identifiant CVE-2025-49113. Le CERT-FR anticipe la disponibilité imminente de codes d'exploitation et recommande fortement de mettre à jour dans les plus brefs délais au vu du nombre important de produits exposés.

[MàJ] Vulnérabilité dans Roundcube

Bulletin de sécurité Roundcube security-updates-1.6.11-and-1.5.10


NetScaler Gateway versions 14.1.x antérieures à 14.1-47.46

NetScaler Gateway versions 13.1.x antérieures à 13.1-59.19

NetScaler ADC versions 14.1.x antérieures à 14.1-47.46

NetScaler ADC versions 13.1.x antérieures à 13.1-59.19

NetScaler ADC versions 13.1-FIPS et NDcPP  versions antérieures à 13.1-37.236-FIPS et NDcPP

Les déploiements de Secure Private Access on-prem et Secure Private Access Hybrid utilisant des instances NetScaler sont également affectés par cette vulnérabilité.

## Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
L'obtention des correctifs 13.1-FIPS et 13.1-NDcPP s'effectue via la page d’assistance de Citrix [1].

[12] Évaluation des journaux NetScaler pour identifier des tentatives d'exploitation

Documentation mise à jour d'un équipement NetScaler 14.1

Avis CERT-FR CERTFR-2025-AVI-0528 du 20 juin 2025

[4] Comment générer un fichier de support sur ADC

Documentation mise à jour d'un équipement NetScaler 13.1

[1] Assistance de Citrix

[7] À propos de NetScaler VPX

[8] Sauvegarde et restauration des instances NetScaler

[6]  Guide effacement des données de votre NetScaler MPX

[2] Lettre d’information de NetScaler : mises à jour de sécurité critique de NetScaler pour les vulnérabilités CVE-2025-6543 et CVE-2025-5777

Avis CERT-FR CERTFR-2025-AVI-0540 du 26 juin 2025

[3] Mesures à prendre en cas de suspicion de compromission de NetScaler ADC

[10] Les bons réflexes en cas d’intrusion sur un système d’information

[5] Comment générer un Core Dump NSPPE sur NetScaler

[11] Bulletin de sécurité Citrix CTX693420 du 17 juin 2025

[9] Meilleures pratiques de sécurité pour NetScaler MPX, VPX et SDX

Version initiale

Ajout de la vulnérabilité CVE-2025-5777.

Ajout d'un lien contenant une méthode d'évaluation pour identifier des tentatives d'exploitation

Déni de service à distance

Non spécifié par l'éditeur

Atteinte à la confidentialité des données

Summary:
**[Mise à jour du 17 juillet 2025]**

L'éditeur a publié un lien contenant une méthode d'évaluation permettant d'identifier des tentatives d'exploitation dans les journaux applicatifs et systèmes [12].

**[Mise à jour du 7 juillet 2025]**

Le 17 juin 2025, Citrix a publié un bulletin de sécurité concernant notamment la vulnérabilité CVE-2025-5777 [11]. Celle-ci permet à un attaquant non authentifié de faire fuiter des portions aléatoires de la mémoire de NetScaler ADC et NetScaler Gateway et ainsi potentiellement récupérer les informations de connexion d'une session active.

Le 4 juillet 2025, une preuve de concept a été publiée publiquement. Celle-ci est triviale à utiliser et le CERT-FR constate des exploitations actives.

La vulnérabilité CVE-2025-5777 est exploitable par le biais du formulaire d'authentification.

Citrix recommande l'arrêt de toutes les sessions ICA et PCoIP actives après l'installation du correctif. Le CERT-FR recommande d'aller plus loin avec l'inspection des sessions actives fraîchement renouvelées en ciblant en priorité celles qui proviennent de plusieurs adresses IP.

De plus, si le correctif pour la vulnérabilité CVE-2025-5777 a été installé après la publication de la preuve de concept, le CERT-FR recommande également le renouvellement des mots de passe des utilisateurs.

Les vulnérabilités CVE-2025-6543 et CVE-2025-5777 étant activement exploitées, tout Netscaler exposé qui n'aurait pas reçu les correctifs pour ces deux vulnérabilités doit être considéré comme compromis.

**[Publication initiale]**

Le 25 juin 2025, Citrix a publié un avis de sécurité concernant la vulnérabilité CVE-2025-6543 affectant NetScaler ADC et NetScaler Gateway. L'éditeur lui a attribué un score CVSS v4.0 de 9,2 et indique qu'elle permet à un attaquant de provoquer un débordement de mémoire entrainant un flux de contrôle imprévu et un déni de service à distance. L'équipement est vulnérable s'il est configuré en tant que passerelle (*Gateway : VPN virtual server, ICA Proxy, CVPN, RDP Proxy*) ou en tant que serveur virtuel AAA (*AAA virtual server*).

Citrix indique que les produits NetScaler ADC et NetScaler Gateway en version 12.1 et 13.0 sont en fin de vie. L'éditeur recommande aux utilisateurs de migrer vers une version supportée et à jour.

Citrix déclare avoir connaissance d'exploitations actives de cette vulnérabilité.

L'obtention des marqueurs de compromission se fait via la page d’assistance de Citrix [1][2]. NetScaler préconise en particulier de rechercher des arrêts inopinés [2].

En cas de suspicion de compromission, l'éditeur recommande [3] :
* si le NetScaler est une instance virtuelle VPX :
    * réaliser un instantané du système de fichier et de la mémoire vive ;
    * documenter l'heure du système, les paramètres du fuseau horaire et la configuration NTP avant l'isolation ;
* si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
* générer un fichier de support sur ADC [4] ;
* générer un Core Dump NSPPE sur NetScaler [5] ;
*  si le NetScaler est un  équipement MPX ou SDX, récupérer une image du disque ;
* isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de nouvel accès non autorisé et de latéralisation ;
* révoquer des informations d'identification et d'accès :
    * changer les mots de passe et secrets des comptes de service stockés sur le NetScaler tel que les comptes de service LDAP, les secrets partagés RADIUS, les jetons OAuth, les clés API, les noms de communauté SNMP ;
    * modifier les comptes utilisateurs susceptibles d'avoir été authentifiés via la plateforme suspectée d'être compromise, y compris les serveurs virtuels Gateway ou AAA ;
    * révoquer les certificats et les clés privées associées stockées sur la plateforme suspectée d'être compromise ;
* examiner tous les serveurs et systèmes auxquels l'ADC NetScaler s'est connecté pour détecter tout signe de compromission ;
* si le NetScaler est un équipement MPX, se référer au guide pour effacer et réinstaller le MPX [6] ;
* si le NetScaler est un équipement SDX ou une instance virtuelle VPX, se référer au guide pour effacer et réinstaller le SDX ou le VPX [7] ;
* mettre à jour le NetScaler ADC vers la dernière version disponible du micrologiciel (*firmware*) avant de restaurer la sauvegarde de la configuration ;
* restaurer une sauvegarde saine à l'aide de la console NetScaler, se référer au guide pour obtenir des instructions détaillées [8] ;
* modifier tous les mots de passe des comptes locaux sur le NetScaler ADC ;
* renouveler les clés de chiffrement (*Key Encryption Keys*) ;
* supprimer tous les certificats SSL restaurés ;
* remplacer tous les certificats SSL restaurés ;
* pour renforcer le NetScaler ADC, se référer au guide pour obtenir les meilleures pratiques de sécurité pour NetScaler MPX, VPX et SDX [9].

En cas de compromission, signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur un système d'information [10].

Multiples vulnérabilités dans Citrix NetScaler ADC et NetScaler Gateway

Bulletin de sécurité Citrix CTX694788


Microsoft SharePoint Enterprise Server 2016 versions antérieures à 16.0.5513.1001

Microsoft SharePoint Server 2019 versions antérieures à 16.0.10417.20037

Microsoft SharePoint Server Subscription Edition versions antérieures à 16.0.18526.20508

Microsoft SharePoint Enterprise Server 2013 toutes versions

Microsoft SharePoint Enterprise Server 2010 toutes versions

**[Mise à jour du 23 juillet 2025]**

L'éditeur annonce que SharePoint Enterprise Server 2010 et SharePoint Enterprise Server 2013 ne recevront pas de correctifs de sécurité. Le CERT-FR recommande aux utilisateurs de migrer vers un produit disposant de mises à jours.

## Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Mise à jour de sécurité pour Microsoft SharePoint Enterprise Server 2016 (KB5002760)

Mise à jour de sécurité pour Microsoft SharePoint Server 2019 Core (KB5002754)

[1] Conseils aux clients pour la vulnérabilité SharePoint CVE-2025-53770

Description de la mise à jour de sécurité pour SharePoint Enterprise Server 2016 : 8 juillet 2025 (KB5002744)

[5] Compromission système - Endiguement

Mise à jour de sécurité pour Microsoft SharePoint Enterprise Server 2016 Language Pack (KB5002759)

Description de la mise à jour de sécurité pour SharePoint Server 2019 : 8 juillet 2025 (KB5002741)

Mise à jour de sécurité pour Microsoft SharePoint Server Subscription Edition (KB5002768)

Avis CERT-FR CERTFR-2025-AVI-0611 du 21 juillet 2025

[4] Compromission système - Qualification

[2] Amélioration de la sécurité de l'état de ASP.NET et de la gestion des clés

[3] Prévention de l'exploitation active des vulnérabilités de SharePoint

Version initiale

Mises à jour de sécurité pour SharePoint Enterprise Server 2016 et marqueurs de compromission disponibles.

Ajout de la référence CVE CVE-2025-53771, informations sur les produits obsolètes et recherche de compromission

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
**[Mise à jour du 23 juillet 2025]**

Le 20 juillet 2025, Microsoft a publié des correctifs pour une vulnérabilité de type limitation insuffisante d'un chemin d'accès à un répertoire restreint, aussi appelé *path traversal*, affectant SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition. L'éditeur indique que la vulnérabilité CVE-2025-53771 permet à un attaquant de provoquer une usurpation d'identité sur un réseau.

**[Mise à jour du 22 juillet 2025]**

Microsoft a publié les mises à jour cumulatives (*Cumulative Update*, *CU*) de sécurité pour SharePoint Enterprise Server 2016.
L'éditeur fournit également des marqueurs de compromission à rechercher [3].

**[Publication initiale]**

Le 19 juillet 2025, Microsoft a publié des correctifs pour une vulnérabilité de type jour-zéro affectant SharePoint Enterprise Server 2016, SharePoint Server 2019 et SharePoint Server Subscription Edition. L'éditeur indique que la vulnérabilité CVE-2025-53770 permet à un attaquant de provoquer une désérialisation de données non fiables entrainant une exécution de code arbitraire à distance.

Microsoft indique que la vulnérabilité CVE-2025-53770 est activement exploitée.

Pour limiter les attaques potentielles, l'éditeur a fait des recommandations [1].

Le CERT-FR recommande les actions suivantes :
* si l'instance SharePoint est dans une version disposant d'un correctif pour cette vulnérabilité :
    * appliquer les dernières mises à jour de sécurité, y compris la mise à jour de sécurité de juillet 2025 ;
    * effectuer une rotation des clés de machine ASP.NET du SharePoint Server [2];
    * redémarrer IIS sur tous les serveurs SharePoint.
* si ça n'est pas le cas, déconnecter ou filtrer les accès à cette instance.

L'éditeur fournit des moyens de détection et de protection pour Microsoft Defender Antivirus [1].

## Recherche de compromission

**[Mise à jour du 23 juillet 2025]**

Dès que le correctif est appliqué ou l’instance SharePoint isolée :
* effectuer une recherche de compromission ;
* rechercher dans les journaux réseau IIS SharePoint en privilégiant la période allant du 7 juillet 2025 jusqu'à la date d'application des correctifs de sécurité.

Les caractéristiques des requêtes HTTP sont décrites ci-dessous:

            Caractéristiques HTTP
            Valeur(s) à rechercher

            Méthode HTTP
            POST

            URL
            /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx
 /_layouts/16/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx

            Referer
            /_layouts/SignOut.aspx
 https://<cible>/_layouts/SignOut.aspx
 http://<cible>/_layouts/SignOut.aspx

<cible> étant le nom de domaine de votre SharePoint.

Si des journaux système sont disponibles, rechercher des processus inhabituels générés par le processus IIS w3wp.exe tels que powershell.exe ou cmd.exe.

En cas de compromission, signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les fiches réflexes de compromission système [4][5].

Le CERT-FR recommande de déterminer si l’instance SharePoint n’héberge pas des secrets d’administration du système d'information.

[MàJ] Multiples vulnérabilités dans Microsoft SharePoint

Bulletin de sécurité Microsoft CVE-2025-53770

Bulletin de sécurité Microsoft CVE-2025-53771


Pare-feux SonicWall de génération 7 avec le VPN SSL activé

## Contournement provisoire

Dans l'attente de plus de renseignements, voire d'un éventuel correctif, l'éditeur conseille de désactiver le VPN SSL.

Si cela n'est pas possible, celui-ci recommande a minima de :
* limiter l'accès à des adresses IP de confiance ;
* activer les services de sécurité proposés ;
* activer l'authentification à multiples facteurs ;
* supprimer les comptes inactifs ;
* mettre à jour les mots de passe en accord avec les bonnes pratiques (cf. section Documentation).

## Solution

[Mise à jour du 7 août 2025]

L'éditeur recommande d'installer la version 7.3.0 de SonicOS, qui contient des mesures de protection contre des attaques par force brute. De plus, SonicWall conseille de modifier tous les mots de passe des utilisateurs, en complément des mesures déjà préconisées (cf. Contournement provisoire).

Alerte CERT-FR CERTFR-2024-ALE-011 du 10 septembre 2024

Recommandations relatives à l'authentification multifacteur et aux mots de passe

CERTFR-2025-RFX-002 : Compromission d'un équipement de bordure réseau - Endiguement

CERTFR-2025-RFX-001 : Compromission d'un équipement de bordure réseau - Qualification

Version initiale

Mise à jour avec les nouveaux éléments de l'éditeur.

Non spécifié par l'éditeur

Summary:
[Mise à jour du 7 août 2025]

Le 6 août 2025, SonicWall a remplacé une partie de son communiqué initial pour indiquer que les incidents de sécurité évoqués étaient vraisemblablement corrélés à la vulnérabilité CVE-2024-40766. Celle-ci a fait l'objet d'un bulletin de sécurité, SNWLID-2024-0015 (cf. section Documentation), publié le 8 août 2024.

Selon l'éditeur, nombre de ces incidents de sécurité sont liés à une migration de la génération 6 à 7, mais au cours de laquelle les mots de passe n'ont pas été modifiés, à l'encontre des préconisations de l'avis SNWLID-2024-0015.

**[Publication Initiale]**

Le 4 août 2025, SonicWall a publié un communiqué (cf. section Documentation) concernant des incidents de sécurité constatés sur les pare-feux de génération 7 lorsque le VPN SSL est activé.

L'éditeur déclare ne pas savoir si ces incidents sont liés à une vulnérabilité déjà connue ou s'il s'agit d'une nouvelle vulnérabilité.

Plusieurs entreprises de sécurité, citées par l'éditeur, ont publié des billets de blogue, dont certains sont disponibles en source ouverte.

Ceux-ci proposent des indicateurs de compromission qui n'ont pas été qualifiés par le CERT-FR.

Incidents de sécurité dans les pare-feux SonicWall

Bulletin de sécurité Sonicwall

Communiqué SonicWall


NetScaler Gateway versions antérieures à 13.1-59.22

NetScaler ADC versions antérieures à 14.1-47.48

NetScaler ADC versions antérieures à 13.1-59.22

NetScaler ADC 12.1-FIPS et 12.1-NDcPP versions antérieures à 12.1-55.330

NetScaler Gateway versions antérieures à 14.1-47.48

NetScaler ADC 13.1-FIPS et 13.1-NDcPP versions antérieures à 13.1-37.241

Citrix rappelle que les versions 12.1 and 13.0 de NetScaler ADC et NetScaler Gateway sont obsolètes et ne recevront plus de mises à jour de sécurité. L'éditeur recommande de migrer vers une version maintenue et à jour.

## Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Le CERT-FR recommande l'application des correctifs dans les plus brefs délais.

Avis CERT-FR CERTFR-2025-AVI-0730 du 26 août 2025

Compromission d'un équipement de bordure réseau - Endiguement

Recommendations de Citrix en cas de soupçons de compromission

Compromission d'un équipement de bordure réseau - Qualification

Version initiale

Exécution de code arbitraire à distance

Summary:
Le 26 août 2025, Citrix a publié un bulletin de sécurité (cf. section Documentation) concernant, entre autres, la vulnérabilité CVE-2025-7775.

Celle-ci permet une exécution de code arbitraire à distance et affecte toutes les versions de Citrix NetScaler ADC et NetScaler Gateway, dans certaines configurations détaillées par l'éditeur.

Citrix indique que la vulnérabilité CVE-2025-7775 est activement exploitée.

Vulnérabilité dans Citrix NetScaler ADC et NetScaler Gateway

Bulletin de sécurité Citrix CTX694938


Firewall Threat Defense (FTD) versions 7.7.x antérieures à 7.7.10.1

Adaptive Security Appliance (ASA) versions 9.17.x et 9.18.x antérieures à 9.18.4.67

Firewall Threat Defense (FTD) versions 7.3.x et 7.4.x antérieures à 7.4.2.4

Firewall Threat Defense (FTD) versions 7.6.x antérieures à 7.6.2.1

Adaptive Security Appliance (ASA) versions 9.16.x antérieures à 9.16.4.85

Adaptive Security Appliance (ASA) versions 9.19.x et 9.20.x antérieures à 9.20.4.10

Adaptive Security Appliance (ASA) versions 9.12.x antérieures à 9.12.4.72

Adaptive Security Appliance (ASA) versions 9.23.x antérieures à 9.23.1.19

Firewall Threat Defense (FTD) versions 7.0.x antérieures à 7.0.8.1

Adaptive Security Appliance (ASA) versions 9.22.x antérieures à 9.22.2.14

Adaptive Security Appliance (ASA) versions 9.14.x antérieures à 9.14.4.28

Firewall Threat Defense (FTD) versions 7.1.x et 7.2.x antérieures à 7.2.10.2

## Solutions

**[Mise à jour du 26 septembre 2025]**

Suite à plusieurs publications de la Cisa (dont [2]), le CERT-FR recommande d'effectuer les actions suivantes :
- lancer la commande `show checkheaps` toutes les minutes pendant cinq minutes et sauvegarder les résultats sur un système tiers. Un exemple de résultat est présenté dans [1] ;
    * la valeur située dans la ligne `Totale number of runs` doit s'incrémenter au cours du temps. Si aucune évolution n'est constatée, cela indique une potentielle compromission ;
- lancer la commande `show tech-support detail` et sauvegarder les résultats sur un système tiers ;
- lancer la commande `more /binary system:/text | grep 55534154 41554156 41575756 488bb3a0` et sauvegarder les résultats sur un système tiers ;
    * si cette commande retourne des résultats, cela indique une potentielle compromission ;
- vérifier la quantité d'événements syslog 302013, 302014, 609002 et 71005 [1] et [2] car une diminution notable peut indiquer une potentielle compromission ;
- **à ce stade, si une compromission potentielle est détectée, envisager de déconnecter l'équipement d'Internet et [signaler immédiatement l’événement auprès du CERT-FR](https://www.cert.ssi.gouv.fr/contact/) qui vous indiquera la marche à suivre** ;
- si aucune compromission n'a été détectée jusque-là, effectuer la mise à jour de l'équipement si celle-ci est disponible ;
    * lors du processus de mise à jour, surveiller les messages affichés sur la console de l'équipement, conformément aux étapes présentées dans la section `Bootloader and/or ROMMON Verification Failure` de [1] ;
- à l'issue de la mise à jour, chercher sur l'équipement la présence d'un fichier nommé `firmware_update.log` ;
    * en cas de présence de ce fichier, récupérer son contenu et sauvegarder les résultats sur un système tiers, **cela indique une potentielle compromission , envisager alors de déconnecter l'équipement d'Internet et [signaler l’événement auprès du CERT-FR](https://www.cert.ssi.gouv.fr/contact/) qui vous indiquera la marche à suivre** ;
- effectuer une recherche de compromission et de latéralisation plus large, en utilisant les éléments suivants:
    * rechercher des connections VPN rapprochées avec des origines géographiques distantes [1] et [2] ;
    * rechercher les éléments présentés dans la section `Step Two: Review Compromised Account Activity`de [2] ;
    * rechercher des indicateurs de compromission en se basant sur les éléments présentés dans la section `Rules and signatures` de [3] ;
    * rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
        * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement ;
        * puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion.
    * si vous trouvez des traces de latéralisation, [contactez le CERT-FR](https://www.cert.ssi.gouv.fr/contact/) ;
- dans tous les cas, effectuer une rotation de l'ensemble des secrets et des éléments de configuration de l'équipement ainsi que de tous les secrets qui auraient pu transiter par cet équipement.

Si aucune mise à jour n'est disponible pour l'équipement, le CERT-FR recommande de le déconnecter d'Internet.

**[Publication initiale]**

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Dans l'attente de l'application des correctifs, Cisco recommande de désactiver les services VPN (IKEv2 et SSL VPN).

L'éditeur fournit également des renseignements pour tenter de détecter une compromission potentielle (cf. section Documentation).

[3] Rapport d'analyse des logiciels malveillants RayInitiator et LINE VIPER du NCSC-UK

Billet de blogue Cisco du 25 septembre 2025

[1] Guide de détection Cisco du 25 septembre 2025

Avis CERT-FR CERTFR-2025-AVI-0819 du 25 septembre 2025

[2] Guide de la CISA relatif à la réalisation d'un vidage mémoire et de la recherche de compromission

Version initiale

Ajout d'éléments pour la recherche de compromission

Clarification des recommandations.

Mise à jour du billet de blogue Cisco.

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Connaissance de codes d'exploitation publics

Déni de service à distance

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
**[Mise à jour du 07 novembre 2025]**

Le 5 novembre 2025, Cisco a mis a jour son billet de blogue initialement publié le 25 septembre 2025 (cf. section Documentation). L'éditeur déclare avoir connaissance d'une nouvelle attaque, affectant les équipements ASA et FTD vulnérables, qui cause un déni de service à distance.

**[Mise à jour du 06 octobre 2025]**

Le CERT-FR a connaissance de codes d'exploitation publics.

**[Publication initiale]**

Le 25 septembre 2025, Cisco a publié plusieurs avis de sécurité, un billet de blogue ainsi qu'un guide de détection concernant des vulnérabilités affectant le serveur VPN Web de Adaptive Security Appliance (ASA) et Secure Firewall Threat Defense (FTD).

La vulnérabilité CVE-2025-20362 permet à un attaquant de contourner l'authentification pour accéder à des ressources protégées.

La vulnérabilité CVE-2025-20333 permet à un attaquant authentifié d'exécuter du code arbitraire à distance.

Exploitées conjointement, celles-ci permettent à un attaquant non authentifié de prendre la main sur une machine vulnérable.

Cisco indique que ces vulnérabilités sont activement exploitées.

[MàJ] Multiples vulnérabilités dans Cisco ASA et FTD

Bulletin de sécurité Cisco cisco-sa-asaftd-webvpn-z5xP8EUB

Bulletin de sécurité Cisco cisco-sa-asaftd-webvpn-YROOTUW


Expo sans les versions correctives de react-server-dom-webpack

Redwood SDK versions antérieures à 1.0.0-alpha.0

Next.js versions 15.0.x antérieures à 15.0.5

Waku sans les versions correctives de react-server-dom-webpack

Next.js versions 15.1.x antérieures à 15.1.9

Next.js versions 15.5.x antérieures à 15.5.7

react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.2.x antérieures à 19.2.1

Next.js versions 14.x canary

Next.js versions 15.3.x antérieures à 15.3.6

React router avec le support de l'API RSC sans les derniers correctifs de sécurité

react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.0.x antérieures à 19.0.1

Next.js versions 15.4.x antérieures à 15.4.8

react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack versions 19.1.x antérieures à 19.1.2

Next.js versions 16.0.x antérieures à 16.0.7

Vitejs avec le greffon plugin-rsc sans les derniers correctifs de sécurité

Next.js versions 15.2.x antérieures à 15.2.6

## Solutions

Le CERT-FR recommande de mettre à jour au plus vite les composants vers les versions correctives listées dans les avis éditeurs (cf. section Documentation).

[2] Billet de Blogue de Huntress, analyse et indicateurs de compromission

Bulletin d'actualité CERTFR-2025-ACT-053 du 04 décembre 2025

[1] Billet de Blogue de Wiz.io, analyse et indicateurs de compromission

Compromission système - Qualification

Compromission système - Endiguement

Version initiale

Recherche de compromission, références des fiches système de qualification et endiguement

Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.

Exécution de code arbitraire à distance

Summary:
**[Mise à jour du 11 décembre 2025]**

Le CERT-FR a connaissance de multiples exploitations de la vulnérabilité CVE-2025-55182. Les serveurs avec une version vulnérable exposés après la publication des preuves de concept publiques du 5 décembre 2025 doivent être considérés comme compromis.

Certains billets de blogues [1] [2] incluent des indicateurs de compromission. Ces indicateurs n'ont pas été qualifiés par le CERT-FR.

**[Mise à jour du 08 décembre 2025]**

Le CERT-FR a connaissance d'exploitations pour la vulnérabilité CVE-2025-55182.

**[Publication initiale]**

Le 3 décembre 2025, React a publié un avis de sécurité relatif à la vulnérabilité CVE-2025-55182 affectant React Server Components et qui permet à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance. L'éditeur de Next.js a également publié un avis de sécurité faisant référence à l'identifiant CVE-2025-66478. Cet identifiant a été rejeté en raison du doublon avec l'identifiant utilisé par React. Cette faille de sécurité est également connue sous le nom de *React2Shell*.

Cette vulnérabilité concerne plus précisément les React Server Functions. Même si une application n'utilise pas explicitement de telles fonctions, elle peut être vulnérable si elle supporte les React Server Components. En particulier, plusieurs cadriciels tels que Next.js implémentent de telles fonctions par défaut.

Les technologies React Server Components et React Server Functions sont relativement récentes (la version 19 de React a été publiée fin 2024) et toutes les applications utilisant la technologie React ne sont ainsi pas nécessairement affectées. Veuillez vous référer à la section systèmes affectés pour plus d'informations.

Le CERT-FR a connaissance de preuves de concept publiques pour cette vulnérabilité et anticipe des exploitations en masse.

*Note : Le CERT-FR a connaissance de la mise en place de règles de blocages de la vulnérabilité au niveau de plusieurs pare-feu applicatifs web populaires. Bien que ces mécanismes puissent rendre l'exploitation de la vulnérabilité plus difficile, ils ne peuvent pas remplacer une mise à jour vers une version corrective.*

[MàJ] Vulnérabilité dans React Server Components

Billet de blogue React relatif à la vulnérabilité CVE-2025-55182

Billet de blogue Vercel relatif à la vulnérabilité CVE-2025-55182

Bulletin de sécurité Facebook CVE-2025-55182


Endpoint Manager Mobile versions 12.5.0.x sans le script correctif RPM_12.x.0.x

Endpoint Manager Mobile versions 12.5.1.x sans le script correctif RPM_12.x.1.x

Endpoint Manager Mobile versions 12.7.0.x sans le script correctif RPM_12.x.0.x

Endpoint Manager Mobile versions 12.6.1.x sans le script correctif RPM_12.x.1.x

Endpoint Manager Mobile versions 12.6.0.x sans le script correctif RPM_12.x.0.x

## Solutions

L'obtention des scripts RPM correctifs 12.x.0.x et 12.x.1.x s'effectuent via le portail de téléchargement d'Ivanti. L'éditeur précise que les correctifs apportés par ses scripts RPM sont temporaires et qu'il est nécessaire de les réinstaller à chaque montée de version jusqu'à l'obtention d'Ivanti Endpoint Manager Mobile version 12.8.0.0.

[3] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Comment révoquer un certificat

[1] Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, système de sauvegarde

Compromission d'un équipement de bordure réseau - Endiguement

Compromission d'un équipement de bordure réseau - Qualification

Avis CERT-FR CERTFR-2026-AVI-0110 du 30 janvier 2026

Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide de gestion des terminaux, Configuration du protocole SCEP

Ivanti EPMM 12.0.0.0 - 12.7.0.0 Guide du administrateur système, exportation des données : SysLog

[2] Prise en main d'Ivanti EPMM 12.0.0.0 - 12.7.0.0, Configuration des serveurs LDAP

Version initiale

Mises à jour de l'éditeur et précision concernant l'analyse des journaux.

Correction de  la date de publication de l'avis éditeur

Exécution de code arbitraire à distance

Summary:
[Mise à jour du 09 février 2026]

Le 6 février 2026, Ivanti a mis à disposition des scripts RPM de détection d'indicateurs de compromission, à utiliser en fonction de la version d'EPMM installée.

L'éditeur a également mis son guide d'analyse à jour (cf. section Documentation).

[Mise à jour du 02 février 2026]

Une preuve de concept est disponible publiquement.

[Publication initiale]

Le 29 janvier 2026, Ivanti a publié un avis de sécurité concernant les vulnérabilités critiques CVE-2026-1281 et CVE-2026-1340 affectant Ivanti Endpoint Manager Mobile (EPMM). L'éditeur indique qu'elles permettent à un attaquant non authentifié de provoquer une exécution de code arbitraire à distance.

Ivanti indique que les vulnérabilités CVE-2026-1281 et CVE-2026-1340 sont activement exploitées dans le cadre d'attaques ciblées.

## Recherche de compromission

En cas de suspicion de compromission, l'éditeur recommande  :
* d'isoler totalement les équipements EPMM et Sentry concernée du réseau, vis-à-vis d'Internet comme du réseau interne ;
*Note : Sentry est conçu pour acheminer certains types de trafic depuis les terminaux mobiles vers le réseau interne. Si vous pensez que votre équipement EPMM est compromis, Ivanti recommande d'examiner les systèmes auxquels Sentry peut accéder afin de détecter d'éventuelles traces de reconnaissances ou de mouvements latéraux.*
* de réaliser un instantané ou effectuer une sauvegarde du disque ;
* de rechercher les tentatives d'exploitations dans les journaux d'accès Apache /var/log/httpd/https-access_log.

Les caractéristiques des requêtes HTTP malveillantes sont décrites ci-dessous :

            Caractéristiques HTTP
            Valeur(s) à rechercher

            Méthode HTTP
            GET

            Chemin d'accès
            /mifs/c/aftstore/fob/
/mifs/c/appstore/fob/

            Code HTTP
            404

            Paramètres
            contenant des commandes bash

Les instances d'ivanti EPMM avec le correctif de sécurité appliqué produiront des faux positifs suivants lors de la recherche de requêtes HTTP malveillantes qui ressemblent à l'exemple ci-dessous :

127.0.0.1:33354 - - 2026-01-28--12-00-01 "GET /mifs/c/aftstore/fob/3/0/sha256:kid=0 HTTP/1.1" 404

[Mise à jour du 09 février 2026]

Précision : La présence du motif de requête, cité ci-dessus, en provenance de l'adresse de l'hôte local (localhost), dans les journaux Apache, permet de confirmer que le correctif a bien été appliqué.

Deux moyens de persistance sont connus à ce jour par l'éditeur :
1. le déploiement de différentes consoles web malveillantes *(webshells)*, en modifiant des pages d'erreur HTTP tel que 401.jsp ou en introduisant des fichiers WAR ou JAR ;
2. le déploiement d'invite de commande inverse *(reverse shell)*.

Toute requête vers des pages d'erreur HTTP utilisant la méthode POST ou des paramètres doit être considérée comme une suspicion de communication avec une porte dérobée.
Toute connexion de longue durée initiée par un Ivanti EPMM doit être considérée comme une suspicion de communication par un invite de commande inverse.

## Remédiation

En cas de compromission, l'éditeur préconise de :
* restaurer une sauvegarde saine d'un Ivanti EPMM [1] ;
* s'il n'est pas possible de récupérer l'EPMM à partir d'une sauvegarde, Ivanti recommande de créer un EPMM de remplacement, puis de migrer les données vers celui-ci ;
* réinitialiser les mots de passe de tous les comptes EPMM locaux ;
* réinitialiser les mots de passe de tous les comptes de service LDAP et KDC [2] ;
* révoquer et remplacer les certificats publics utilisés par l'EPMM [3] ;
* réinitialiser les mots de passe de tous les comptes de service interne ou externe configuré avec EPMM.

[MàJ] Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile

Bulletin de sécurité Ivanti

Bulletin de sécurité Ivanti

Guide d'analyse Ivanti Endpoint Manager Mobile


Tous les systèmes Windows (NT, 2000 et 9x) sont concernés.

## Origine

-   Source du ver donnée par un de nos partenaire.
-   groupe de news fr.comp.securite.
-   Avis du CERT IST.
-   Avis SYMANTEC
    http://www.symantec.com/avcenter/venc/data/vbs.loveletter.a.html.

## Symptomes

## 5.1 E-mail

Arrivée d'un e-mail aux caractéristiques suivantes :

**Objet :**
:   ILOVEYOU

**Corps du message**
:   kindly check the attached LOVELETTER coming from me.

**Fichier attaché**
:   LOVE-LETTER-FOR-YOU.TXT.vbs.

## 5.2 IRC

Réception d'une page HTML LOVE-LETTER-FOR-YOU.HTM ayant pour titre «
LOVELETTER - HTML» dès que l'on se connecte à un canal IRC sur lequel
une personne infectée est présente.

## 5.3 Fichiers infectés

###  5.3.1 Faux fichiers systèmes

Les fichiers suivants sont créés

-   Dans le répertoire de windows (WINDOW ou WINNT): Win32DLL.vbs
-   Dans le répertoire système de Windows : MSKernel32.vbs et
    LOVE-LETTER-FOR-YOU.TXT.vbs (c'est ce dernier qui sert d'attachement
    aux e-mail), LOVE-LETTER-FOR-YOU.HTM (servant pour l'infection sur
    IRC) et WinFAT32.exe.

### 5.3.2 Configuration

#### 5.3.2.1 Internet Explorer

Modification de la page de démarrage d'Internet Explorer de manière à
télécharger un exécutable WIN-BUGSFIX.exe au prochain lancement du
navigateur. L'exécutable est rangé dans le répertoire de téléchargement
d'Internet Explorer.

#### 5.3.2.2 mIRC

Écrasement du fichier de configuration script.ini qui s'exécute à chaque
fois qu'un interlocuteur entre sur le canal IRC où vous êtes connectés.

###  5.3.3 La base de registre

Elle est modifiée pour relancer le ver (et WIN-BUGSFIX.exe) à chaque
démarrage :

-   dans le chemin `HKLM\Software\Microsoft\Windows\CurrentVersion\Run`
    création des clefs MSKernel32 et WIN-BUGSFIX ;
-   dans le chemin
    `HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices`
    création d'une clef Win32DLL.

### 5.3.4 Fichiers écrasés

Tous les fichiers aux extensions suivantes situés sur des disques fixes
locaux ou sur des disques réseaux sont potentiellement infectés :

-   \*.vbs, \*.vbe : contenu écrasé par le code du ver ;
-   \*.js, \*.jse, \*.css, \*.wsh, \*.sct, \*.hta : le contenu est
    écrasé par le code du ver et l'extension est remplacée par .vbs. Par
    exemple toto.css devient toto.vbs.
-   \*.jpg, \*.jpeg : le contenu est écrasé par le code du ver et
    l'extension .vbs est ajoutée à la fin.
-   \*.mp2, \*.mp3 : sont cachés (attribut caché) et des fichiers
    \*.mp2.vbs ou \*.mp3.vbs sont créés avec le contenu du ver. Par
    exemple : toto.mp3 devient caché et un fichier visible toto.mp3.vbs
    est créé.

## Solution

## 6.1 Antivirus

Mettre à jour l'antivirus.

## 6.2 Firewall

Le temps de l'alerte bloquer les chargements http depuis le site
`www.skyinet.net/~young1s/` ou `~angelcat/` ou `~chu/` ou `~koichi/`.

## 6.3 Configuration d'Internet Explorer

Dans les paramètres de sécurité, il faut demander au moins l'avis de
l'utilisateur avant d'exécuter du code dans une page HTML.

## 6.4 Configuration de mIRC

Décocher « Autoaccept DCC send request » dans les paramètres de votre
connexion/profil, afin de ne plus accepter automatiquement les fichiers
envoyés par dcc send.

Ne JAMAIS accepter les fichiers que l'on
vous envoie.

## 6.5 E-mail

Ne JAMAIS exécuter une pièce jointe.

## 6.6 Option de l'explorateur de Windows

Désactiver le lien entre les fichiers \*.vbs et l'interpréteur WSH
(wscript.exe).

## 6.7 Faire le ménage

### 6.7.1 Nettoyer la base de registre

Supprimer les Entrée citées précédemment au paragraphe [5.3.3](#bdr).

## 6.8 mIRC

Détruire le fichier script.ini s'il contient la chaîne
LOVE-LETTER-FOR-YOU.HTM.

## 6.9 Internet Explorer

Vérifier dans le panneau de configuration que la page de garde ne pointe
pas sur l'un des sites www.skyinet.net.

## 6.10 Nettoyer les fichiers systèmes

Supprimer les fichiers .vbs et .htm cités précédemment au
paragraphe [5.3.1](#ffs). Vérifier l'origine du fichier WinFAT32.exe.

## 6.11 Nettoyer le répertoire de téléchargement d'internet explorer

Supprimer le fichier WIN-BUGSFIX.exe.

## 6.12 Analyser tous les fichiers .vbs et .vbe

Détruire tous les fichiers à l'extension \*.vbs et \*.vbe contenant le
ver. Par exemple, tous les fichiers .vbs ou .vbe contenant la chaîne
ispyder@mail.com.

version initiale.

modifications de mise en page.

Risque élevé

Écrasement de fichiers

Le mode de propagation peut entraîner une grande surchage des réseaux

Faille officielle

Probablement un cheval de troie (reste à confirmer)

Summary:
Un ver se répend actuellement très vite sur le réseau internet par le
biais de la messagerie et de l'IRC. Il infecte de nombreux fichiers
qu'il détruit.

Ce ver écrit en VISUAL BASIC est déjà recensé chez des partenaires du
CERTA.

Alerte de virus LOVE-LETTER-FOR-YOU

code source du virus


## Origine

-   Nous ne disposons pas encore des sources du ver.
-   Informations obtenues sur les groupes de news.
-   Informations donn�es par un de nos partenaire.
-   Lu sur les sites de NAI (Macfee) et Symantec (Norton).

## Principe

## 4.1 Propagation

Quand le ver est lanc�, il se recopie dans le
dossier Windows en prenant un nom de l'un des documents r�cemment
ouvert, avec une extension prise alatoirement dans la liste : Doc, Xls,
Mdb, Bmp, Mp3, Txt, Jpg, Gif, Mov, Url, Htm, Txt et en y ajoutant
l'extension .vbs.

Il s'auto-modifie en ajoutant des commentaires alatoires � son code
apr�s chaque infection afin de troubler sa d�tection.

Ensuite, le programme cherche � se propager en exploitant le carnet
d'adresses d'Outlook de la victime (de la m�me fa�on qu'ILOVEYOU).

## 4.2 Syst�mes impact�s

Comme pour ILOVEYOU tous les syst�mes Windows sont concern�s.

## Fichiers infect�s

1.  Il modifie les entr�es suivantes dans la base de registres:
    -   HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\
    -   HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunServices\\
2.  NEWLOVE s'attaque � tous les fichiers
    qui ne sont pas en cours d'utilisation, en les rempla�ant par lui
    m�me.

version initiale.

Ecrasement des fichiers non utilis�s

Le risque est �lev� si les utisateurs ne sont pas sensibilis�s

Le virus n�cessite une m�moire importante ce qui ralentie sa propagation

Mode de propagation par messagerie

Summary:
Un nouveau virus appell� \`\`NewLove'' mutant de \`\`ILOVEYO'' est en
train de se propager sur le r�seau. Comme ce dernier il est �crit en
VBScript et se propage par e-mail, dont l'objet commence par \`\`FW'' et
comportant une pi�ce jointe portant l'extension .vbs. Cette pi�ce jointe
porte un nom al�atoire � chaque envoi.

Si l'utilisateur double-clique sur la pi�ce-jointe, le ver va s'excuter
� l'aide de WSH.

Alerte de virus NEWLOVE


## Description

Une jeune pousse voulant mesurer les performances de l'Internet réalise
actuellement des « tests » sur certains sites. L'exécution des « mesures
» par cette société perturbe le fonctionnement du site testé en
augmentant sa charge et, à ce titre, peut être assimilé à un déni de
service.

Un site WEB de l'administration a été victime de ces « mesures ».
Lorsque le responsable de ce site a exigé que cesse cette activité, la
société lui a demandé ses journaux de garde barrière pour justifier le
trouble subi.

Les journaux des gardes barrières contiennent de nombreuses informations
sur ce que votre site accepte ou rejette. De ce fait, vous publiez une
partie de vos vulnérabilités en divulguant vos journaux.

L'exploitation qui sera faite des informations recueillies concernant
votre site n'est pas connue.

L'éthique d'Internet suppose que l'on demande l'autorisation avant de
faire une consommation anormale des ressources offertes par un site. Par
ailleurs, Le nouveau code pénal reprenant les termes de la loi Godfrain
punit le fait d'entraver le fonctionnement d'un système automatisé de
données ou même de tenter de le faire.

De telles « mesures » ne peuvent être entreprises sur votre site sans
l'accord écrit du responsable de la sécurité du site.

## Solution

Les « mesures » que le CERTA a pu observer laissent des traces très
caractéristiques dans les gardes barrières. Vous trouverez ci-joint un
extrait de journal d'un garde barrière dans lequel les adresses IP ont
été cachées :

    000001  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6663  x.x.x.x  w.w.w.w  6663  nameserver   len 28
    000002  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6664  x.x.x.x  w.w.w.w  6664  nameserver   len 28
    000003  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6665  x.x.x.x  w.w.w.w  6665  nameserver   len 28
    000004  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6666  x.x.x.x  w.w.w.w  6666  nameserver   len 28
    000005  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6667  x.x.x.x  w.w.w.w  6667  nameserver   len 28
    000006  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6668  x.x.x.x  w.w.w.w  6668  nameserver   len 28
    000007  25May2000   6:17:03  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  6669  x.x.x.x  w.w.w.w  6669  nameserver   len 28
    000008  25May2000   6:17:05  y.y.y.y  drop    x.x.x.x  z.z.z.z  icmp  35    x.x.x.x  w.w.w.w       icmp-type 8 icmp-code 0
    000009  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6649           message SYN -> SYN-ACK -> RST
    000010  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6648           message SYN -> SYN-ACK -> RST
    000011  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6647           message SYN -> SYN-ACK -> RST
    000012  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6646           message SYN -> SYN-ACK -> RST
    000013  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6645           message SYN -> SYN-ACK -> RST
    000014  25May2000   6:17:10  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  6644           message SYN -> SYN-ACK -> RST
    000015  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8193  x.x.x.x  w.w.w.w  8193  nameserver   len 28
    000016  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8194  x.x.x.x  w.w.w.w  8194  nameserver   len 28
    000017  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8195  x.x.x.x  w.w.w.w  8195  nameserver   len 28
    000018  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8196  x.x.x.x  w.w.w.w  8196  nameserver   len 28
    000019  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8197  x.x.x.x  w.w.w.w  8197  nameserver   len 28
    000020  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8198  x.x.x.x  w.w.w.w  8198  nameserver   len 28
    000021  25May2000   20:23:51  y.y.y.y  drop  nameserver  x.x.x.x  z.z.z.z  udp  35  8199  x.x.x.x  w.w.w.w  8199  nameserver   len 28
    000022  25May2000   20:23:53  y.y.y.y  drop    x.x.x.x  z.z.z.z  icmp  35    x.x.x.x  w.w.w.w       icmp-type 8 icmp-code 0
    000023  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8179           message SYN -> SYN-ACK -> RST
    000024  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8178           message SYN -> SYN-ACK -> RST
    000025  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8177           message SYN -> SYN-ACK -> RST
    000026  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8176           message SYN -> SYN-ACK -> RST
    000027  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8175           message SYN -> SYN-ACK -> RST
    000028  25May2000   20:23:58  y.y.y.y  reject  http  x.x.x.x  z.z.z.z  tcp  0  8174           message SYN -> SYN-ACK -> RST

Les requêtes DNS sont effectuées sur toute machine y compris celle qui
ne possède pas de serveur de DNS.

Une telle signature peut être le signe d'une « mesure » de votre site.
Dans ce cas, nous vous demandons de bien vouloir en informer le CERTA.

Ne transmettez jamais les journaux de vos gardes barrières à des tiers.
Les journaux ne doivent être communiqués qu'à des organismes de
confiance comme votre CERT de tutelle. En France, il s'agit des
CERT-RENATER, du CERT-IST et, pour l'administration, du CERTA.

version initiale.

Divulgation d'information concernant votre site

Déni de service qui s'apparente au type synflood

« Mesures de performances » de l'Internet

Réseau de confiance du CERTA


## Description

Cybernet-A est un virus macro situé dans un document Word ou Excel se
trouvant en pièce jointe d'un mèl. Il se propage grâce au carnet
d'adresse d'outlook.

Ce virus se déclenchera un 17 août ou un 25 décembre en tentant
d'effacer les documents Word et Excel situés dans les répertoires de
démarrage de ces logiciels.

Il modifie également les fichiers autoexec.bat et config.sys sous
Windows 95 et 98 afin d'effectuer un formatage du disque dur lors du
prochain redémarrage.

Message type de propagation du virus :

            Sujet :"You've GOT Mail !!!"
            Texte : "Please, saved the document after you read and don't show to
                     anyone else. The document is also VIRUS FREE...so DISREGARD the
                     Virus protection warning !!!"
          Pi�ce jointe : Document Word ou excel

## Solution

-   Mettre à jour votre anti-virus ;
-   Suivre les conseils de la note d'information CERTA-2000-INF-002 du
    16 mai 2000 Chapitre 1-1 Généralités : « Méfiez-vous des choses
    bizarres ! ».

version initiale.

Destruction de données

Propagation de virus

Formatage du disque dur

Virus Macro OF97/Cybernet-A

Sophos


## Description

Message type de propagation du virus :

            Sujet : "Resume - Janet Simons "

            Texte : "To: Director of Sales/Marketing,
            Attached is my resume with a list of
            references contained within. Please
            feel free to call or email me if you
            have any further questions regarding
            my experience. I am looking forward
            to hearing from you.
            Sincerely,
            Janet Simons."

    Pi�ce jointe : RESUME1.DOC ou Explorer.doc ou NORMAL.DOT

## Solution

Activer la protection contre les virus macros de Word : Outils -\>
Options -\> Général -\> Cocher "Protection contre les virus contenus
dans les macros"

Mettre à jour votre anti-virus ;

Suivre les conseils de la note d'information CERTA-2000-INF-002 du 16
mai 2000 Notamment chapitre 1-1 Généralités : " Méfiez-vous des choses
bizarres ! ".

version initiale.

Perte de données

Summary:
Virus macro (type Melissa) situé dans un document Word ou Excel se
trouvant en pièce jointe d'un mèl. Il se propage grâce au carnet
d'adresse d'outlook.

Virus macro V97M/Resume.A

Symantec

CERT-IST


## Description

L'attaque consiste à envoyer des paquets fragmentés illégaux (par
exemple des paquets ICMP du type \`\`ping of death''), de façon à
saturer la journalisation de ce type d'attaque. L'activité du CPU est
alors entièrement dédiée à ce travail de trace.

Notons que la règle par défaut la plus restrictive (interdire tout) ne
vous met pas à l'abri de ce type d'attaque. De plus Firewall-1 n'est pas
en mesure de tracer ce type d'attaque.

## Détection d'attaque

En consultant le fichier /var/log/messages sous Unix ou le NTEvent
Viewer sous NT, on constate une grande quantité de messages du type :

packet size too big (65529) from 0x0g013c5f, ip_p=1

Ces messages et une utilisation hors norme du temps CPU sont le signe
que vous êtes sous une attaque du type déni de service par
fragmentation.

## Solution

Une solution temporaire consiste à supprimer la journalisation des
événements liés au noyau de Firewall-1. Cette action ne touche en
principe pas à la journalisation des règles standards de filtrage. En
revanche certains messages relatifs à la translation d'adresse risquent
d'être perdus.

\$FWDIR/bin/fw ctl debug -buf

Cette commande peut être ajoutée à la commande de démarage de Firewall-1
(FWDIR/bin/fw/fwstart) afin de la prendre en compte lorsque le garde
barrière est relancé.

Il est également possible d'utiliser un système de détection d'intrusion
qui bloquera la source émettant des paquets fragmentés illégaux (cette
solution ne fonctionnant pas si l'adresse source est usurpée).

## Références

-   Check Point IP Fragment-diven DoS Alert :

```{=html}
<!-- -->
```
    http://www.checkpoint.com/techsupport/alerts/ipfrag_dos.html

-   FW-1 IP Fragmentation Vulnerability :

```{=html}
<!-- -->
```
    http://www.entract.com/~lspitz/fwtable.html

-   Site de securityfocus :

```{=html}
<!-- -->
```
    http://securityfocus.com/vdb/

-   Avis du CERT IST.
-   Institute for security Technology Studies :

```{=html}
<!-- -->
```
    http://www.phoneboy.com/fw1

version initiale.

Deni de service sous Firewall-1

voir section 4


Windows nt

Windows 9x

## Description

Message type de présentation du virus

**Sujet**
:   « US PRESIDENT AND FBI SECRETS =PLEASE VISIT=\>
    (http://WWW.2600.COM)\<= »

**Texte**
:   « VERY JOKE..! SEE PRESIDENT AND FBY TOP SECRET PICTURE.. » ou une
    chaîne aléatoire de 10 caractères.

Ce virus affiche, le 17 septembre, un message d'avertissement :

« Dedicated to my best brother =\>Christiam Julian(C.J.G.S) Att », suivi
de 5 lettres aléatoires et de « (M.H.M. Team ».

Il essaie de démonter les lecteur Z: à E:

Il essaie de télécharger les fichiers MACROMEDIA32.ZIP, LINUX321.ZIP et
LINUX322.ZIP via Internet Explorer.

Ces fichiers ne sont pas des fichers compressés mais un fichier texte et
deux fichiers d'images.

MACROMEDIA32.ZIP est copié dans le répertoire Windows, sous le nom
important_note.txt et le met en mode RUN dans la base de registre.

Les deux autres fichiers sont également copiés dans le répertoire
Windows sous les noms respectifs de logos.sys et logw.sys.

Le virus se duplique sous deux noms différents : LINUX32.VBS et
reload.vbs et les rends exécutables au démarrage.

Il se duplique également dans le répertoire system avec un nom
commençant par 5 à 8 caractère choisi au hazard suivi des extensions
.GIF.VBS ou .JPG.VBS.

C'est ce fichier qui est envoyé à toutes les adresses du carnet
d'adresses d'outlook.

## Solution

-   Mettre à jour votre antivirus
-   Suivre les conseils de la notre d'information CERTA-2000-INF-002

version initiale.

Virus

Summary:
VBS/LoveLet-AS est un virus VBS de type Loveletter situé dans un pièce
jointe et se propageant par le carnet d'adresses d'Outlook.

Virus VBS/LoveLet-AS

Sophos


Windows 98

Windows 95

## Description

Ce cheval de Troie a été proposé sur des forums pour adultes sous la
forme d'un fichier Quickflick.mpg.exe ou Mysissy.mpg.exe se faisant
ainsi passer pour un fichier vidéo (.mpg).

Une fois ce fichier exécuté sur la machine, il installe discrétement un
cheval de Troie téléchargé depuis un autre site (dont l'adresse semble
actuellement inaccesible), qui permet à un utilisateur distant de
prendre le contrôle de la machine et de l'impliquer dans un éventuel
Déni de Service par Outils Répartis. Il utilise également des ports de
communications dont certains correspondent à ceux utilisés lors de
connexions IRC.

## Solution

-   Détection :

    Lister les ports ouverts via la commande netstat -a et s'assurer que
    les ports 2221, 2222, 6669 et 7000 ne sont pas utilisés.

    Le cheval de troie ajoute les lignes de commandes suivantes :

    -   system.ini : shell=Explorer «trojan.exe»
    -   win.ini : run=«trojan.exe»

    Il ajoute également une entrée dans la base de registre à
    l'emplacement :

    `HKEY_USERS\Microsoft\Windows\CurrentVersion\Explorer`

-   Solution :
    -   Filtrer les ports 2221, 2222, 6669 et 7000 sur le firewall;
    -   Mettre à jour votre anti-virus;
    -   Suivre les recommandations de la note d'information
        CERTA-2000-INF-002 concernant les pièces jointes.

version initiale.

Cheval de troie

Summary:
Serbian.trojan (également nommé Troj/Downloader ou W95/Loader Trojan)
est un cheval de Troie qui s'est propagé par l'intermédiaire d'un
fichier téléchargé depuis certains forums.

The Serbian Badman Trojan (TSB)


Windows 95 et 98.

Windows 2000;

Windows NT;

## Description

Stages-A est transmis par une pièce jointe de type LIFE_STAGES.TXT.SHS.
Le ver s'active à l'ouverture de ce fichier et montre un texte contenant
des plaisanteries sur les étapes de la vie des hommes et des femmes.
Parallèlement le ver s'installe sur la machine puis se propage via le
carnet d'adresse d'Outlook et les logiciels Mirc ou Pirch. Enfin il
détruit le fichier REGEDIT.EXE en le déplacant vers la poubelle du
système.

Le fait d'utiliser l'extension SHS risque de rendre moins méfiant les
utilisateurs par rapport à une extension VBS.

Principe d'un fichier SHS : le contenu du presse-papier peut être
sauvegarder par « cliquer-déposer » dans un fichier de type SHS (Shell
Scrap Objet). Ce fichier peut contenir des données Word, Excel mais
également un fichier exécutable. L'exécution du fichier SHS entraîne
automatiquement l'ouverture des applications correspondantes (Word,
Excel...) ou le lancement du fichier exécutable.

## Contournement provisoire

Détection du ver : présentation du message reçu

-   Objet : « Funny » , « Funny » , « Funny test » , « Life stages text
    »
-   Corps du message : « The male and female stages of life »
-   Pièce jointe : LIFE_STAGES.TXT.SHS

## Solution

-   Mettre à jour votre anti-virus;
-   Suivre les recommandantions de la note CERTA-2000-INF-002.

version initiale.

Perte de données

Propagation de virus

Summary:
Stages-A est un ver contenu dans un fichier SHS (Shell Scrap Objet) qui
se propage par e-mail (Carnet d'adresses Outlook), par IRC (Logiciels
Mirc ou Pirch) et par partage de volume sur le réseau.

Ver VBS/Stages-A, Mirc/stages-a, pIRC/Stages-A

Sophos


Les systèmes affectés par ces vulnérabilités sont les serveurs  ftp <TT>wu-ftpd</TT> ou issus du code source de  <TT>wu-ftpd</TT>.

## Description

wu-ftpd est un logiciel qui met en œuvre les services du protocole de
transfert de fichiers (File Transfer Protocol ou FTP).

Depuis début 1999 un certain nombres de vulnérabilités ont été publiées
sur ce logiciel ainsi que des programmes d'exploitation de ces
vulnérabilités.

Certaines des compromissions décrites ci-après concernent non-seulement
le logiciel wu-ftpd mais aussi les logiciels qui offrent le service ftp
et qui sont basés sur le code source de wu-ftpd.

Les vulnérabilités sont les suivantes :

##   4.1 Débordement de pile dans MAPPING_CHDIR

Des utilisateurs distants et locaux peuvent exploiter cette
vulnérabilité pour exécuter n'importe quel code avec les privilèges de
l'utilisateur qui lance le serveur wu-ftpd (le plus souvent, le
superutilisateur root).

Pour exploiter cette vulnérabilité, l'intrus doit être capable de créer
des répertoires dans les systèmes vulnérables accessibles via FTP. Alors
que les utilisateurs distants ne sont susceptibles d'avoir ce privilège
qu'au travers d'un accès FTP anonyme, il se peut que les utilisateurs
locaux aient la possibilité de créer les répertoires nécessaires dans
leur répertoire personnel.

##   4.2 Débordement de pile dans le fichier message

Des utilisateurs distants et locaux peuvent exploiter cette
vulnérabilité pour exécuter n'importe quel code avec les priviliège de
l'utilisateur qui lance le serveur wu-ftpd (le plus souvent, le
superutilisateur root).

Si les intrus sont capable de modifier le contenu d'un fichier .message,
ils peuvent alors exploiter avec succès cette vulnérabilité. Cet accès
est fréquemment accordé aux utilisateurs locaux dans leur répertoire
personnel, mais il se peut que cette possibilité soit restreinte dans le
cas de l'accès FTP anonyme, selon votre configuration.

En outre, dans certaines circonstances, il se peut que des utilisateurs
distants soient capables de profiter de fichier .message contenant des
macros fournis par l'administrateur du site en faisant en sorte que le
client FTP fournissent des valeurs convenablement choisies qui seront
exploitées par lesdites macros.

##   4.3 Fuite de mémoire dans SITE NEWER

Des intrus locaux ou distants qui peuvent se connecter au serveur FTP
peuvent faire consommer une quantité de mémoire excessive, empêchant le
fonctionnement normal du système. Si les intrus peuvent créer des
fichiers sur le système, ils peuvent exploiter cette vulnérabilité pour
exécuter n'importe quel code avec les privilège de l'utilisateur qui
lance le serveur ftp, généralement le superutilisateur root.

##   4.4 Débordement de variable dans le programme ftpshut

Un débordement de variable est exploitable dans le programme ftpshut si
celui est configuré avec les privilège suid-root. Ce peut utilisé par un
utilisateur local pour obtenir un accès avec les privilège de root.

## Solution

Des mises à jours de wu-ftpd sont fournies pour certaines distributions
de systèmes d'exploitation. Il est souvent plus aisé pour la maintenance
d'un site d'utiliser les mises à jours fournies par le vendeur plutôt
que d'installer soit même à partir des sources. Cependant, on trouvera
dans la section [5.1](#sec:manuelle) des avertissement sur certains
aspects de la configuration qu'on ne retrouve pas dans les autres
sections.

Si votre distribution n'est pas citée reportez vous à la
section [5.1](#sec:manuelle).

##   5.1 Correction manuelle

Charger la dernière version des sources du logiciel wu-ftpd à l'adresse

    ftp://ftp.wu-ftpd.org/pub/wu-ftpd/wu-ftpd-2.6.0.tar.gz

.

Appliquez le correctif suivant aux sources :

    ftp://ftp.wu-ftpd.org/pub/wu-ftpd/quickfixes/apply_to_2.6.0/lreply-buffer-overflow.patch

.

Il faut maintenant configurer le serveur avant de le compiler.

Attention ! il se peut que la version 2.6.0 pose des problèmes
d'interopérabilité avec certains clients FTP bogués. En effet, la
version 2.6.0 a été corrigée pour accroître sa conformité à la RFC
spécifiant le protocole FTP. En conséquence il se peut que certains
clients qui ne respectent pas totalement la RFC cesse d'interopérer avec
le serveur. Nous vous encourageons à bien lire la documentation de
wu-ftp avant de faire la mise à jour.

Si la compatibilité de votre serveur avec des logiciels clients non
conformes à la RFC est un soucis pour le service FTP que vous rendez, il
y a lieu de configurer avec les options suivantes :

    ./configure --enable-badclients

Il se peut que dans des versions futures de wu-ftpd cette option de
configuration ne soit plus disponible.

Compilez et installez.

Par défaut ftpshut n'est pas installé avec les privilège suid-root.

Il peut s'avérer nécessaire de prendre les mesures suivantes :

-   désactiver ou limiter les zones du serveur où on l'on peut déposer
    des fichiers.

    De nombreux sites offre le service FTP à une communauté. Par
    exemple, une communauté de développeur de logiciels libres peut
    mettre en place un serveur FTP ou chacun peut déposer ses logiciels
    dans un répertoire (généralement appelé Incomming). Ce répertoire,
    quoique peu sûr, permet une gestion souple du serveur qui se conçoit
    dans une communauté informelle.

    Une telle approche peut permettre à des intrus d'abuser du service
    offert en offrant des fichiers qui ne sont pas dans l'esprit que
    vous souhaitez donner à votre site. Par exemple, un intrus pourrait,
    à votre insu, créer chez vous un serveur de fichiers au caractère
    douteux qui :

    1.  consomme à vos frais des ressources.

        Les intrus occupent en général les serveurs FTP d'autrui pour y
        placer des fichiers que l'on trouve difficilement mais qui pour
        autant peuvent être très demandés. Un fort volume de fichiers
        déposés dans votre serveur se fera au détriment de la place que
        vous pourrez accorder aux fichiers pour lesquels vous avez monté
        votre service FTP. Par ailleurs, une forte demande peut
        engendrer une forte charge sur vos serveurs au point qu'ils ne
        rendent pas le service pour lequel ils ont été créés avec la
        diligence nécessaire.

    2.  pose un problème d'image.

        Votre organisme n'aurait peut-être pas publié ou toléré la
        publication de fichiers tels que ceux qu'a déposé l'intrus. Par
        exemple, il est peu probable qu'une administration publie des
        documents qui incitent à la haine, ou qu'un site prônant la
        francophonie soit inondés de textes dans une langue étrangère.

    3.  engage votre responsabilité.

        On constate de plus en plus la réaction violente des éditeurs de
        logiciel, de musique voire d'œuvres littéraires face à ce qu'ils
        considèrent comme du pillage. Il arrive moins souvent que des
        artistes ou des particuliers réagisse ainsi lorsqu'ils estiment
        bafoués leur droit (relatif à leur image par exemple).
        Indépendemment du bien fondé de leur démarche dans le cas précis
        des fichiers qui pourraient être placés à votre insu sur vos
        serveurs de fichiers, il se peut que vous fassiez l'objet d'une
        plainte.

Configurez par conséquent votre serveur FTP pour limiter la possibilité
de déposer des fichiers au minimum nécessaire pour rendre le service que
vous souhaitez. Une documentation en anglais est disponible sur à
l'adresse :

    ftp://ftp.wu-ftpd.org/pub/wu-ftpd/upload.configuration.HOWTO

##   5.2 Debian

### 5.2.1 Debian 2.1 (slink)

**Source**
:
    -   http://security.debian.org/dists/slink/updates/source/wu-ftpd-academ_2.4.2.16-13.1.diff.gz

    -   http://security.debian.org/dists/slink/updates/source/wu-ftpd-academ_2.4.2.16-13.1.dsc

    -   http://security.debian.org/dists/slink/updates/source/wu-ftpd-academ_2.4.2.16.orig.tar.gz

**alpha**

:   http://security.debian.org/dists/slink/updates/binary-alpha/wu-ftpd-academ_2.4.2.16-13.1_alpha.deb

**i386**

:   http://security.debian.org/dists/slink/updates/binary-i386/wu-ftpd-academ_2.4.2.16-13.1_i386.deb

**m68k**

:   http://security.debian.org/dists/slink/updates/binary-m68k/wu-ftpd-academ_2.4.2.16-13.1_m68k.deb

**sparc**

:   http://security.debian.org/dists/slink/updates/binary-sparc/wu-ftpd-academ_2.4.2.16-13.1_sparc.deb

### 5.2.2 Debian 2.2 (potato)

**Source**
:
    -   http://security.debian.org/dists/potato/updates/main/source/wu-ftpd_2.6.0-5.1.diff.gz

    -   http://security.debian.org/dists/potato/updates/main/source/wu-ftpd_2.6.0-5.1.dsc

    -   http://security.debian.org/dists/slink/updates/source/wu-ftpd-academ_2.4.2.16.orig.tar.gz

**alpha**

:   http://security.debian.org/dists/potato/updates/main/binary-alpha/wu-ftpd_2.6.0-5.1_alpha.deb

**arm**

:   http://security.debian.org/dists/potato/updates/main/binary-arm/wu-ftpd_2.6.0-5.1_arm.deb

**i386**

:   http://security.debian.org/dists/potato/updates/main/binary-i386/wu-ftpd_2.6.0-5.1_i386.deb

**m68k**

:   http://security.debian.org/dists/potato/updates/main/binary-m68k/wu-ftpd_2.6.0-5.1_m68k.deb

**powerpc**

:   http://security.debian.org/dists/potato/updates/main/binary-powerpc/wu-ftpd_2.6.0-5.1_powerpc.deb

**sparc**

:   http://security.debian.org/dists/potato/updates/main/binary-sparc/wu-ftpd_2.6.0-5.1_sparc.deb

##   5.3 Redhat linux

Installez les extensions au travers des fichiers rpm suivants (pour
chaque fichier rpm correspondant à votre architecture matérielle, lancez
: rpm -Fvh \[fichier\] où fichier est le nom du fichier rpm) :

### 5.3.1 Red Hat Linux 5.2

**i386**

:   ftp://updates.redhat.com/5.2/i386/wu-ftpd-2.6.0-2.5.x.i386.rpm

**alpha**

:   ftp://updates.redhat.com/5.2/alpha/wu-ftpd-2.6.0-2.5.x.alpha.rpm

**sparc**

:   ftp://updates.redhat.com/5.2/sparc/wu-ftpd-2.6.0-2.5.x.sparc.rpm

**sources**

:   ftp://updates.redhat.com/5.2/SRPMS/wu-ftpd-2.6.0-2.5.x.src.rpm

### 5.3.2 Red Hat Linux 6.2

**i386**

:   ftp://updates.redhat.com/6.2/i386/wu-ftpd-2.6.0-14.6x.i386.rpm

**alpha**

:   ftp://updates.redhat.com/6.2/alpha/wu-ftpd-2.6.0-14.6x.alpha.rpm

**sparc**

:   ftp://updates.redhat.com/6.2/sparc/wu-ftpd-2.6.0-14.6x.sparc.rpm

**sources**

:   ftp://updates.redhat.com/6.2/SRPMS/wu-ftpd-2.6.0-14.6x.src.rpm

De plus amples informations sur les sites :

version initiale.

Des utilisateurs locaux, distants ou anonymes peuvent engendrer une charge de travail important sur le serveur, le rendant ainsi inapte à réaliser le service que l'on en attend

Des utilisateurs locaux, distants ou anonymes peuvent usurper les privilèges du superutilisateur root sur la machine accueillant les serveurs

Des utilisateurs locaux, distants ou anonymes peuvent créer des répertoires et des fichiers dans le serveur ftp, permettant par exemple d'accueillir dans votre serveur ftp des sites au contenu au mieux illégitime au pire illégal

Summary:
Certaines versions de wu-ftp sont vulnérables à une compromission à
distance du compte root voire à une exploitation locale.

Vulnérabilités dans le serveur de fichier wu-ftpd

Avis Debian du 22 juin 2000

Serveur WEB du projet WU-FTP


## Description

Ce cheval de Troie proposé sous forme de fichier exécutable contient
deux fichiers SIMPSONS.BAT et SIMPSONS.BMP.

Lorsque le fichier SIMPSONS.EXE est lancé il extrait les fichiers et
exécute automatiquement SIMPSONS.BAT.

SIMPSONS.BAT utilise la commande DELTREE.EXE pour effacer les disques de
A: à D:.

Ce cheval de Troie n'affecte pas Windows NT ni Windows 2000 car la
commande Deltree n'existe plus sur ces versions.

## Solution

Mettre à jour votre anti-virus

version initiale.

Cheval de troie

Summary:
Simpson est un cheval de Troie qui se propage par un fichier compressé
(zip) auto-extractible nommé SIMPSONS.EXE

Trojan Simpsons

Sophos

Symantec


Windows NT et 2000 utilisant le système de fichiers NTFS.

## Description

L'ensemble du système de fichier NTFS est géré comme une base de données
relationnelle composée uniquement de fichiers. Chaque fichier a une
liste d'attributs (nom de fichier, descripteur de sécurité, données,...)
de longueur variable. Tout fichier accepte de nouveaux attributs
caractérisés par leur nom. Un attribut est divisé en 2 parties :
l'entête et le contenu, ce dernier étant composé du nom de l'attribut et
d'un flux de données.

Un flux de données addtionnel peut donc être créé par la simple ligne de
commande echo \`\`Test de flux de données addtionnel'' \>
fichier_existant:flux1.txt, où fichier_existant est un fichier présent
dans le répertoire courant (on ajoute un nouvel attribut de nom
flux1.txt au fichier fichier_existant). Ni la commande dir ni
l'explorateur de fichiers ne révèlent son existence. Il peut en revanche
être ouvert par la commande notepad fichier_existant:flux1.txt. D'autres
flux additionnels peuvent évidemment être ajoutés. La commande del,
incompatible, n'est pas en mesure de les supprimer. Cependant un tel
flux est inerte, il ne peut être directement exécuté.

Dans l'optique d'une utilisation malicieuse, cette restriction peut être
facilement contournée : l'essentiel du code du virus est masqué dans un
flux additionnel, et il est simplement appelé par un code minimal depuis
le flux \`\`normal'' (script vba sous Word, scriptlet vbs, modification
d'un exécutable,...). Le peu de code qui estalors visible par les
antivirus ne permet pas de générer une signature : il est trop peu
caractéristique pour ne pas générer de nombreuses fausses alarmes.

## Solution

Depuis la publication du bulletin du \`\`SANS Institute'' et
l'apparition du virus Stream, il est impératif que les éditeurs
d'antivirus rendent les moteurs d'analyse compatibles avec les flux de
données additionnels.

Il est donc essentiel de mettre à jour les bases de signature de vos
antivirus (détection de Stream), de prendre contact avec vos éditeurs
pour connaître les modalités d'évolution des moteurs d'analyse (achat,
mise à jour,...) et de prendre en compte dès aujourd'hui le déploiement.

Copie du bulletin d'alerte du ``SANS Institute'' :

Analyse de Stream par Symantec :

version initiale.

Prolifération de virus non détectés par les analyseurs antivirus

Summary:
Le système de fichier NTFS permet de créer des Flux de Données
Additionnels (Alternate Data Streams) associés ou non à un fichier. Il a
été relevé dès 1998 que cela permettait de dissimuler de l'information
pour 2 raisons essentielles :

-   Cette fonctionnalité est très mal documentée par Microsoft et peu
    d'administrateurs la connaisse,
-   Beaucoup d'outils de Windows n'ont même pas la capacité de gérer ces
    flux.

C'est ainsi que la commande dir ou l'explorateur de Windows ne sont pas capables de les
afficher, ni même d'indiquer le changement de taille d'un fichier auquel
on aurait adjoint un flux additionnel.

Les analyseurs antivirus n'échappaient jusqu'alors pas à la règle, et ne
recherchaient donc pas de signatures caractéristiques dissimulées dans
un flux additionnel.

Un premier virus est apparu sous Windows 2000 : Win2K.Stream, Win2k_Stream ou simplement Stream. Ce n'est qu'une version expérimentale qui
n'est pas nocive aujourd'hui. Cependant il faut noter qu'il est apparu
seulement quelques jours après une alerte du \`\`SANS Institute''
expliquant le danger potentiel des flux additionnels pour les antivirus.

Mauvaise compatibilité des scanners de virus avec NTFS

F-Secure

Sophos

NAI

Avis du CERT-IST


Windows 9x ;

Windows 2000.

Windows NT ;

## Description

VBS/Quatro-A est du type Visual Basic Script (VBS) et arrive sous forme
d'un courrier électronique proposant une mise à jour de Microsoft
Internet explorer.

Message type de présentation de ce virus :

**Sujet**
:   UPDATE IEXPLORE 5.5

**Corps du message**
:   La toute nouvelle version de Microsoft Internet Explorer offre de
    nombreux avantages aux utilisateurs et aux développeurs. Vous
    apprecierez en particulier la nouvelle fonction d'apercu avant
    impression qui permet d'afficher les pages telles qu'elles se
    presenteront a l'impression. Grace a la prise en charge ameliorée
    des langages DHTML et CSS, les concepteurs de sites Web seront en
    outre plus a même de contrôler l'apparence des pages et le
    fonctionnement du navigateur. Téléchargez tous ces éléments
    aujourd'hui a partir des mises a jour de produits.

**Pièce jointe**
:   UPDATE.vbs

En cas de lancement de la pièce jointe, le virus cherche des adresses
mèl dans les documents TXT, WAB, HTM et HTML de la machine cible et
utilise Outlook pour se transmettre à ces adresses.

Il supprime également les fichiers de la machine cible si le fichier «
`c:\13A0` » n'existe pas sur cette machine.

## Solution

-   Mettre à jour votre antivirus ;
-   Suivre les recommandations de la note CERTA-2000-INF-002 concernant
    les pièces jointes.

Alerte SOPHOS :

version initiale.

Perte de données

Propagation de virus

Summary:
VBS/Quatro-A est un virus VBS, situé dans une pièce jointe, se
propageant par le carnet d'adresse d'Outlook.

Virus VBS Quatro-A

Réseau de confiance

Sophos


## Description

Un utilisateur mal intentionné peut, à l'aide de débordements de piles
dans les programmes ayant le bit suid activé, obtenir des droits qu'il
n'a pas (en général root), en faisant appel à une faille dans la
bibliothèque glibc. Ces programmes sont entre autres :

-   /bin/su
-   /bin/mount
-   /bin/umount
-   /usr/bin/
-   /usr/bin/lpq
-   /usr/bin/passwd
-   /usr/bin/at
-   /usr/bin/suidperl
-   /usr/sbin/usernetcl
-   /usr/sbin/userhelper

Ces utilitaires sont pour la plupart nécessaires aux fonctionnement du
système.

## Solution

Appliquer les correctifs obtenus par les adresses suivantes :

-   Debian :
    -   http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3-13.diff.gz

    -   http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3-13.dsc

    -   http://security.debian.org/dists/stable/updates/main/source/glibc_2.1.3.orig.tar.gz

    -   http://security.debian.org/dists/stable/updates/main/binary-all/glibc-doc_2.1.3-13_all.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-all/i18ndata_2.1.3-13_all.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-dbg_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-dev_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-pic_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1-prof_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libc6.1_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/libnss1-compat_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/locales_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-alpha/nscd_2.1.3-13_alpha.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-dbg_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-dev_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-pic_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6-prof_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/libc6_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/locales_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-arm/nscd_2.1.3-13_arm.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-dbg_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-dev_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-pic_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6-prof_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libc6_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/libnss1-compat_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/locales_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-i386/nscd_2.1.3-13_i386.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-dbg_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-dev_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-pic_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6-prof_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/libc6_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/locales_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-powerpc/nscd_2.1.3-13_powerpc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-dbg_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-dev_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-pic_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6-prof_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/libc6_2.1.3-13_sparc.deb:

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/locales_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/stable/updates/main/binary-sparc/nscd_2.1.3-13_sparc.deb

    -   http://security.debian.org/dists/slink/updates/source/glibc_2.0.7.19981211-6.3.diff.gz

    -   http://security.debian.org/dists/slink/updates/source/glibc_2.0.7.19981211-6.3.dsc

    -   http://security.debian.org/dists/slink/updates/source/glibc_2.0.7.19981211.orig.tar.gz

    -   http://security.debian.org/dists/slink/updates/binary-i386/libc6-dbg_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/libc6-dev_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/libc6-pic_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/libc6_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/locales_2.0.7.19981211-6.3_i386.deb

    -   http://security.debian.org/dists/slink/updates/binary-i386/timezones_2.0.7.19981211-6.3_i386.deb
-   Conectiva :
    -   ftp://atualizacoes.conectiva.com.br/4.0/SRPMS/glibc-2.1.2-14cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0/i386/glibc-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0/i386/glibc-devel-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0/i386/glibc-profile-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0/i386/nscd-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/SRPMS/glibc-2.1.2-14cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/i386/glibc-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/i386/glibc-devel-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/i386/glibc-profile-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.0es/i386/nscd-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/SRPMS/glibc-2.1.2-14cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/i386/glibc-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/i386/glibc-devel-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/i386/glibc-profile-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.1/i386/nscd-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/SRPMS/glibc-2.1.2-14cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/i386/glibc-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/i386/glibc-devel-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/i386/glibc-profile-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/4.2/i386/nscd-2.1.2-14cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/SRPMS/glibc-2.1.3-10cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/i386/glibc-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/i386/glibc-devel-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/i386/glibc-profile-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.0/i386/nscd-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/SRPMS/glibc-2.1.3-10cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/i386/glibc-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/i386/glibc-devel-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/i386/glibc-profile-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/5.1/i386/nscd-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/SRPMS/glibc-2.1.3-10cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/i386/glibc-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/i386/glibc-devel-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/i386/glibc-profile-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/ecommerce/i386/nscd-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/SRPMS/glibc-2.1.3-10cl.src.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/i386/glibc-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/i386/glibc-devel-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/i386/glibc-profile-2.1.3-10cl.i386.rpm

    -   ftp://atualizacoes.conectiva.com.br/ferramentas/graficas/i386/nscd-2.1.3-10cl.i386.rpm
-   Caldera :
    -   OpenLinux Desktop 2.3 :
        -   ftp://ftp.calderasystems.com/pub/updates/OpenLinux/2.3/current/RPMS/

        -   ftp://ftp.calderasystems.com/pub/updates/OpenLinux/2.3/current/SRPMS

            -   RPMS/glibc-2.1.1-3.i386.rpm
            -   RPMS/glibc-devel-2.1.1-3.i386.rpm
            -   RPMS/glibc-devel-static-2.1.1-3.i386.rpm
            -   RPMS/glibc-localedata-2.1.1-3.i386.rpm
            -   SRPMS/glibc-2.1.1-3.src.rpm
    -   OpenLinux eServer 2.3 et OpenLinux eBuilder pour ECential 3.0 :
        -   ftp://ftp.calderasystems.com/pub/updates/eServer/2.3/current/RPMS/

        -   ftp://ftp.calderasystems.com/pub/updates/eServer/2.3/current/SRPMS

            -   RPMS/glibc-2.1.3-4S.i386.rpm
            -   RPMS/glibc-devel-2.1.3-4S.i386.rpm
            -   RPMS/glibc-devel-static-2.1.3-4S.i386.rpm
            -   RPMS/glibc-localedata-2.1.3-4S.i386.rpm
            -   SRPMS/glibc-2.1.3-4S.src.rpm
    -   OpenLinux eDesktop 2.4 :
        -   ftp://ftp.calderasystems.com/pub/updates/eDesktop/2.4/current/RPMS/

        -   ftp://ftp.calderasystems.com/pub/updates/eDesktop/2.4/current/SRPMS

            -   RPMS/glibc-2.1.2-7.i386.rpm
            -   RPMS/glibc-devel-2.1.2-7.i386.rpm
            -   RPMS/glibc-devel-static-2.1.2-7.i386.rpm
            -   RPMS/glibc-localedata-2.1.2-7.i386.rpm
            -   SRPMS/glibc-2.1.2-7.src.rpm
-   Slackware:
    -   ftp://ftp.slackware.com/pub/slackware/slackware-current/slakware/a1/glibcso.tgz

    -   ftp://ftp.slackware.com/pub/slackware/slackware-current/slakware/d1/glibc.tgz

    -   ftp://ftp.slackware.com/pub/slackware/slackware-current/slakware/des1/descrypt.tgz
-   SuSE Linux:
    -   ftp://ftp.suse.com/pub/suse/i386/update/7.0/a1/shlibs-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/7.0/d1/libc-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/7.0/d2/libd-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/7.0/zq1/libc-2.1.3-154.src.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.4/a1/shlibs-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.4/d1/libc-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.4/d2/libd-2.1.3-154.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.4/zq1/libc-2.1.3-154.src.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.3/a1/shlibs-2.1.2-47.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.3/d1/libc-2.1.2-47.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.3/d2/libd-2.1.2-47.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.3/zq1/libc-2.1.2-47.src.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.2/a1/shlibs-2.1.1-29.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.2/d1/libc-2.1.1-29.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.2/d2/libd-2.1.1-29.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.2/zq1/libc-2.1.1-29.src.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.1/a1/shlibs-2000.9.5-0.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.1/d1/libc-2000.9.5-0.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.1/d2/libd-2000.9.5-0.i386.rpm

    -   ftp://ftp.suse.com/pub/suse/i386/update/6.1/zq1/libc-2000.9.5-0.src.rpm

    -   ftp://ftp.suse.com/pub/suse/sparc/update/7.0/a1/shlibs-2.1.3-154.sparc.rpm

    -   ftp://ftp.suse.com/pub/suse/sparc/update/7.0/d1/libc-2.1.3-154.sparc.rpm

    -   ftp://ftp.suse.com/pub/suse/sparc/update/7.0/d2/libd-2.1.3-154.sparc.rpm

    -   ftp://ftp.suse.com/pub/suse/sparc/update/7.0/zq1/libc-2.1.3-154.src.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.4/a1/shlibs-2.1.3-154.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.4/d1/libc-2.1.3-154.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.4/d2/libd-2.1.3-154.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.4/zq1/libc-2.1.3-154.src.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.3/a1/shlibs-2.1.2-47.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.3/d1/libc-2.1.2-47.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.3/d2/libd-2.1.2-47.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.3/zq1/libc-2.1.2-47.src.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.1/a1/shlibs-2000.9.5-0.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.1/d1/libc-2000.9.5-0.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.1/d2/libd-2000.9.5-0.alpha.rpm

    -   ftp://ftp.suse.com/pub/suse/axp/update/6.1/zq1/libc-2000.9.5-0.src.rpm

    -   ftp://ftp.suse.com/pub/suse/ppc/update/6.4/a1/shlibs-2.1.3-154.ppc.rpm

    -   ftp://ftp.suse.com/pub/suse/ppc/update/6.4/d1/libc-2.1.3-154.ppc.rpm

    -   ftp://ftp.suse.com/pub/suse/ppc/update/6.4/d2/libd-2.1.3-154.ppc.rpm

    -   ftp://ftp.suse.com/pub/suse/ppc/update/6.4/zq1/libc-2.1.3-154.src.rpm
-   Linux-Mandrake 7.0 et 7.1:
    -   7.0/RPMS/glibc-2.1.3-16mdk.i586.rpm
    -   7.0/RPMS/glibc-devel-2.1.3-16mdk.i586.rpm
    -   7.0/RPMS/glibc-profile-2.1.3-16mdk.i586.rpm
    -   7.0/SRPMS/glibc-2.1.3-16mdk.src.rpm
    -   7.1/RPMS/glibc-2.1.3-17mdk.i586.rpm
    -   7.1/RPMS/glibc-devel-2.1.3-17mdk.i586.rpm
    -   7.1/RPMS/glibc-profile-2.1.3-17mdk.i586.rpm
    -   7.1/SRPMS/glibc-2.1.3-17mdk.src.rpm
-   Red Hat:
    -   ftp://updates.redhat.com/5.2/sparc/glibc-2.0.7-29.4.sparc.rpm

    -   ftp://updates.redhat.com/5.2/sparc/glibc-debug-2.0.7-29.4.sparc.rpm

    -   ftp://updates.redhat.com/5.2/sparc/glibc-devel-2.0.7-29.4.sparc.rpm

    -   ftp://updates.redhat.com/5.2/sparc/glibc-profile-2.0.7-29.4.sparc.rpm

    -   ftp://updates.redhat.com/5.2/alpha/glibc-2.0.7-29.4.alpha.rpm

    -   ftp://updates.redhat.com/5.2/alpha/glibc-debug-2.0.7-29.4.alpha.rpm

    -   ftp://updates.redhat.com/5.2/alpha/glibc-devel-2.0.7-29.4.alpha.rpm

    -   ftp://updates.redhat.com/5.2/alpha/glibc-profile-2.0.7-29.4.alpha.rpm

    -   ftp://updates.redhat.com/5.2/i386/glibc-2.0.7-29.4.i386.rpm

    -   ftp://updates.redhat.com/5.2/i386/glibc-debug-2.0.7-29.4.i386.rpm

    -   ftp://updates.redhat.com/5.2/i386/glibc-devel-2.0.7-29.4.i386.rpm

    -   ftp://updates.redhat.com/5.2/i386/glibc-profile-2.0.7-29.4.i386.rpm

    -   ftp://updates.redhat.com/5.2/SRPMS/glibc-2.0.7-29.4.src.rpm

    -   ftp://updates.redhat.com/6.2/sparc/glibc-2.1.3-21.sparc.rpm

    -   ftp://updates.redhat.com/6.2/sparc/glibc-devel-2.1.3-21.sparc.rpm

    -   ftp://updates.redhat.com/6.2/sparc/glibc-profile-2.1.3-21.sparc.rpm

    -   ftp://updates.redhat.com/6.2/sparc/nscd-2.1.3-21.sparc.rpm

    -   ftp://updates.redhat.com/6.2/i386/glibc-2.1.3-21.i386.rpm

    -   ftp://updates.redhat.com/6.2/i386/glibc-devel-2.1.3-21.i386.rpm

    -   ftp://updates.redhat.com/6.2/i386/glibc-profile-2.1.3-21.i386.rpm

    -   ftp://updates.redhat.com/6.2/i386/nscd-2.1.3-21.i386.rpm

    -   ftp://updates.redhat.com/6.2/alpha/glibc-2.1.3-21.alpha.rpm

    -   ftp://updates.redhat.com/6.2/alpha/glibc-devel-2.1.3-21.alpha.rpm

    -   ftp://updates.redhat.com/6.2/alpha/glibc-profile-2.1.3-21.alpha.rpm

    -   ftp://updates.redhat.com/6.2/alpha/nscd-2.1.3-21.alpha.rpm

    -   ftp://updates.redhat.com/6.2/sparcv9/glibc-2.1.3-21.sparcv9.rpm

    -   ftp://updates.redhat.com/6.2/SRPMS/glibc-2.1.3-21.src.rpm
-   TurboLinux:
    -   ftp://ftp.turbolinux.com/pub/updates/6.0/glibc-2.1.2-17S.i386.rpm

    -   ftp://ftp.turbolinux.com/pub/updates/6.0/glibc-2.1.2-15S.i386.rpm

    -   ftp://ftp.turbolinux.com/pub/updates/6.0/SRPMS/glibc-2.1.2-17S.src.rpm

    -   ftp://ftp.turbolinux.com/pub/updates/6.0/SRPMS/glibc-2.1.2-15S.src.rpm

Si votre version d'unix n'est pas citée, veuillez consulter le CERTA.

Bulletin de sécurité Debian :

Bulletin de sécurité RedHat :

version initiale.

Accès root en local grâce à un débordement de pile

Summary:
La bibliothèque glibc permet à un utilisateur local d'exécuter du code
arbitraire avec les privilèges de root.

Vulnérabilité dans la bibliothèque glibc sous Unix

Avis de sécurité Debian et RedHat

Avis Security Bugware


## Description

Les certificats sont utilisés pour créer une relation de confiance entre
un client et un serveur. Ils sont par exemple vérifiés lors d'une
connexion sécurisée (HTTPS) à un site, du téléchargement d'un fichier de
mise à jour, ou de l'exécution d'une appliquette java signée.

Un des serveurs de certificat de Sun ayant été compromis, il y a des
risques que ses certificats soient réutilisés par des utilisateurs mal
intentionnés, ou que les machines clientes de ce serveur soient
compromises lors d'échanges avec celui-ci.

Les numéros de séries de ces certificats sont les suivants :

-   3181 B12D C422 SDAC A340 CF86 2710 ABE6 pour internet explorer,
-   17:05:FB:13:A2:2F:9A:F3:C1:30:F5:62:6E:12:50:4C pour Netscape
    Communicator (sauf Netscape6),
-   1705FB13A22F9AF3C130F5626E12504C pour Netscape6.

## Contournement provisoire

Afin d'éviter d'exécuter des appliquettes java signées avec un
certificat volé ou provenant de la machine compromise, désactiver les
java, javascripts, et ActiveX comme indiqué dans les bulletins
CERTA-2000-AVI-002, CERTA-2000-ALE-001 et CERTA-2000-ALE-002,
CERTA-2000-INF-002.

## Solution

Sun recommande de supprimer de votre navigateur le certificat dont les
numéros de séries correspondent à ceux des certificats délivrés par ce
serveur, et de vérifier les numéros de séries des éventuels certificats
lors de leur installation.

Voici quelques exemples de navigateurs :

-   Pour les utilisateurs d'Internet Explorer :

    Dans le menu « Outils », choisir « Options ». sélectionner l'onglet
    « Contenu » cliquer sur le bouton « Certificats » retrouver, dans la
    fenêtre qui apparaît alors, un certificat nommé : « Sun Microsystems
    Inc. ». Cliquer sur le bouton « Voir ». Si le numéro de série est le
    suivant, il faut détruire l'entrée :

    3181 B12D C422 SDAC A340 CF86 2710 ABE6

    S'il vous est proposé d'installer un certificat :

    Une fenêtre apparaît demandant si vous désirez installer le
    certificat en question. Pour obtenir des détails sur le certificat,
    cliquer sur le lien hyper-texte « Sun Microsystems Inc. » Dans la
    nouvelle fenêtre, choisir l'onglet « détails » et y sélectionner «
    l'entrée Numéro de série ». Refuser le certificat si le numéro est
    celui indiqué ci-dessus.

-   Pour les utilisateurs de Netscape Communicator :

    Dans le menu « Communicator », « Outils », « Options de sécurité ».
    Sélectionner l'option « java/javascripts » dans la fenêtre qui
    apparaît. Retrouver, dans le cadre content la liste des certificats,
    un certificat nommé : « Sun Microsystems Inc. ». Cliquer sur le
    bouton « Voir le Certificat ». Si le numéro de série est le suivant,
    il faut détruire l'entrée :

    17:05:FB:13:A2:2F:9A:F3:C1:30:F5:62:6E:12:50:4C

    S'il vous est proposé d'installer le certificat :

    Une boite d'alerte apparaît, vous demandant si vous désirez
    installer le certificat. Pour obtenir des détails sur le certificat,
    cliquer sur le bouton « certificat ». Vérifier le numéro de série
    indiqué dans la fenêtre qui apparaît alors. Refuser le certificat si
    le numéro est celui indiqué ci-dessus.

-   Pour les utilisateurs de Netscape6 :

    Dans le menu « tâches », « Sécurité et propriété », « Gestionnaire
    de sécurité », dans la fenêtre qui apparaît, onglet « certificats »,
    retrouver un certificat nommé : « Sun Microsystems Inc. ». Si le
    numéro de série est le suivant, il faut détruire le certificat :

    1705FB13A22F9AF3C130F5626E12504C

    S'il vous est proposé de l'installer :

    Une boîte d'alerte apparaît demandant si vous désirez installer le
    certificat. Pour en savoir plus sur le certificat, cliquer sur «
    Plus d'informations ». Dans la fenêtre nommé « propriétés du
    certificat », sélectionner « numéro de série », et vérifier ce
    numéro. S'il correspond à celui indiqué au dessus, le refuser.

L'aide du bulletin d'alert Sun Microsystems :

version initiale.

Usurpation d'identité

Summary:
Sun Microsystems a annoncé que l'un de leur serveur a été compromis, on
ne peut donc plus faire confiance aux certificats gérés par ce serveur.

Risque d'usurpation de l'identité de Sun Microsystems

Bulletin de sécurité Sun Microsystems