XSS – Waebo

WordPress 3.3.1 : Mise à jour de sécurité du CMS

TiChou — Tue, 03 Jan 2012 22:43:22 +0000

L’éditeur du célèbre système de gestion de contenu WordPress, Automattic, vient tout juste de publier une mise à jour. Est plus précisément concernée la dernière branche stable soit WordPress 3.3 alias Sonny.

WordPress 3.3.1 vient ainsi corriger un total de 15 dysfonctionnements dont un qualifié de critique car représentant une vulnérabilité (faille XSS – cross-site scripting). Dans ce sens, des remerciements sont adressés à Joshua H., Hoang T., Stefan Zimmerman, Chris K. ainsi qu’à l’équipe de sécurité de l’hébergeur Go Daddy pour leur rôle dans la découverte de ces soucis de stabilité.

Télécharger WordPress 3.3.1

Il est sans surprise recommandé d’intervenir sur les installations WordPress en place pour appliquer le correctif proposé.

A vos mises à jour !

Articles similaires :

Facebook : Porno et violence via une vague de spam

TiChou — Fri, 18 Nov 2011 19:30:03 +0000

Facebook est depuis quelques jours déjà sujet à une importante vague de spam au niveau des flux d’actualités. Ainsi, de nombreux utilisateurs voient des images à caractère pornographique et violentes remplacer les habituelles photos de profil et autres clichés de vacances de leurs amis.

Les images de scènes violentes et de femmes nues (ou en sous-vêtements) sont ainsi poussées sur le réseau social via la fonctionnalité Like (J’aime) ou plus simplement via l’identification (tag) des contacts sur ladite illustration.

Au clic de souris sur la photo, un message d’erreur apparaît dans la plupart des cas :

This content is currently unavailable

The page you requested cannot be displayed right now. It may be temporarily unavailable, the link you clicked on may have expired, or you may not have permission to view this page.

Faute à un cache de flux d’actualités sur-puissant ?

Une faille XSS (Cross-Site Scripting) serait pointée du doigt. Profitant de cette vulnérabilité depuis un ou plusieurs navigateurs internet, les personnes mal intentionnées seraient en mesure de se connecter au compte Facebook de leurs victimes afin d’y publier les médias sus-cités.

Pour des raisons évidentes de sécurité, il est vivement conseillé d’être d’autant plus attentif – notamment avec les liens partagés sous les photos – en attendant que Facebook publie un correctif.

Articles similaires :

Google Chrome 11 : Nouvelle version majeure sur le dev channel

TiChou — Fri, 18 Feb 2011 08:30:37 +0000

Deux mois après la sortie de Google Chrome 10, Google Chrome 11 (11.0.672.2) se voit poussé sur le canal de développement pour les systèmes d’exploitation Windows, Mac Os et Linux. Sont surtout à noter des améliorations – notamment le moteur JavaScript v8 – et autres corrections de dysfonctionnements pour une meilleure fiabilité et stabilité.

A noter que la fonctionnalité XSS Auditor est désormais activée par défaut dans le navigateur afin de proposer une sécurité accrue aux internautes contre, comme vous l’aurez compris, les attaques de type cross-site scripting.

Source : Blog Google Chrome

Articles similaires :

IP.Board 2.3.6 et 3.0.5 : Patchs de sécurité avant l’arrivée d’IP.Board 3.1

TiChou — Thu, 25 Mar 2010 06:04:05 +0000

L’éditeur de la solution de forums IP.Board publiait ce mois-ci deux alertes de sécurité à appliquer aux installations déjà en ligne pour corriger des vulnérabilités affectant la branche 2.3.x mais aussi la dernière branche majeure, ie. 3.0.x.

La première d’entre elles concerne le calendrier du forum. Plus exactement, il était jusque là possible à un simple visiteur de supprimer un évènement présent dans celui-ci.

La seconde alerte fait état d’une faille XSS offrant la possibilité d’insérer du code CSS et JavaScript dans certains BBCodes exécutés à l’affichage du fil de discussion.

A noter que les packs d’installation des versions du CMS ont bien évidemment été mis à jour sur le site officiel. Nul besoin de tenir compte de ces avertissements dans le cas de nouveau projet.

Articles similaires :

Google Chrome : Première récompense de 1337 dollars

TiChou — Tue, 23 Mar 2010 21:00:18 +0000

Mise à jour de la version stable du navigateur web pour une mouture estampillée Google Chrome 4.1.249.1036 (Windows). De légères retouches à noter ici et là dont notamment la désactivation du XSS Auditor qui impliquait dans certains cas de sérieux problèmes de performance.

Les projecteurs sont cependant braqués sur Sergey Glazunov qui obtient la première bourse de 1337 dollars pour la découverte d’une faille de criticité importante dans le butineur.

[$1337] [35724] High Integer overflows in WebKit JavaScript objects. Credit to Sergey Glazunov.

Source : Blog Google Chrome

Articles similaires :

Firefox 3.5.8 et 3.0.18 : Mise à jour de sécurité pour le navigateur

TiChou — Thu, 18 Feb 2010 12:43:47 +0000

Certains d’entre vous auront certainement sans doute déjà remarqué la mise à jour proposée aujourd’hui même pour la branche 3.5 du navigateur : Firefox 3.5.8. De façon moins évidente, la version majeure précédente est également mise à jour et c’est dans ce sens Firefox 3.0.18 qui se dévoile.

Trois questions de sécurité de criticité élevée et deux moins sensibles ont en effet dû être réglées : problèmes de corruption mémoire, faille XSS, etc.

Il est vivement conseillé de passer à Firefox 3.6 sorti il y a presque un mois. Les joueurs/connaisseurs pourront quant à eux opter pour Firefox 3.7 alpha 1.

Articles similaires :

IP.Board 3.0.5 : Failles SQL & XSS, corrections et améliorations

TiChou — Thu, 10 Dec 2009 07:28:01 +0000

La solution de forums IP.Board est mise à jour par l’éditeur qui corrige ainsi des bugs minimes, améliore les performances mais aussi et surtout la sécurité :

Correction de la faille SQL et l’inclusion d’un fichier local. Remarque : en raison de la protection dans les classes du pilote SQL, il est très difficile de réussir une attaque contre IP.Board par ce moyen. De plus il est nécessaire d’avoir des droits de modérateur pour réaliser cette attaque. IPS a néanmoins renforcé le code. De plus, en raison des fonctions de nettoyage des entrées utilisées par IP.Board, l’inclusion d’un fichier local est limité aux fichiers de type PHP sur le système de fichier vu que l’astuce de « l’octet nul » est inefficace.
Correction de la faille XSS d’Internet Explorer XSS due à une gestion incorrecte des pièce-jointes.

Veillez dans la mesure du possible à tenir vos installations à jour.

Source : Invision Board France

Articles similaires :

WordPress 2.8.6 : Correction de deux failles de sécurité

TiChou — Thu, 12 Nov 2009 19:43:55 +0000

L’éditeur de la solution de blogs propose depuis quelques minutes une mise à jour afin de corriger deux vulnérabilités : WordPress 2.8.6. Corrigés dans cette release, une faille XSS en premier lieu accompagnée d’un problème de sécurité au niveau de l’upload de fichiers pour certaines configurations du serveur HTTP Apache.

Six fichiers sont concernés :

wp-includes/version.php (modified) (1 diff)
wp-includes/js/swfupload/plugins/swfupload.speed.js (modified) (1 prop)
wp-includes/functions.php (modified) (2 diffs)
wp-includes/formatting.php (modified) (1 diff)
readme.html (modified) (2 diffs)
wp-admin/press-this.php (modified) (3 diffs)

A noter que ces deux vulnérabilités ne concernent que les blogs ayant plusieurs comptes dont les détenteurs sont connectés et possèdent les droits de publication. Aucun risque donc pour les blogs à rédacteur unique (compte unique). Que cela ne vous empêche cependant pas de mettre à jour votre installation.

Source : Blog WordPress

Articles similaires :

Content Security Policy : Mozilla veut une sécurité accrue des sites web

TiChou — Wed, 07 Oct 2009 15:02:45 +0000

La fondation Mozilla travaille sur une nouvelle technologie permettant de définir le comportement du contenu d’un site web. L’idée est clairement de réduire la surface d’attaque des personnes mal intentionnées en détectant et bloquant les failles XSS (Cross-Site Scripting), injections et autres agression ou tentatives d’intrusion.

Techniquement, cette Content Security Policy est rendue possible via une en-tête HTTP nommée X-Content-Security-Policy dont les valeurs possibles sont nombreuses.

Elle offre par exemple la possibilité de bloquer ou limiter l’exécution de JavaScript ou de toute autre ressource à des noms de domaines bien définis :

X-Content-Security-Policy: allow 'self';  img-src *; script-src scripts.domainedeconfiance.com

A noter que les navigateurs ne la supportant pas ne seront pas affectés.

CSP devrait tout d’abord, et ce sans surprise, être disponible sur Firefox mais la volonté de la fondation Mozilla est bel et bien d’en faire un standard ouvert via le W3C.

Pour plus d’information, je vous invite à lire l’article du Wiki de la fondation.

Source : GNT

Articles similaires :

WordPress 2.8.3 : Correctif de sécurité en attendant WordPress 2.8.4

TiChou — Tue, 11 Aug 2009 19:09:19 +0000

En apprenant la vulnérabilité de WordPress 2.8.3 ce matin, je m’attendais à une réaction de la part de l’éditeur de la solution de blogs. Plus exactement je pensais voir débarquer une nouvelle version de WordPress mais c’est finalement un patch qui a été partagé sur le Trac.

Pour rappeler rapidement les faits, il est possible de réinitialiser le mot de passe sans avoir la clé normalement requise. Les accès ne pourront donc pas être récupérés mais cela irritera de façon certaine le détenteur du blog.

La vulnérabilité est la suivante pour WordPress 2.8.3 mais aussi pour toutes les versions antérieures.

http://www.domaine.tld/wp-login.php?action=rp&key[]=

Afin de corriger le problème, il suffit de remplacer la ligne 190 du fichier wp-login.php :

if ( empty( $key ) )

Par :

if ( empty( $key ) || is_array( $key ) )

Comme certains d’entre vous auront pu le comprendre, le fait de proposer un tableau audit fichier permet de passer outre le test qui aurait dû vous tenir à l’écart.

Articles similaires :