Logo

Ma petite parcelle d'Internet...

Un autre regard sur la sécurité informatique, entre autres futilités.

mardi 29 octobre 2013

Router backdoor reloaded...

Backdoor open

S

i vous avez aimé l'histoire de la backdoor D-Link, vous allez A-DO-RER celle-ci. C'est encore sur /dev/ttyS0 que ça se passe, où on apprend que les routeurs du fabricant chinois Tenda arrivent avec une backdoor d'un fort beau gabarit côté LAN.

Pour faire court, un simple paquet UDP reçu sur l'interface interne via le réseau filaire ou sans-fil et commençant par la chaîne w302r_mfg suivie du caractère nul donne lieu à une interprétation spécifique conduisant, en particulier, à l'exécution privilégiée de n'importe quelle commande sur le système. De quoi obtenir un joli shell root en un seul paquet...

Lire la suite...

Note : 4.4/5 pour 29 votes

jeudi 24 octobre 2013

LinkedIn Intro

Broken LinkedIn

L

e célèbre réseau social professionnel LinkedIn s'enrichissait avant-hier d'une nouvelle fonctionnalité pour iOS nommée Intro. Jugée limite révolutionnaire par beaucoup, elle étend le client email d'un iPhone ou iPad en ajoutant aux emails, le cas échéant, les informations issues des profils des correspondants. Typiquement, si vous recevez un courrier de John Doe et que ce dernier possède un profil LinkedIn, les informations associées apparaîtront, ainsi que lorsque vous rédigez un email à son intention.

Où l'histoire devient intéressante, c'est lorsqu'on découvre comment fonctionne ce "miracle technologique". Cette application, basée sur Rapportive, se heurte cependant à l'impossibilité de modifier le client email d'Apple pour y attacher les fonctions nécessaires. Aussi, les développeurs LinkedIn ont tout simplement choisi de mettre en place un proxy IMAP à travers lequel votre courrier sera examiné, et enrichit si nécessaire...

Lire la suite...

Note : 4.1/5 pour 17 votes

mardi 15 octobre 2013

Backdoor or not backdoor ?

D-Link DIR-615

D

ans un moment de profonde solitude nocturne, Craig de /dev/ttyS0 s'est lancé dans le reverse d'un firmware de routeur D-Link. Il y a en particulier trouvé une version custom de thttpd dont la fonction d'authentification, faite maison, se trouve inclure ce qui ressemble fort à une backdoor.

C'en est tellement beau que ça se passe presque de commentaire :

int alpha_auth_check(struct http_request_t *request)
{
    if(strstr(request->url, "graphic/") ||
       strstr(request->url, "public/") ||
       strcmp(request->user_agent,
                 "xmlset_roodkcableoj28840ybtide") == 0)
    {
        return AUTH_OK;
    }
[...]

Il suffit donc que le programme qui se connecte à l'interface web présente la chaîne "xmlset_roodkcableoj28840ybtide" comme User-Agent pour y accéder sans authentification. Oups...

Lire la suite...

Note : 4.2/5 pour 9 votes

jeudi 3 octobre 2013

BTA en ligne

Python bucket

P

hilippe avait rapidement présenté l'outil en rump au dernier SSTIC en suggérant qu'il soit disponible publiquement un jour. C'est chose faite depuis hier sur BitBucket. Répondant à un doux trigramme qui ne signifie rien de particulier si on se refuse à recourir aux acronymes d'acronymes, BTA est surtout un bout de code à tester les annuaires Active Directory.

Inspiré de l'outil AD-permissions publié l'an dernier par l'ANSSI, il diffère néanmoins de ce dernier. L'outil est architecturé pour permettre à son utilisateur de lancer des batteries tests prédéfinis afin d'identifier des mauvaises pratiques, des comptes obsolètes, des signes de compromissions, etc.

Lire la suite...

Note : 2.5/5 pour 2 votes

mardi 20 novembre 2012

De la protection des données personnelles...

Homer Simpson

D

eux mois après une première condamnation fort médiatisée pour "négligence caractérisée" dans le cadre d'HADOPI, Numerama nous apprenait vendredi la décision de la CNIL de clôturer définitivement sa procédure à l'encontre des ayant-droits. Lancée en juin 2011 suite à la découverte de failles dans le système de leur prestataire TMG, cette procédure avait levé le voile sur plusieurs manquements dans le traitement des données personnelles récoltées.

La CNIL avait mis fin à sa mise en demeure à l'encontre de TMG l'an dernier, tout en précisant continuer son action à l'encontre de la SPRD. Cette dernière s'en sort donc à tour, sans la moindre sanction également. À se demander si quelqu'un se soucie encore de la protection des données personnelles, et plus largement de la législation applicable...

Lire la suite...

Note : 5.0/5 pour 2 votes

mercredi 14 novembre 2012

Des images qui valent mieux qu'un long discours...

Chalutier

P

eu après la mise ne ligne de mon précédent billet sur le classement des applications les plus exploitées publié par Kaspersky, je suis tombé via un billet de Contagio sur un poster publié par DeepEnd Research qui montre l'évolution de quelques uns des exploit kits les plus courants en terme d'exploits ajoutés dans le temps.

Cette simple image illustre, par un simple jeu de couleurs, les tendance remarquées précédemment : le passage de la dominante verte attribuée aux produits Microsoft autres qu'IE à la dominante rouge signalant les produit Adobe pour finir sur une dominante jaune orangée principalement utilisée pour Java...

Lire la suite...

Note : 0.0/5 pour 0 vote

lundi 12 novembre 2012

Java en tête des applications les plus exploitée...

Winner

C

omme on me le faisait très justement remarquer tout récemment, "Tous les éditeurs [...] ont des failles dans leurs produits". Mais force est de constater que tous ne sont pas égaux face à cette situation quand il s'agit de leur exploitation, et la dernière version du rapport "IT Threat Evolution" de Kaspersky ne fait que confirmer une nouvelle fois cet état de fait.

Ce faisant, il consacre Oracle comme leader, si on peut s'exprimer ainsi, en terme de vulnérabilités exploitées sur ce troisième trimestre 2012 avec plus de la moitié des attaques visant Java dont deux failles touchent plus d'un tiers des machines étudiées. L'éditeur détrône ainsi Adobe dont les deux produits phare que sont Adobe Reader et Flash Player ne sont ciblés que dans 28% des cas...

Lire la suite...

Note : 4.5/5 pour 2 votes

mardi 6 novembre 2012

Ormandy vs. Sophos, second round...

Red Sophos logo

U

n peu plus d'un an après un premier papier incendiaire à l'endroit de l'antivirus de l'éditeur Sophos, Tavis Ormandy remet le couvert avec un advisory sur Full-Disclosure aux conclusions dures et sans appel, accompagné d'un papier détaillé, d'une exploitation sous MacOS et d'une série de PoCs démontrant les failles remontées.

Du côté de chez Sophos, on se félicite du travail accompli avec le chercheur, lequel ne semble pas complètement partager ce point de vue quand il parle de, je cite, "substandard security" s'agissant des produits de l'éditeur ou le qualifie de "ill-equipped to handle the output of one co-operative, non-adversarial security researcher" s'agissant de sa capacité de réaction...

Lire la suite...

Note : 0.0/5 pour 0 vote