Microsoft annonce un gros patch de sécurité pour mai

Mon, 07 May 2012 07:36:49 GMT

Dans sa notification avancée, Microsoft dévoile quels produits seront concernés par sa prochaine mise à jour de sécurité. Parmi les 7 bulletins proposés, 3 sont considérés comme critiques, les autres étant classés dans la catégorie « Important ». Au total, 23 vulnérabilités sont corrigées.

Côté OS, Windows XP SP2 mais également SP3 (et Windows Server 2008 pour le bulletin critique) sont concernés tout comme Vista et Windows 7. Outre les systèmes d'exploitation, la suite Office, le framework .Net et l'environnement de développement Silverlight écoperont d'une mise à jour de sécurité.

Adobe abandonne Linux

Thu, 23 Feb 2012 11:37:41 GMT

Le développement d’AIR ne reprendra pas, et celui de Flash Player sur Linux s’arrêtera après la version 11.2, prévue pour ce trimestre. Ensuite, seul un navigateur compatible avec sa technologie Pepper de plugin Flash sera supporté, c’est-à-dire Chrome uniquement.

C’est fini. Ou Presque. L’éditeur a présenté la feuille de route de ses développements sur Linux. Et Adobe a donc décidé de réduire drastiquement son investissement.

L’entreprise n’entend en effet plus concevoir de nouvelles versions de Flash et AIR compatibles avec Linux. Pour AIR, la décision d’Adobe date déjà de juin 2011 et l’éditeur n’a pas de projet de reprise.

Un plugin Flash (Pepper), sinon rien

Adobe Flash Player 11.2, qui était attendue pour le 1er trimestre 2012, sera la dernière version du logiciel Flash supportée.

Adobe entend désormais se limiter à un seul mode de diffusion de son logiciel auprès des utilisateurs de Linux, à savoir Google Chrome. L’implémentation « Pepper » de Flash Player pour toutes les plates-formes x86/x64 sera supportée par le navigateur.

Et Google a fait savoir que la version de Chrome compatible avec l’API « Pepper » serait finalisée en fin d’année. Pour les utilisateurs de Linux, le recours à Chrome (ou Chromium) et à son plugin Pepper devrait donc s’imposer.

Pour les OS non Linux, Adobe continuera de supporter Flash pour les navigateurs non compatibles avec sa technologie Pepper. Mais sur Linux, les utilisateurs de Firefox et d’un navigateur autre que Chrome ne pourront accéder à la dernière version de Flash - après donc Flash 11.2.

Source : ZDnet.fr

pcAnywhere : 200.000 PC susceptibles d’être piratés

Thu, 23 Feb 2012 11:35:09 GMT

Les déboires de Symantec, et surtout de ses utilisateurs, ne sont vraisemblablement pas terminés. Pour mémoire, le code source du logiciel pcAnywhere a été dérobé par des pirates, puis ultérieurement diffusé sur les réseaux P2P.

Et selon des chercheurs en sécurité de Rapid7, dont HD Moore, le créateur du célèbre outil Metasploit, ce sont entre 150.000 et 200.000 PC qui utilisent toujours une version non à jour de pcAnywhere.

Des patchs ignorés et un éditeur silencieux

Parmi ces machines vulnérables, 3.450 à 5.000 exécuteraient des programmes traitant des données de cartes bancaires, estime Rapid7. Cette estimation a été établie par le chercheur en scannant le port TCP laissé ouvert par pcAnywhere pour recevoir des commandes.

Des scans supplémentaires lui ont permis de collecter les numéros de version des logiciels. Et nombre d’utilisateurs n’ont donc pas suivi les préconisations de Symantec qui suite au vol de son code source avait invité les utilisateurs à désactiver l’outil en attendant les correctifs.

Or selon HD Moore, interrogé par ComputerWorld, « De nombreux PC n’ont pas été mis à jour. Il semble que les récents patchs ont été largement ignorés. » Symantec n’a pas souhaité commenter cette information ni apporter de précision sur le nombre d'utilisateurs de pcAnywhere.

Source : ZDnet.fr

SYNCHROTECH IT SERVICES SA REPREND TOUTES LES ACTIVITÉS DE VINCI TECH LTD

Thu, 11 Aug 2011 14:07:49 GMT

Nous avons le plaisir de vous informer que Vinci Tech Ltd rejoint le Groupe Synchrotech au 1^er juillet 2011.

Dès cette date, l’ensemble de ses activités sont reprises au nom de Synchrotech IT Services SA.

Synchrotech IT Services SA fournit un conseil professionnel et assure l’intégration et l’exploitation stable d’infrastructure de réseau informatique et de télécommunication : du conseil à la maintenance en passant par la création de concept, la mise en place de solutions et l’assistance à l’utilisation. Ses spécialistes disposent de l’expertise technologique et du savoir-faire leur permettant d’accompagner les clients sur l’ensemble du projet.

Synchrotech IT Services SA prend en charge les processus de synergies associant les services des sociétés du Groupe et assure ainsi à ses clients une collaboration plus efficace et des compétences étendues. Ses clients peuvent se concentrer sur leur métier et compter sur des solutions informatiques performantes.

La nouvelle entité supporte dans leur intégralité les contrats signés auprès de Vinci Tech Ltd. Les prestations de service ainsi que les conditions contractuelles restent les mêmes. Les modalités de collaboration sont également inchangées puisque vos interlocuteurs se retrouvent chez Synchrotech IT Services SA.

La société aura son siège social à Martigny. Pour assurer la continuité, elle garde les mêmes locaux à Romont, les numéros de téléphone, fax et adresses e-mail restent valables.

Adresse valable pour toute correspondance émise dès 1^er juillet 2011 :

Synchrotech IT Services SA, Rue du Simplon 14, CP 1007, 1920 Martigny, téléphone 027 322 69 54

Coordonnées bancaires :

UBS SA, 1950 Sion, compte no 265-101684.01Q, IBAN CH32 0026 5265 1016 8401 Q

Nous vous sommes reconnaissants de la confiance accordée à Vinci Tech Ltd et vous remercions de la reporter sur Synchrotech IT Services SA.

Nos collaborateurs auront à cœur de perpétuer nos échanges dans les meilleures conditions.

Le ministère allemand des affaires étrangères renonce à Linux pour Windows

Wed, 23 Feb 2011 16:22:42 GMT

Le ministère des affaires étrangères allemand avait entamé son virage vers le logiciel libre en 2001 avec un premier déploiement portant une solution VPN Open Source pour plus de 200 ambassades.

En 2004, l'adoption se poursuivait, cette fois sur le poste de travail Windows avec le trio logiciel OpenOffice, Firefox et Thunderbird. Enfin, l'année suivante, le ministère migrait son parc de stations de travail vers un master en dual boot Linux et Windows. Quant aux PC portables, ils étaient basculés sur Debian.

Des stations de travail auparavant en dual boot Linux-Windows

Malgré quelques écueils, l'administration allemande s'était félicitée de cette migration, constatant notamment des réductions de coûts. Mandaté par le ministère des affaires étrangères, le cabinet McKinsey identifiait quelques faiblesses, dont l'interopérabilité (en particulier pour le partage de documents) et un faible niveau d'acception des utilisateurs.

Pour autant, McKinsey ne jugeait pas ces points bloquants et estimait que des améliorations ciblées permettraient d'y remédier. Mais selon le site H-online, sur la base de documents publiés par netzpolitik.org, la DSI du ministère allemand a finalement décidé mi 2010 de faire machine arrière.

Pour justifier l'abandon de Linux au profit de Windows, le directeur informatique insiste sur les critiques des utilisateurs concernant des problèmes d'interopérabilité non résolus, mais sans fournir cependant plus de détails, notamment chiffrés.

Des points d'améliorations du poste Linux identifiés en 2009, mais non résolus

En outre, cette décision prend le contrepied des conclusions de l'audit conduit par McKinsey, qui considérait ainsi un poste Linux au ministère comme viable. L'audit reconnaissait parallèlement qu'un retour sur Windows était techniquement réaliste et attractif d'un point de vue utilisateur.

En revanche, le cabinet mettait en garde l'administration allemande contre les coûts (de licences et de migration), les efforts et les risques de perte d'expertise à moyen terme induits par un tel projet informatique.

Malgré ces effets collatéraux, le ministère allemand des affaires étrangères a décidé en 2011 de délaisser Linux sur les postes de travail pour déployer Windows XP. Un choix qui peut paraître surprenant, le support étendu prenant fin en 2014. Il ne s'agit toutefois que d'une solution transitoire (et donc a priori couteuse).

Un retour à Windows identifié comme coûteux

En effet, seront ensuite implémentés sur l'ensemble des postes, la version Windows 7 de l'OS de Microsoft et l'outil de bureautique Office 2010. Outre Linux, ce sont donc aussi OpenOffice et Thunderbird qui sont abandonnés.

Interrogé au Parlement par le SPD, le parti de l'opposition, le gouvernement a justifié cette décision par des coûts cachés, notamment de formation, mais aussi pour le développement des drivers d'imprimantes et de scanners.

Le Service Pack 1 de Windows 7 et serveur 2008 sera diffusé à partir du 22 février

Thu, 10 Feb 2011 09:07:55 GMT

C'est officiel,le Service Pack 1 destiné à Windows 7 et Windows Server 2008 R2 sera disponiblepour le grand public à compter du 22 février. Il sera diffusé via le système demise à jour Windows Update. Les abonnés MSDN and TechNet ainsi que les clientspossédant des licences de volume ont droit à la primeur dès le 16 février.

Microsoft l'a dit et répété, il ne servait à rien d'attendre ce SP1 avant depasser à Windows 7. Il se compose pour l'essentiel d'un cumul des mises à jouret correctifs publiés depuis sa sortie. Parmi les améliorations figurent l'ajout de deux outils de virtualisation (Dynamic Memory et RemoteFX)pour Windows Server 2008 R2, la correction d'un bug affectant certains matérielaudio HDMI et d'un autre sur la fonction d'impression des documents XPS (priseen charge d'image en format portrait et paysage sur un même document). (Eureka Presse)

Nouvelle faille "0-day" dans Internet Explorer

Tue, 01 Feb 2011 07:40:57 GMT

L'éditeur vient de publier une alerte de sécurité concernant son navigateur pour toutes les versions de Windows à l'exception de Windows Server 2008 et R2 s'ils sont installés en utilisant l'option Server Core.

La vulnérabilité 'zero day', c'est-à-dire publique et exploitable, est similaire aux brèches type cross-site scripting (XSS) qui permettent l'exécution de script malveillant sur le poste client depuis une page Web piégée.

"Le problème vient de la manière dont le MHTML interprète les requêtes au format MIME pour les blocs de contenu dans un document", explique Microsoft dans son bulletin.

"Dans certaines conditions, cette faille permet à un attaquant distant d'injecter un script côté client dans la réponse d'une requête Web s'exécutant dans Internet Explorer".

Rappelons que le format MHTML pour "MIME Encapsulation of Aggregate Documents, such as HTML", permet d'encapsuler dans une page HTML, les images et les contenus correspondants dans un seul fichier.

Aucun correctif n'est disponible pour l'instant. En attendant, Microsoft préconise de verrouiller le protocole MHTML. L'éditeur précise néanmoins qu'il n'a pas constaté "pour le moment" d'attaques exploitant cette vulnérabilité.

A noter, Opera pourrait également être concerné par cette brèche puisque le navigateur prend également en charge le format MHTML.

Une fausse attaque antivirus circule sur Twitter

Mon, 24 Jan 2011 16:04:45 GMT

Les usagers de Twitter sont la cible d'une attaque cherchant à propager un logiciel malveillant en se servant d'un lien piégé et masqué par un réducteur d'url. Des milliers de comptes Twitter compromis (on ignore de quelle manière) ont répandu un lien « goo.gl » pointant vers une url se terminant par « m28sx.html ».

Un exercice de chantage informatique

L'éditeur de solutions de sécurité Sophos a décrit le fonctionnement du piège. En cliquant sur le lien en question, les victimes sont redirigées vers un site qui affiche un message d'alerte simulant la présence d'un virus sur l'ordinateur et installe un logiciel malveillant, avant de réclamer de l'argent pour désinfecter le système.

De son côté, Twitter a rapidement réagi en deux phases : destruction des liens infectés et réinitialisation des mots de passe des comptes utilisateurs qui ont été compromis. Le site de micro-blogging recommande par ailleurs de ne pas employer le même mot de passe pour plusieurs services. (Eureka Presse)

Une vulnérabilité critique d’Internet Explorer visée par des attaques

Fri, 14 Jan 2011 07:50:47 GMT

Le 22 décembre, Microsoft avait publié un bulletin d'alerte confirmant l'existence d'une faille non corrigée affectant les différentes versions d'Internet Explorer (hormis IE9, non encore finalisé).

Le 11 janvier, l'éditeur a mis à jour son bulletin d'alerte pour avertir ses utilisateurs d'attaques ciblant cette vulnérabilité zero-day. Selon Microsoft, ces exploitations restent cependant limitées.

Pour rappel, la faille d'Internet Explorer permet potentiellement à un attaquant d'exécuter du code à distance via la mémoire utilisée par une feuille de style CSS. Windows XP, Windows Vista, Windows 7, Windows Server 2003 et 2008 sont affectés.

Afin de réduire les risques, Microsoft préconise notamment d'activer le mode protégé d'Internet Explorer sur les versions Vista et suivantes de Windows. Une exploitation réussie de la faille reste possible, mais l'attaquant disposera alors de droits limités sur le système vulnérable.

Outre ces modifications de configuration, Microsoft a mis au point un correctif provisoire, un FixIt. Sur son site Internet, l'éditeur précise que le programme « ajoute une vérification pour vérifier si une feuille de style en cascade est sur le point d'être chargés de manière récursive. Si tel est le cas, la solution FixIt annule le chargement de la feuille de style en cascade. »

La solution proposée par Microsoft est considérée comme originale puisqu'elle s'appuie sur un utilitaire (Microsoft Application Compatibility Toolkit) conçu en principe pour remédier aux problèmes de compatibilité applicative.

Le correctif réel pour la faille d'Internet Explorer ne devrait pas être diffusé avant, au mieux, le prochain Patch Tuesday, c'est-à-dire le 8 février. En effet, les correctifs de janvier ont déjà été délivrés par Microsoft, et ils ne prennent pas en compte les dernières failles de Windows et IE communiqués à l'éditeur par des chercheurs.

Le prochain bulletin de sécurité de Microsoft ne corrigera pas les dernières failles de Windows et IE

Fri, 07 Jan 2011 15:38:28 GMT

Microsoft ne brille toujours pas par sa réactivité en matière de sécurité. Le prochain bulletin de sécurité de l'éditeur ne corrigera en effet pas les deux failles béantes découvertes il y a quelques semaines impactant Windows et Internet Explorer.

D'ailleurs, le patch tuesday qui sera publié mardi prochain ne comportera que deux bulletin. Le premier, qualifié de critique, se penchera sur des vulnérabilités impactant Windows XP, Vista et 7. Le second, considéré comme important, corrigera des trous de sécurité dans les versions serveur de Windows.

Exécution de code à distance

Il faudra donc patienter pour que soit comblé la faille béante impactant Windows, faille datant d'un mois, qui a été confirmée par Microsoft il y a quelques jours. Celle-ci affecte les versions poste de travail Windows XP et Vista ainsi que les éditions serveur 2003 et 2008. Windows 7 et Server 2008 R2 ne sont en revanche pas concernés.

La vulnérabilité se situe au niveau du moteur de rendu graphique de Windows (GRE) précise Microsoft. Elle permet d'exploiter le système de prévisualisation de Windows pour exécuter du code sur une machine vulnérable et ainsi installer des programmes, modifier des données ou encore créer des comptes utilisateurs dotés de droits administrateurs.

Cette vulnérabilité n'est pas nouvelle puisqu'elle avait été dévoilée le 15 décembre 2010 à l'occasion d'une conférence sur la sécurité qui se tenait en Corée du Sud. C'est la publication d'un exploit pour le logiciel Metasploit qui a vraisemblablement contraint Microsoft à publier un bulletin d'alerte et ainsi à confirmer l'existence de la faille dans l'OS.

Il faudra également attendre pour qu'Internet Explorer soit patché. Le navigateur (versions 6,7 et 8) souffre d'une faille permettant l'exécution de code à distance via la mémoire utilisée par une feuille de style CSS.

Recent News