Multiples bulletins de sécurité Mozilla émis le 19 décembre 2023.
Mozilla corrige de nombreuses vulnérabilités dans plusieurs de ses produits Firefox et Thunderbird. Certaines d’entre elles permettent à un attaquant de provoquer un problème de sécurité non spécifié par l’éditeur. D’autres peuvent porter atteinte à la confidentialité des données, à l’exécution de code arbitraire à distance et au contournement de la politique de sécurité.
CVE-2023-6135 : NSS sensible à l’attaque « Minerva ». Plusieurs courbes NSS NIST étaient sensibles à une attaque par canal latéral connue sous le nom de « Minerva ». Cette attaque pourrait potentiellement permettre à un attaquant de récupérer la clé privée.
CVE-2023-6856 : Débordement de tampon de tas affectant la méthode WebGL DrawElementsInstanced avec le pilote Mesa VM. La DrawElementsInstancedméthode WebGL était susceptible de provoquer un débordement de tampon de tas lorsqu’elle était utilisée sur des systèmes dotés du pilote Mesa VM. Ce problème pourrait permettre à un attaquant d’exécuter du code à distance et d’échapper au bac à sable.
CVE-2023-6864 : bugs de sécurité de la mémoire corrigés dans Firefox 121, Firefox ESR 115.6 et Thunderbird 115.6. Bogues de sécurité de la mémoire présents dans Firefox 120, Firefox ESR 115.5 et Thunderbird 115.5. Certains de ces bogues montraient des preuves de corruption de la mémoire et nous présumons qu’avec suffisamment d’efforts, certains d’entre eux auraient pu être exploités pour exécuter du code arbitraire.
CVE-2023-6867 : invite d’autorisation de détournement de clic à l’aide de la transition contextuelle. Le délai d’un clic sur un bouton provoquant la disparition d’une fenêtre contextuelle était à peu près de la même durée que le délai anti-piratage sur les invites d’autorisation. Il était possible d’utiliser ce fait pour surprendre les utilisateurs en les incitant à cliquer à l’endroit où le bouton d’octroi d’autorisation serait sur le point d’apparaître.
CVE-2023-6873 : Bugs de sécurité de la mémoire corrigés dans Firefox 121
Bogues de sécurité de la mémoire présents dans Firefox 120. Certains de ces bogues montraient des preuves de corruption de la mémoire et nous présumons qu’avec suffisamment d’efforts, certains d’entre eux auraient pu être exploités pour exécuter du code arbitraire.
Le code arbitraire, également connu sous le nom de code obscur ou de code spaghetti, est une pratique où le flux logique d'un programme devient difficile à suivre en raison de la complexité excessive de sa structure. Ce type de code peut résulter d'une mauvaise conception, de l'accumulation de correctifs sans structure claire, ou simplement d'un manque de compréhension du langage de programmation utilisé. Le code arbitraire rend la maintenance et la mise à jour du logiciel difficiles et augmente le risque d'erreurs. Pour éviter cela, il est essentiel de suivre des pratiques de programmation claires et de maintenir une structure logique dans le code.
Les pirates s'intéressent plus particulièrement aux vulnérabilités critiques des logiciels et des systèmes d'exploitation. Ces failles permettent généralement d'obtenir une élévations de privilège donnant des droits d'administrateur. Une situation qui permet d'autoriser l'exécution de code arbitraire à distance à l'insu des victimes. Ce sont particulièrement les failles de catégorie zero days qui sont ciblées en priorité du fait de leur absence de correctif. Le retard d'application des mises à jour des vulnérabilités présente aussi un risque potentiel de contrôle à distance non sollicité.
La confidentialité en informatique est un principe fondamental qui garantit la protection des données personnelles des utilisateurs. Elle implique que les informations sensibles soient accessibles uniquement aux personnes autorisées. Avec la prolifération des plateformes en ligne et des appareils connectés, la préservation de la confidentialité devient cruciale.
Les technologies telles que le chiffrement des données et les pare-feu jouent un rôle essentiel dans cette protection. Cependant, des préoccupations persistent concernant la collecte excessive de données par les entreprises et les gouvernements, mettant en péril la vie privée des individus. Ainsi, il est impératif de mettre en place des réglementations strictes et des pratiques de sécurité robustes pour préserver la confidentialité des données dans le monde numérique.
La confidentialité permet d'empêcher un accès non autorisé à des informations qui présentent un caractère sensible. Les intrusions dans les réseaux d'entreprise qui ne sont pas assez protégées, les négligences des personnes qui exposent des données non chiffrées, les niveaux insuffisants des contrôles d'accès sont autant de situations qui mettent en péril la confidentialité des données.
De plus en plus de navigateurs, comme par exemple QWant et surtout Brave, se lancent dans une politique de confidentialité des données de navigation. Nul doute que l'utilisation d'un Réseau Privé Virtuel (VPN) et l'utilisation de données dans un cloud sécurisé améliorent la confidentialité et la sécurité des échanges. En juin 2023, la société Proton lance son extension de navigateur Proton Pass. Un gestionnaire de mots de passe sécurisé, gratuit et open source
La politique de sécurité informatique, essentielle à l'ère numérique, vise à protéger les systèmes, réseaux et données contre les menaces en ligne. Elle établit des directives pour gérer les risques, mettre en place des mesures de prévention et de détection des intrusions, ainsi que des protocoles de réponse en cas d'incidents. Elle est liée à la sécurité de l'information. Elle définit les objectifs de sécurité des systèmes informatiques d'une organisation.
Une politique de sécurité informatique est une stratégie visant à maximiser la sécurité informatique d’une entreprise. Elle est matérialisée dans un document qui reprend l’ensemble des enjeux, objectifs, analyses, actions et procédures faisant parti de cette stratégie. La stratégie qui vise à maximiser la sécurité informatique d’une entreprise se matérialise par un document qui regroupe les objectifs, les enjeux et les actions qu'elle doit mettre en œuvre. En complément de la politique de sécurité informatique, les entreprises se dotent d'une charte informatique qui établie des recommandations spécifiques au niveau des technologies informatiques. Certaines cyberattaques réussissent en contournant ou diminuant les politiques de sécurité. Le CERT et le CISA préconisent le comblement immédiat des correctifs des failles critiques et plus particulièrement ceux qui concernent les vulnérabilités de catégorie Zero Day.
En promouvant la sensibilisation, la formation et la conformité aux normes de sécurité, une politique efficace renforce la résilience des organisations face aux cyberattaques, garantissant la confidentialité, l'intégrité et la disponibilité des informations cruciales.
Les CERT (Computer Emergency Response Teams) sont des centres d'alerte et de réaction aux attaques informatiques, destinés aux entreprises ou aux administrations, mais dont les informations sont généralement accessibles à tous. Les tâches prioritaires d'un CERT sont multiples. La centralisation des demandes d'assistance à la suite des incidents de sécurité sur les réseaux et les systèmes d'informations. Le traitement des alertes et réaction aux attaques informatiques. L'établissement et maintenance d'une base de donnée des vulnérabilités. La Prévention par diffusion d'informations. La coordination éventuelle avec les autres entités.
