Avez-vous d\u00e9j\u00e0 remarqu\u00e9 ces merveilleux articles sur des bugs qui paraissent en masse derni\u00e8rement ? Eh bien, une voiture a \u00e9t\u00e9 pirat\u00e9e ? Voici une demi-douzaine de vuln\u00e9rabilit\u00e9s trouv\u00e9es dans des voitures ! D\u2019abord, la faille Stagefright, ensuite quelques petits bugs, et maintenant, Google Admin et une fuite du sandbox.<\/p>\n
Google Admin, l\u2019une des applications du syst\u00e8me Android, peut accepter des URL d\u2019autres applications. Apparemment, n\u2019importe quelle URL fonctionne, m\u00eame celles qui commencent par \u00ab\u00a0file:\/\/\u00a0\u00bb. Par cons\u00e9quent, une simple action sur le r\u00e9seau, comme le chargement de sites Web, commence dans une sorte de gestionnaire de fichiers. Toutes les applications sur Android ne sont-elles pas isol\u00e9es les unes des autres ? Zut, ce n\u2019est pas le cas ! Google Admin jouit de privil\u00e8ges, et en le trompant avec une URL ind\u00e9sirable, une application peut s\u2019\u00e9chapper du sandbox et acc\u00e9der \u00e0 des donn\u00e9es priv\u00e9es.<\/p>\n Comment cela a \u00e9t\u00e9 corrig\u00e9 ?<\/em><\/p>\n Tout d\u2019abord, permettez-moi de vous expliquer comment cette vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9voil\u00e9e par des chercheurs ind\u00e9pendants. Elle n\u2019a \u00e9t\u00e9 d\u00e9couverte qu\u2019au mois de mars, avec l\u2019envoi d\u2019un rapport \u00e0 Google. Cinq mois plus tard, les chercheurs ont de nouveau regard\u00e9 ce qui se passait et se sont aper\u00e7us que le bug n\u2019avait toujours pas \u00e9t\u00e9 corrig\u00e9. Le 13 ao\u00fbt, l\u2019information sur le bug a \u00e9t\u00e9 d\u00e9voil\u00e9e publiquement, incitant Google a publi\u00e9 enfin un patch.<\/p>\n Au fait, Google poss\u00e8de une \u00e9quipe interne de chercheurs qui consacre son temps et ses efforts \u00e0 traquer les bugs de partout, et pas seulement sur leurs propres softwares. Le Project Zero de Google accorde en g\u00e9n\u00e9ral 90 jours \u00e0 l\u2019\u00e9quipe avant de rendre public un bug. On peut alors se demander si Google est capable de publier lui-m\u00eame un patch pendant cette p\u00e9riode. L\u2019article du Threatpost. L\u2019alerte de ICS-CERT.<\/p>\n Bienvenue dans le monde merveilleux d\u2019une infrastructure essentielle ! Veuillez vous assoir, mettez-vous \u00e0 l\u2019aise, n\u2019appuyez pas sur ce bouton rouge effrayant et ne touchez pas \u00e0 ces c\u00e2bles qui sortent bizarrement de cette chose. Oui, il faut qu\u2019ils sortent. C\u2019est normal. Ca fait des ann\u00e9es qu\u2019ils sont comme \u00e7a. Si vous les touchez, nous sommes tous perdus ! La #s\u00e9curit\u00e9 pendant la semaine 34 : nouvelles #vuln\u00e9rabilit\u00e9s non corrig\u00e9es sur #Android, Mac #OSX, #SCADA de Schneider Electric et autres<\/p>Tweet<\/a><\/blockquote> Qu\u2019est-ce qui a \u00e9t\u00e9 d\u00e9couvert ?<\/em><\/p>\n Eh bien, un grand nombre de bugs a \u00e9t\u00e9 d\u00e9couvert de l\u2019un de ces syst\u00e8mes : Modicon M340 PLC Station P34 CPU de Schneider Electric. En r\u00e9sum\u00e9, cet ensemble de vuln\u00e9rabilit\u00e9s permettrait \u00e0 un intrus de s\u2019emparer de presque tout ce que le syst\u00e8me contr\u00f4le. Une faille majeure a \u00e9t\u00e9 d\u00e9couverte ici (au fait, nous en trouvons souvent dans des routers et autres objets connect\u00e9s) dans les justificatifs d\u2019identit\u00e9 cod\u00e9s mat\u00e9riellement.<\/p>\n Risky Schneider Electric SCADA Vulnerabilities Remain Unpatched https:\/\/t.co\/2oGDTbr7qE<\/a> via @threatpost<\/a> pic.twitter.com\/eyPAY6Aikn<\/a><\/p>\n \u2014 Kaspersky (@kaspersky) August 17, 2015<\/a><\/p><\/blockquote>\n![\"security-week-34-kid\"](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/93\/2015\/08\/06095502\/security-week-34-kid.jpg\")
<\/a><\/p>\n
\nOr, avec Google Admin, quelque chose n\u2019a pas du tout fonctionn\u00e9. D\u2019abord, il y avait en effet quelque chose qui ne fonctionnait pas. Ensuite, nous savons tous que les patchs ne permettent pas toujours de r\u00e9soudre le probl\u00e8me sur tous les appareils Android vuln\u00e9rables. Des mises \u00e0 jour de s\u00e9curit\u00e9 tous les mois ? Et qu\u2019en est-il d\u2019un patch sur lequel on travaille pendant une demi-ann\u00e9e ? Oui, oui, tout va bien.<\/p>\n<\/a><\/p>\nVuln\u00e9rabilit\u00e9 ouverte dans les syst\u00e8mes SCADA de Schneider Electric<\/h3>\n
\nLes syst\u00e8mes SCADA font partie d\u2019infrastructures essentielles. Ces derni\u00e8res sont notamment responsables de la gestion d\u2019\u00e9l\u00e9ments importants, comme les chaudi\u00e8res de vos immeubles ou m\u00eame des centrales nucl\u00e9aires. De tels syst\u00e8mes ne sont pas suppos\u00e9s \u00eatre \u00e9teints ou r\u00e9initialis\u00e9s. Alors, ne jouez pas avec les param\u00e8tres et ne touchez \u00e0 rien !
\n<\/p>
\nSi vous avez des questions, n\u2019essayez rien vous-m\u00eame, s\u2019il vous pla\u00eet. Lisez plut\u00f4t notre article \u00e0 ce sujet. Pendant ce temps, reconnaissons quand m\u00eame que, malgr\u00e9 l\u2019importance cruciale de ces syst\u00e8mes, ils sont souvent d\u00e9ploy\u00e9s sur des PC normaux, avec de vieilles versions de Windows. Contrairement aux entreprises classiques, qui mettent \u00e0 jour ou remplacent leurs hardwares et softwares environ une fois tous les cinq ans, certaines installations ou turbines industrielles, qui permettent de conserver \u00e0 l\u2019abri des substances chimiques mortelles, peuvent fonctionner 24h\/24 et 7j\/7 sur un m\u00eame hardware depuis plusieurs d\u00e9cennies.\n\n