+ Répondre à la discussion Actualité déjà publiée
  1. #1
    Expert éminent sénior

    Homme Profil pro
    Développeur informatique
    Inscrit en
    septembre 2014
    Messages
    194
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Algérie

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Enseignement

    Informations forums :
    Inscription : septembre 2014
    Messages : 194
    Points : 12 264
    Points
    12 264

    Par défaut Protocole NTP : plusieurs failles de sécurité découvertes par Google

    Protocole NTP : plusieurs failles de sécurité découvertes par Google
    Des correctifs disponibles pour Linux et OS X

    Deux chercheurs de Google Security Team ont détecté quelques failles de sécurité dans le code source du daemon NTP (Network Time Protocol) et qui dateraient depuis de nombreuses années déjà.

    Pour rappel, NTP (Protocole d'Heure Réseau) est l’un des plus anciens protocoles de l’internet. Il permet de synchroniser, via un réseau informatique, l'horloge locale d'ordinateurs avec celle d'un serveur de référence. Cette synchronisation est nécessaire pour les transactions journalisées, les échanges commerciaux, la diffusion de contenu multimédia en temps réel, les vidéoconférences, mais aussi plein d’autres services en ligne.

    Les failles découvertes par l’équipe de Google touchent le code de base dans les distributions Linux et Unix, notamment OS X d’Apple. Il s’agirait d’un oubli de la clause « return » dans le codepath, ce qui veut dire que l’exécution n’est pas arrêtée lorsqu’une certaine « erreur spécifique mais rare se produit ». Cela ne représente pas forcément une faille exploitable par des hackers. Par contre, ils ont aussi découvert trois erreurs de dépassement de tampon (buffer overflow) qui pourraient bel et bien être utilisées dans certains cas pour faire exécuter du code malicieux avec les privilèges systèmes.

    Heureusement, les failles ont déjà été corrigées et un correctif a été publié. Il semblerait à l’heure de l’écriture de cet article qu’une autre mise à jour de sécurité ait été publiée le 23 décembre sous la référence 4.2.8p1. Toutefois elle reste en ce moment encore en version bêta.

    De son côté, Apple a publié un patch d’urgence pour corriger cette faille dans son système d’exploitation OS X. La mise à jour sera poussée automatiquement aux utilisateurs des Mac.

    L’ICS-CERT rappelle les mesures nécessaires pour se protéger contre les cyberattaques :
    • toujours utiliser un pare-feu lorsqu'on se connecte sur internet ;
    • mettre hors réseau tous les appareils et systèmes qui n’ont pas besoin d’une connexion internet pour fonctionner ;
    • mettre fréquemment à jour son système, son navigateur et les outils utilisés ;
    • toujours utiliser - dans la mesure du possible - des méthodes/protocoles de connexion sécurisées (ex : HTTPS, SSL, VPN).

    Il ne faudra pas oublier non plus que ces méthodes et protocoles peuvent eux même être vulnérables, l’exemple le plus connu étant la découverte en mars dernier de la faille HeartBleed sur OpenSSL qui aurait touché plus d’un demi-million de serveurs à travers le monde.

    Télécharger le correctif de sécurité du protocole NTP

    Source : ntp.org

    Et vous ?

    Qu’en pensez-vous ?

  2. #2
    Candidat au Club
    Homme Profil pro
    Architecte de système d'information
    Inscrit en
    décembre 2014
    Messages
    11
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Seine et Marne (Île de France)

    Informations professionnelles :
    Activité : Architecte de système d'information
    Secteur : Conseil

    Informations forums :
    Inscription : décembre 2014
    Messages : 11
    Points : 4
    Points
    4

    Par défaut

    La faille est dans le code du daemon ntpd, pas dans le code de NTP ce qui ne veut rien dire.
    Le code de base des distributions ça ne veut rien dire non plus.
    Certaines utilisent chrony comme daemon NTP ou OpenNTP, et donc ne sont pas touchées par ces bugs.

  3. #3
    Membre à l'essai
    Homme Profil pro
    Webmaster
    Inscrit en
    février 2006
    Messages
    10
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Ardèche (Rhône Alpes)

    Informations professionnelles :
    Activité : Webmaster
    Secteur : Service public

    Informations forums :
    Inscription : février 2006
    Messages : 10
    Points : 19
    Points
    19

    Par défaut

    Merci pour l'info et à Ookaze pour le complément d'info

  4. #4
    Membre confirmé
    Profil pro
    Inscrit en
    juillet 2007
    Messages
    156
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Secteur : Communication - Médias

    Informations forums :
    Inscription : juillet 2007
    Messages : 156
    Points : 521
    Points
    521

    Par défaut

    A noter, qu'il s'agit de la première fois (d'après MacG) qu'Apple pousse une MAJ. De plus OSX.7 n'est pas couvert pas cette MAJ, alors que son support n'est pas officiellement abandonné. Je ne sais pas si c'est parce qu'il n'est pas concerné ou bien qu'Apple aurait changé sa politique de MAJ des anciennes versions avec l'arrivée de Mavericks comme le montrent cet article.

  5. #5
    Membre régulier Avatar de ludosoft
    Homme Profil pro
    Chef de projet technique
    Inscrit en
    juillet 2002
    Messages
    98
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 35
    Localisation : France, Gironde (Aquitaine)

    Informations professionnelles :
    Activité : Chef de projet technique
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : juillet 2002
    Messages : 98
    Points : 123
    Points
    123

    Par défaut

    Protocole NTP : plusieurs failles de sécurité découvertes par Google
    Hum... Ce n'est pas le protocole qui est en cause mais l'implémentation.
    Et un d'plus en moins !

Discussions similaires

  1. Des failles de sécurité découvertes dans Google App Engine
    Par Michael Guilloux dans le forum Sécurité
    Réponses: 0
    Dernier message: 18/05/2015, 15h08
  2. Réponses: 18
    Dernier message: 31/03/2010, 22h26
  3. Réponses: 25
    Dernier message: 27/01/2010, 12h43
  4. Enorme faille de sécurité découverte sur l'iPhone
    Par Gordon Fowler dans le forum Actualités
    Réponses: 18
    Dernier message: 09/12/2009, 12h38
  5. Firefox victime d'une faille de sécurité ouverte par Windows Update
    Par Gordon Fowler dans le forum Actualités
    Réponses: 17
    Dernier message: 09/12/2009, 10h09

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo