Alertes failles
de sécurité et
de mises à jour
Contribuer - Questionner
Faire un lien
Assiste.com - Sécurité informatique - Vie privée sur le Web - Neutralité d'Internet
 

Assiste.com

cr  01.04.2012      r+  22.10.2024      r-  22.10.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

Failles de sécurité (security breach)

Failles de sécurité (security breach)      Failles de sécurité (security breach)      Index      Failles de sécurité (security breach)      Failles de sécurité (security breach)

Dossier (collection) : Encyclopédie

Introduction
Liste

Malwarebytes et Kaspersky ou
Emsisoft (incluant Bitdefender)


Sommaire (montrer / masquer) 

Failles de sécurité - Failles de sécurité Failles de sécurité - 01 Failles de sécurité top top

Sécurité informatique - Vie privée - Neutralité
Carnets de voyage en terres truquées
Bienvenue sur le Web

Il n'existe pas de logiciel 100% sans erreur (sans « bug »). Tout programmeur honnête avec lui-même l'admettra.

Lorsque le logiciel est une usine à gaz, ce sont des milliers d'erreurs qui s'y trouvent. Certaines erreurs sont anodines, sans importance et sans conséquence, mais d'autres erreurs se traduisent par une Vulnérabilité, ou « Failles de Sécurité ».

Des correctifs sont publiés sans cesse pour colmater les brêches, encore faut-il faire des « Windows Update » et autres « Secunia PSI » pour détecter l'existence de ces correctifs et les installer.

Lorsqu'une Failles de Sécurité est découverte par un Cybercriminel, elle va lui permettre de pénétrer l'ordinateur (Drive-by Download, etc. ...) et d'en prendre le contrôle avec des privilèges administratifs, voire des privilèges SYSTEME.

Vente de failles de sécurité

Lorsqu'un hacker découvre une faille de sécurité mais n'a pas les moyens de l'exploiter lui-même, il la vend !
17.01.2013 - L'exploitation d'une faille Java vendue 5 000 dollars

Une faille « Zero-day » dans Vista a été mise en vente 50.000 US$ selon Trend Micro. Le prix moyen de vente d'informations sur la découverte d'une faille de sécurité non patchée (non corrigée/à exploiter) se situe entre 20.000 US$ et 30.000 US$ selon la popularité du logiciel faillible et la fiabilité du code de l'attaque.

En décembre 2005, Kaspersky découvre que l'exploit permettant l'attaque WMF (Windows Metafile) était proposé par un groupe de Hacker Russe pour 4.000 US$. Ces ventes d'exploits se faisant des milliers de fois pour chaque exploit, Gene Raimund (directeur des technologies chez Trend Micro) est aller jusqu'à dire que « Le marché du malware fait plus d'argent que le marché des anti-malwares ».

Lire Le marché lucratif des ventes de failles de sécurité et services pour cybercriminel.

A titre d'exemples, voici une toute petite liste d'environ 200 types de Failles de Sécurité, parmi plusieurs milliers (fiches de Metasploit, un outil de recherches de Vulnérabilités, ou « Failles de Sécurité ») :

  1. 2Wire Cross-Site Request Forgery Password Reset Vulnerability
  2. Veritas Backup Exec Windows Remote File Access
  3. Veritas Backup Exec Server Registry Access
  4. Cisco Secure ACS Version < 5.1.0.44.5 or 5.2.0.26.2 Unauthorized Password Change
  5. Cisco VPN Concentrator 3000 FTP Unauthorized Administrative Access
  6. IBM DB2 db2rcmd.exe Command Execution Vulnerability
  7. Novell eDirectory DHOST Predictable Session Cookie
  8. Novell eDirectory eMBox Unauthenticated File Access
  9. EMC AlphaStor Device Manager Arbitrary Command Execution
  10. EMC AlphaStor Library Manager Arbitrary Command Execution
  11. Titan FTP XCRC Directory Traversal Information Disclosure
  12. HP Data Protector 6.1 EXEC_CMD Command Execution
  13. ContentKeeper Web Appliance mimencode File Access
  14. HP Web JetAdmin 6.5 Server Arbitrary Command Execution
  15. MS10-065 Microsoft IIS 5 NTFS Stream Authentication Bypass
  16. Intersil (Boa) HTTPd Basic Authentication Password Reset
  17. Iomega StorCenter Pro NAS Web Authentication Bypass
  18. JBoss Seam 2 Remote Command Execution
  19. Novell File Reporter Agent Arbitrary File Delete
  20. Plixer Scrutinizer NetFlow and sFlow Analyzer HTTP Authentication Bypass
  21. Tomcat Administration Tool Default Access
  22. Tomcat UTF-8 Directory Traversal Vulnerability
  23. TrendMicro Data Loss Prevention 5.5 Directory Traversal
  24. TYPO3 sa-2009-001 Weak Encryption Key File Disclosure
  25. Typo3 sa-2009-002 File Disclosure
  26. TYPO3 sa-2010-020 Remote File Disclosure
  27. TYPO3 Winstaller default Encryption Keys
  28. SAP MaxDB cons.exe Remote Command Injection
  29. UDP Wake-On-Lan (WOL)
  30. Motorola WR850G v4.03 Credentials
  31. Microsoft Host Integration Server 2006 Command Execution Vulnerability
  32. Microsoft SQL Server Configuration Enumerator
  33. Microsoft SQL Server xp_cmdshell Command Execution
  34. Microsoft SQL Server - Find and Sample Data
  35. Microsoft SQL Server - Interesting Data Finder
  36. Microsoft SQL Server NTLM Stealer
  37. Microsoft SQL Server NTLM Stealer - SQLi
  38. Microsoft SQL Server Generic Query
  39. Microsoft SQL Server Generic Query from File
  40. MySQL Enumeration Module
  41. MySQL SQL Generic Query
  42. NAT-PMP Port Mapper
  43. TrendMicro OfficeScanNT Listener Traversal Arbitrary File Access
  44. Oracle SMB Relay Code Execution
  45. Oracle Account Discovery
  46. Oracle SQL Generic Query
  47. Oracle Database Enumeration
  48. Oracle Secure Backup exec_qr() Command Injection Vulnerability
  49. Oracle Secure Backup Authentication Bypass/Command Injection Vulnerability
  50. Oracle Secure Backup Authentication Bypass/Command Injection Vulnerability
  51. Oracle Java execCommand (Win32)
  52. Oracle URL Download
  53. Oracle TNS Listener SID Brute Forcer
  54. Oracle TNS Listener Command Issuer
  55. UoW pop2d Remote File Retrieval Vulnerability
  56. PostgreSQL Server Generic Query
  57. PostgreSQL Server Generic Query
  58. SAP Management Console OSExecute
  59. Interactive Graphical SCADA System Remote Command Injection
  60. Schneider Modicon Remote START/STOP Command
  61. Schneider Modicon Quantum Password Recovery
  62. Schneider Modicon Ladder Logic Upload/Download
  63. Allen-Bradley/Rockwell Automation EtherNet/IP CIP Commands
  64. TrendMicro ServerProtect File Access
  65. SMB Scanner Check File/Directory Utility
  66. SMB Directory Listing Utility
  67. Microsoft Windows Authenticated Command Execution
  68. Samba Symlink Directory Traversal
  69. SMB File Upload Utility
  70. Solaris KCMS + TTDB Arbitrary File Read
  71. TFTP File Transfer Utility
  72. TikiWiki Information Disclosure
  73. VMWare Power Off Virtual Machine
  74. VMWare Power On Virtual Machine
  75. VMWare Tag Virtual Machine
  76. VMWare Terminate ESX Login Sessions
  77. RealVNC NULL Authentication Mode Bypass
  78. Apple Airport Extreme Password Extraction (WDBRPC)
  79. John the Ripper AIX Password Cracker
  80. John the Ripper Password Cracker (Fast Mode)
  81. Unix Unshadow Utility
  82. FreeBSD Remote NFS RPC Request Denial of Service
  83. Apache mod_isapi <=2.2.14 Dangling Pointer
  84. Dell OpenManage POST Request Heap Overflow (win32)
  85. MS02-063 PPTP Malformed Control Data Kernel Denial of Service
  86. Samba lsa_io_privilege_set Heap Overflow
  87. Solaris LPD Arbitrary File Delete
  88. Microsoft IIS FTP Server <=7.0 LIST Stack Exhaustion
  89. Adobe XML External Entity Injection
  90. Oracle iSQL*Plus Login Utility
  91. SAP Management Console Get Access Points
  92. Oracle DB SQL Injection via SYS.LT.FINDRICSET Evil Cursor Method
  93. Citrix Provisioning Services 5.6 SP1 Streamprocess Opcode 0x40020006 Buffer Overflow
  94. IBM System Director Agent DLL Injection
  95. TrendMicro Control Manger <=v5.5 CmdProcessor.exe Stack Buffer Overflow
  96. Windows RSH daemon Buffer Overflow
  97. Timbuktu Pro Directory Traversal/File Upload
  98. Microsoft SQL Server sp_replwritetovarbin Memory Corruption
  99. Windows Upload/Execute, Reverse TCP Stager (DNS)
  100. Windows x64 Execute Command
  101. Windows x64 LoadLibrary Path
  102. Windows x64 Meterpreter, Windows x64 Bind TCP Stager
  103. Windows x64 Meterpreter, Windows x64 Reverse TCP Stager
  104. Windows x64 Command Shell, Windows x64 Bind TCP Stager
  105. Windows x64 Command Shell, Windows x64 Reverse TCP Stager
  106. Windows x64 Command Shell, Bind TCP Inline
  107. Windows x64 Command Shell, Reverse TCP Inline
  108. Windows x64 VNC Server (Reflective Injection), Windows x64 Bind TCP Stager
  109. Windows x64 VNC Server (Reflective Injection), Windows x64 Reverse TCP Stager
  110. Windows Capture Keystroke Recorder
  111. Winlogon Lockout Credential Keylogger
  112. Windows Escalate UAC Protection Bypass
  113. Windows Escalate SMB Icon LNK Dropper
  114. Windows Escalate Get System via Administrator
  115. Windows Escalate NtUserLoadKeyboardLayoutEx Privilege Escalation
  116. Windows Escalate Task Scheduler XML Privilege Escalation
  117. Windows Escalate Microsoft .NET Runtime Optimization Service Privilege Escalation
  118. Windows Escalate Locked Desktop Unlocker
  119. Windows Escalate Service Permissions Local Privilege Escalation
  120. Windows Gather ARP Scanner
  121. Windows Gather Bitcoin wallet.dat
  122. Windows Gather Credential Cache Dump
  123. Windows Gather Virtual Environment Detection
  124. Windows Gather CoreFTP Saved Password Extraction
  125. Windows Gather Credential Collector
  126. Windows Gather Dyn-Dns Client Password Extractor
  127. Windows Gather Credential Store Enumeration and Decryption Module
  128. Windows Gather Google Picasa Password Extractor
  129. Windows Gather McAfee ePO 4.6 Config SQL Credentials
  130. Windows Gather FileZilla FTP Server Credential Collection
  131. Windows Gather FlashFXP Saved Password Extraction
  132. Windows Gather FTP Navigator Saved Password Extraction
  133. Windows Gather FTP Explorer (FTPX) Credential Extraction
  134. Windows Gather Group Policy Preference Saved Passwords
  135. Windows Gather Internet Download Manager (IDM) Password Extractor
  136. Windows Gather IPSwitch iMail User Data Enumeration
  137. Windows Gather Credentials IMVU Game Client
  138. Windows Gather Meebo Password Extractor
  139. Windows Gather mRemote Saved Password Extraction
  140. Windows Gather Nimbuzz Instant Messenger Password Extractor
  141. Windows Gather Microsoft Outlook Saved Password Extraction
  142. Windows Gather RazorSQL Credentials
  143. Windows Gather SmartFTP Saved Password Extraction
  144. Windows Gather Spark IM Password Extraction
  145. Steam client session Collector.
  146. Windows Gather TortoiseSVN Saved Password Extraction
  147. Windows Gather Total Commander Saved Password Extraction
  148. Windows Gather Trillian Password Extractor
  149. Windows Gather VNC Password Extraction
  150. Windows Gather AutoLogin User Credential Extractor
  151. Windows Gather WinSCP Saved Password Extraction
  152. Windows Gather WS_FTP Saved Password Extraction
  153. Windows Gather Dump Recent Files lnk Info
  154. Windows Gather Installed Application Enumeration
  155. Windows Gather File and Registry Artifacts Enumeration
  156. Windows Gather Google Chrome User Data Enumeration
  157. Windows Gather Enumerate Computers
  158. Windows Gather Database Instance Enumeration
  159. Windows Gather Hardware Enumeration
  160. Windows Gather Directory Permissions Enumeration
  161. Windows Gather Enumerate Domain
  162. Windows Gather Enumerate Domain Group
  163. Windows Gather Enumerate Domain Tokens
  164. Windows Gather Domain Enumeration
  165. Windows Gather Generic File Collection
  166. Windows Gather Windows Host File Enumeration
  167. Windows Gather Internet Explorer User Data Enumeration
  168. Windows Gather Logged On User Enumeration (Registry)
  169. Windows Gather Product Key
  170. Windows Gather Powershell Environment Setting Enumeration
  171. Windows Gather Proxy Setting
  172. Windows Gather Service Info Enumeration
  173. Windows Gather SMB Share Enumeration via Registry
  174. Windows Gather SNMP Settings Enumeration (Registry)
  175. Windows Gather Terminal Server Client Connection Information Dumper
  176. Windows Gather Enumerate Domain Admin Tokens (Token Hunter)
  177. Windows Gather Tomcat Server Enumeration
  178. Windows Gather Unattended Answer File Enumeration
  179. Windows Gather Forensics Duqu Registry Check
  180. Windows Gather Physical Drives and Logical Volumes
  181. Windows Gather Forensic Imaging
  182. Windows Gather Local NBD Server
  183. Windows Gather Local User Account Password Hashes (Registry)
  184. Windows Gather Local Admin Search
  185. Windows Gather Process Memory Grep
  186. Windows NetLM Downgrade Attack
  187. Windows Gather Local User Account SID Lookup
  188. Windows Gather IP Range Reverse Lookup
  189. Windows Gather Screen Spy
  190. Windows Gather Local and Domain Controller Account Password Hashes
  191. Windows Gather TCP Netstat
  192. Windows Gather USB Drive History
  193. Windows Gather Privileges Enumeration
  194. Windows Gather Run Specified WMIC Command
  195. Windows Manage Add User to the Domain and/or to a Domain Group
  196. Windows Manage Network Route via Meterpreter Session
  197. Windows Manage Proxy Setting Cloner
  198. Windows Manage Local User Account Deletion
  199. Windows Manage Download and/or Execute
  200. Windows Manage Enable Remote Desktop
  201. Windows Manage Certificate Authority Injection
  202. Windows Manage Hosts File Injection
  203. Windows Manage Process Migration
  204. Windows Manage Local Microsoft SQL Server Authorization Bypass
  205. Windows Manage Inject in Memory Multiple Payloads
  206. Windows Manage Local NBD Server for Remote Disks
  207. Windows Manage Memory Payload Injection Module
  208. Windows Manage Persistent Payload Installer
  209. Windows Manage PowerShell Download and/or Execute
  210. Windows Manage PXE Exploit Server
  211. Windows Manage Certificate Authority Removal
  212. Windows Manage Host File Entry Removal
  213. Windows Manage Remote Packet Capture Service Starter
  214. Windows Manage Run Command As User
  215. Windows Manage Safe Delete
  216. Windows Manage Smart Process Migration
  217. Windows Manage Create Shadow Copy
  218. Windows Manage List Shadow Copies
  219. Windows Manage Mount Shadow Copy
  220. Windows Manage Set Shadow Copy Storage Space
  221. Windows Manage Get Shadow Copy Storage Info
  222. Windows Recon Computer Browser Discovery
  223. Windows Recon Resolve Hostname
  224. Windows Recon Resolve IP
  225. Windows Gather Wireless BSS Info
  226. Windows Gather Wireless Current Connection Info
  227. Windows Disconnect Wireless Connection
  228. Windows Gather Wireless Profile
  229. Etc. ...




Aidez et soutenez Assiste – autorisez quelques publicités et cliquez dessus.


Failles de sécurité - Failles de sécurité dans quels logiciels ?




Failles de sécurité - Failles de sécurité dans quels logiciels ? Failles de sécurité dans quels logiciels ? - 02 Failles de sécurité dans quels logiciels ?

À peu près tous les logiciels contiennent des « Vulnérabilités » ou « Failles de Sécurité », mais les plus universellement utilisés (et qui communiquent avec l'extérieur de l'ordinateur) sont l'objet de toutes les attentions des Cybercriminel, car l'exploitation de la « Vulnérabilités » va permettre de compromettre le plus grand nombre d'ordinateurs (plusieurs centaines de milliers à plusieurs centaines de millions d'ordinateurs). Par exemple :

  • Un système d'exploitation d'ordinateurs.
    Windows est implanté dans 90% des ordinateurs du monde. Ses Failles de Sécurité sont donc très recherchées. Des Failles de Sécurité sont également trouvées et exploitées dans MAC OS ainsi que dans les différentes versions d'Unix et de Linux, et dans tous les systèmes d'exploitation.

  • Un logiciel de gestion de base de données côté serveur.
    Tous les internautes du monde accèdent obligatoirement, tous les jours, à des systèmes de gestion de bases de données sans le savoir, chaque fois qu'ils utilisent un forum, un blog, un site dynamique, etc. ... Les Failles de Sécurité des systèmes de gestion de bases de données que l'on trouve sur les serveurs sont donc très recherchées (DB2 d'IBM, Firebird, Informix, Ingres, Microsoft SQL Server, MySQL, Oracle Database, PostgreSQL...).

  • Un logiciel serveur.
    Tous les internautes du monde accèdent à l'Internet, obligatoirement au travers de serveurs, sans exception. Les Failles de Sécurité des logiciels serveur sont donc très recherchées (Apache HTTP Server, Serveur web Microsoft IIS, Serveur web Google Web Server, Serveur web nginx, Serveur web lighttpd...).

  • Le lecteur de documents PDF, d'Adobe Reader.
    Un lecteur PDF est utilisé par tous, sous tous les systèmes d'exploitation, principalement celui d'Adobe, l'inventeur du format PDF. Un document PDF est un programme qui interagit avec l'interpréteur temps réel Adobe Reader. C'est une usine à gaz d'une complexité profonde. Les Cybercriminels jouent sans cesse avec ce cauchemar, utilisé quotidiennent par tous les internautes du monde, en publiant sans cesse des documents PDF alléchant (c'est fou comme un titre à la "Pamella Anderson nue" attire du monde !), mais piégés pour exploiter les Failles de Sécurité actuelles du lecteur Adobe Reader.

  • Un navigateur Web.
    A chaque instant, 100% des internautes utilise un navigateur. A chaque instant, des milliers d'entre eux tombent sur l'un de ces centaines de milliers de sites, écrits spécialement par les Cybercriminels ou piégés par eux, à l'insu de leurs propriétaires, afin d'exploiter les Failles de Sécurité qui parsemment les navigateurs (Microsoft Internet Explorer, Opera, Safari, Google Chrome, Firefox..).

  • Le lecteur Adobe Flash.
    Le lecteur Flash est un nid à Failles de Sécurité et les médias alléchants, écrits en Flash (vidéos douteuses, jeux en ligne etc. ...), sont souvent écrits uniquement dans le but de piéger le maximum d'Internautes.

  • Java
    Java est utile et utilisé partout (votre téléphone, votre voiture, votre ordinateur... Partout !)
    Maintenir constemment Java à jour.

  • Etc.




Aidez et soutenez Assiste – autorisez quelques publicités et cliquez dessus.


Failles de sécurité - Failles de sécurité dans quels logiciels ?




Failles de sécurité - Failles de sécurité - Découverte et outils de révélation Failles de sécurité - Découverte et outils de révélation - 03 Failles de sécurité - Découverte et outils de révélation

Les Hackers et les Cybercriminels sont de très bons informaticiens. La découverte de Failles de Sécurité relève de méthodes d'essais et erreurs, ou de méthodes d'observation du comportement des logiciels, ou de l'analyse des codes source lorsqu'ils sont disponibles ou volés, ou obtenus par rétro ingénierie etc. ...

L'un des moyens rapide de découvrir des Failles de Sécurité et d'auditer, en sécurité des systèmes d'information, une installation, avec des logiciels automatiques d'audit, qui testent toutes les Failles de Sécurité connues et les types et techniques d'attaques connus. Ces logiciels vont faire, tout simplement, la liste des Failles de Sécurité actuelles d'une machine ou d'un réseau.

Les outils suivants sont des logiciels d'audit de sécurité. Ils sont utilisés pour découvrir des Vulnérabilités ou "Failles de Sécurité". Ils sont utilisés par des auditeurs en sécurité. Ils peuvent également être entre de mauvaises mains, celles de Cybercriminels, exactement pour les mêmes usages : révéler les Failles de Sécurité !

D'autre part, les Cybercriminels développent des outils d'exploitation des failles. De tels outils, paramétrables, d'un usage simplissime, sont mêmes commercialisés, entre 150 et 1500 €, et utilisables par des quasi béotiens.

Les outils suivants sont des outils d'exploitation de Failles de Sécurité.

  • BlackHole Exploit Kit (le plus utilisé au monde)
  • Serenity Exploit Kit
  • Fragus exploit kit
  • Phoenix Exploit's Kit
  • Crimepack
  • Sakura Exploit Pack




Failles de sécurité - Failles de sécurité - Polémique sur la publication des découvertes Failles de sécurité - Polémique sur la publication des découvertes - 04 Failles de sécurité - Polémique sur la publication des découvertes

Dans le monde non criminel des « gentils » Hackers, (parfois appelés les « Chapeaux blancs » ou « White Hats » pour les distinguer des « vilains » Hackers, les « Chapeaux noirs » ou « Black Hats »), la découverte de « Failles de sécurité » se traduit généralement par un avis adressé à l'éditeur du logiciel faillible. Une fois la faille corrigée, le Hacker se fait connaître et reconnaître et rend public son travail.

Toutefois, il existe des éditeurs laxistes qui ne réagissent pas, ou pas assez vite, aux avis que les « gentils » Hackers leur adressent. Certains Hackers leur forcent alors la main en rendant publiques leurs découvertes au bout d'un certain délai. Ceci va permettre à des cybercriminels de s'engouffrer dans la faille et de l'exploiter, et va forcer l'éditeur à réagir avec célérité. Cette démarche est sujette à des polémiques sans fin sur le bien-fondé ou l'irresponsabilité de telles démarches.

Enfin, il existe des Hackers qui publient leurs découvertes le jour même de la découverte, sans laisser aucun délai aux éditeurs. Voir Failles de sécurité et Attaques Zero Day.




Aidez et soutenez Assiste – autorisez quelques publicités et cliquez dessus.


Failles de sécurité - Failles de sécurité dans quels logiciels ?




Failles de sécurité - Contre-mesures aux failles de sécurité Contre-mesures aux failles de sécurité - 05 Contre-mesures aux failles de sécurité

Appliquer, au moins une fois par semaine, ou, mieux, paramétré pour que cela s'exécute de manière automatique, sans délais, tous les points relatifs aux failles de sécurité du protocole :

Nettoyage et mise à jour périodique d'un PC sous Windows

Dont, entre autres choses :

  1. Appliquer tous les correctifs connus aux failles de sécurité des produits Microsoft avec Windows Update, paramétré en mode automatique pour les " Correctifs critiques ", tous les " Services Pack " et tous les " Services Release " (à partir de WIndows 10 les mises à jour sont poussées automatiquement sans attendre votre autorisation, ce qui peut faire perdre tous ses travaux en cours à un utilisateur).
    Windows Update
  2. Faire la même chose pour tous les autres produits non Microsoft avec :
    Kaspersky software updater
    uCheck
  3. Mettre à jour de tous les plugins (toutes les technologies) dans tous les navigateurs
    Mise à jour de tous les plugins dans tous les navigateurs
  4. Mettre à jour Java
    Mise à jour de Java
  5. Mettre à jour et paramétrer correctement Adobe Flash Player
    Mise à jour de Flash Player
  6. Mettre à jour Adobe Reader
    Mise à jour d'Adobe Reader (lecteur de documents .pdf)
  7. Régler et protéger les navigateurs et la navigation
    Protection du navigateur et de la navigation
  8. Désinstaller tous les programmes et toutes les technologies qui ne sont plus utilisés
    Revo Uninstaller
  9. Utiliser un antivirus temps réel (fonctionnant dans le mode On-execution)
    Antivirus - Recommandé pour le particulier : Kaspersky Total Security Multi-Device
  10. Utiliser un anti-malwares temps réel (fonctionnant dans le mode )On-execution
    Anti-malwares - Recommandé dans tous les cas : Malwarebytes Premium
  11. Bloquer tous les mécanismes publicitaires afin d'éviter d'être piégé par un Drive-by Download.
    Bloquer tous les mécanismes publicitaires

Avoir un très bon pare-feu activé

Arrêter ET désactiver les services (Windows et non Windows) inutiles.

Outils d'analyse détectant si un document (Flash, JavaScript, PDF, etc. ...) tente d'exploiter une faille de sécurité dans le lecteur de ce documents (Flash Player, Acrobat Reader, etc.)




Aidez et soutenez Assiste – autorisez quelques publicités et cliquez dessus.


Failles de sécurité - Failles de sécurité dans quels logiciels ?




Failles de sécurité - Récompenser les découvreurs de failles Récompenser les découvreurs de failles - 06 Récompenser les découvreurs de failles

Certains éditeurs à l’affût des failles de sécurité dans leurs produits, et cherchant à les conduire vers un état « error free » (sans erreur), offrent une récompense aux hackers qui découvrent une nouvelle faille, prouvée, et la signale confidentiellement, sans l'exploiter. Cette démarche dite « Bug Bounty » (« prime aux bugs » ou « chasse aux bugs ») a commencé par être une rémunération, chez Netscape (Netscape Navigator (Mosaic Netscape)), dès 1995. Par exemple, l'éditeur de Rails, qui fait partie de la démarche dominante mondiale des offreurs de récompenses en espèces (hackerone (The Internet Bug Bounty - IBB)) aux découvreurs de failles de sécurité et autres bugs dans les logiciels à source ouverte (open source), écrit (version du 22 mars 2022) :

Prime de qualification

Rails est utilisé pour alimenter certains des sites les plus importants du Web et sa popularité croissante en a fait un élément essentiel de l'infrastructure Internet. Si vous avez trouvé un bogue de sécurité qui pourrait potentiellement avoir un impact sur la sécurité de ces sites, vous avez nos remerciements et pourriez être éligible à une récompense en espèces.

L'Internet Bug Bounty récompense la recherche en sécurité sur Ruby on Rails. Si votre vulnérabilité répond aux critères d'éligibilité, vous pouvez soumettre les informations post-correction à l'IBB pour paiement. Comme l'IBB prend en charge l'ensemble du cycle de vie des vulnérabilités, ces primes sont attribuées sous la forme d'une répartition 80/20, où 80 % iront à vous, le découvreur, et 20 % seront attribués à Ruby on Rails pour continuer à soutenir les efforts de remédiation des vulnérabilités.

Pour soumettre des vulnérabilités éligibles pour un paiement, rendez-vous sur https://hackerone.com/ibb pour obtenir des instructions de soumission une fois que les responsables du projet ont résolu la vulnérabilité.

Les mainteneurs du projet ont la décision finale sur les problèmes qui constituent des vulnérabilités de sécurité. L'équipe IBB respectera sa décision, et nous vous demandons de faire de même.

Bonus de 500 $ pour un patch valide

Si votre rapport inclut un correctif correctement formaté pour le problème que vous avez découvert, vous pouvez être éligible à un bonus de 500 $ lorsque le rapport est accepté et résolu.

Veuillez noter que votre correctif devra également être considéré comme une solution acceptable par les responsables du projet.

Les conditions d'éligibilité aux correctifs sont les suivantes :

  • Fichier de correctif créé avec git format-patch ou un format équivalent.

  • Inclut une solution pour toutes les versions Rails prises en charge pertinentes. Détails sur les versions prises en charge disponibles ici.

  • Inclut des tests de régression pour le problème signalé.

  • Le correctif est accepté et adopté par les mainteneurs du projet

Les correctifs risquent d'être inéligibles si l'une des exigences énoncées n'est pas remplie.

Vous pouvez en savoir plus sur la façon de contribuer à Ruby on Rails ici.

Safe Harbor (sphère de sécurité)

Toute activité menée conformément à cette politique sera considérée comme une conduite autorisée et nous n'engagerons aucune action en justice contre vous. Si une action en justice est intentée par un tiers contre vous dans le cadre d'activités menées dans le cadre de cette politique, nous prendrons des mesures pour faire savoir que vos actions ont été menées conformément à cette politique.  





Aidez et soutenez Assiste – autorisez quelques publicités et cliquez dessus.


Failles de sécurité - Failles de sécurité dans quels logiciels ?




Failles de sécurité - Listes des alertes et avis au jour le jour Listes des alertes et avis au jour le jour - 07 Listes des alertes et avis au jour le jour

Listes des alertes et avis, au jour le jour

Liste de toutes les alertes et tous les avis au jour le jour




Aidez et soutenez Assiste – autorisez quelques publicités et cliquez dessus.


Failles de sécurité - Failles de sécurité dans quels logiciels ?

Failles de sécurité - Autour de ce sujet dans Assiste Failles de sécurité - Autour de ce sujet dans Assiste Autour de ce sujet dans Assiste.com Failles de sécurité (security breach)


Failles de sécurité - Failles de sécurité