Tu nous manques

Que s'éloigne la passion
qui laisse, pour le pire,
s'enfuir tous les rires
qui blessent la raison.

Que s'estompe l'absence,
qui laisse mon âme hantée
de joies inexplorées
qui blessent le silence.

Que s'efface ma haine
qui laisse plein de douleur
mon coeur si lourd de pleurs
qui blessent mon âme en peine.

Pourquoi m'as tu quittée, j'avais tant à te dire.
C'est dur, si tu savais, de garder le sourire.

Jess - la vie est poésie

Novembre : l'hiver vient

Novembre, nous avons tout intérêt à colmater nos fenêtres pour face au froid et aux vagues d'assaillants qui nécessitent de notre part une véritable garde de jour ... et de nuit. Et à dire vrai, il semble que toutes les technologies qui nous permettent de tenir le Mur présentent un caractère fragile en cette fin d'année. Qu'en pensez-vous ? Serait-ce l'hiver qui vient ?

Une première semaine apéritive

Le premier novembre 2014, FreeBSD fête ses 21 ans, OpenBSD publie sa version 5.6 (retirant officiellement sa 5.4) et NetBSD publie un fix pour tnftp (CVE-2014-8517) intéressant à analyser : Sévérité NVD High (CVSS/7.5), no-dsa_minor_issue pour Debian, impact modéré (CVSS/6.8) pour RedHat, OpenBSD non impacté, Mac OS X ? Et vous, comment vous assurez-vous qu'une vulnérabilité publiée par un tiers dans votre distribution de production est corrigée ou non impactante ?

Et en première semaine, c'est donc la fête aux *BSD : 3 bulletins (ftp, mount, openssl) pour NetBSD le 3 novembre, 3 bulletins (sshd, setlogin, ftp) pour FreeBSD le 4 novembre et un commit OpenBSD le 4 novembre qui fixe le CVE-2014-3710 pour File (précédente version datée du 28.10.09 ?) ... Fixé par Ubuntu avec par un bulletin USN pour PHP5, par Debian par des bulletins PHP5 et File, par RedHat par des bulletins PHP. Et vous, comment vérifiez-vous qu'une vulnérabilité est corrigée quand elle est simplement référencée par des commit de source ?

En première semaine, est aussi publié le 4 novembre le DSA-3064-1 pour PHP5 qui corrige les CVE mentionnés par PHP dans ses mises à jour 5.4/5.5/5.6 du 16 octobre et qui précise "it has been decided to follow the stable 5.4.x releases for the Wheezy PHP packages". Transition annoncée diront certains d'un mode stable "intégration des correctifs de sécurité" à un mode rolling "application des mises à jour mineures") ? Mais nous avons aussi la publication pour Solaris 10/11/11.1 de nombreux correctifs le 4 novembre (correctifs OpenSSL du 15 octobre dont POODLE) et le 7 novembre (Bash, Gzip, Samba, X.Org, Zip, ...).

Et la première semaine c'est aussi la notification avancée de Microsoft le 6 novembre pour le patch tuesday de Novembre : 5 bulletins critiques et 9 importants qui corrigeront entre autre des "remote code execution" dans Internet Explorer et Office - patch tuesday prévu le jour férié du 11 novembre.

Une seconde semaine compliquée pour Microsoft ... mais pas que

Le 11 novembre voit arriver un patch tuesday teinté de rouge pour Microsoft avec 14 mises à jour dont 4 critiques et 8 importantes dont les critiques MS14-065 qui "resolves 17 privately reported vulns in Internet Explorer 6/7/8/9/10/11" et MS14-066 qui "resolves a privately reported vulnerability in Schannel that could allow remote code execution" (l'année 2014 pouvant donc prétendre au statut bingo pour toutes les implémentations TLS ?). Ce patch tuesday permet aussi de clôturer, avec le MS14-064, le security advisory SA3010060 du 21 octobre (Windows OLE) mais inclut deux bulletins MS14-068 / MS14-075 annoncés avec le message "Release date to be determined".

Adobe publie aussi ses correctifs pour Flash Player le 11 novembre avec la correction de 18 CVE (mise à jour Chrome pour Flash dans la foulée) et nous pouvons aussi voir arriver quelques vulnérabilités intéressantes comme celles référencées par le bulletin "node.js/dns-sync" ou des bulletins dont la qualification est compliquée avec le DSA-3071-1 NSS du 11 novembre (High MFSA avec CVSS à 10 du 22.07 à comparer avec le DSA-3033-1 d'un Critical MFSA avec CVSS à 7.5 corrigé en moins de deux jours) ... et nous pouvons même apprendre que toutes les technologies ciblées (iPhone5S, GalaxyS5, Nexus5, FirePhone) lors de la troisième "HP ZDI Mobile Pwn2Own competition" pendant la conférence PacSec sont exploitables ... et exploitées.

Heureusement que ce 11 novembre était férié :) Et vous, comment gérez-vous la qualification et application en urgence lors des jours non travaillés ?

Sans oublier notre publication mensuelle par PHP de mises à jour 5.5/5.6 le 13 novembre.

3ème semaine rouge écarlate pour Microsoft

La 3ème semaine commence sur les chapeaux de roue avec la publication le 17 novembre du SA-2014-11-17-2 de Apple pour OS X Yosemite et de nouveaux bulletins reliability OpenBSD entre le 17 et le 18 novembre puis la sortie le 18 novembre d'une nouvelle version de Chrome qui fixe 42 problèmes de sécurité (avec la suppression du "SSLv3 fallback") et la publication le même jour de l'un des deux bulletins manquants du patch tuesday de Novembre : le bulletin critique MS14-068 Kerberos (CVE-2014-6324) pour 2003/2008/2012 qui est publié le 18 novembre en hors cycle par Microsoft avec l'intéressante note : "The only way a domain compromise can be remediated with a high certainty is a complete rebuild of the domain". Et vous, comment gérez-vous la sortie d'un bulletin critique hors cycle lorsque votre processus d'application des correctifs est en cours ?

Et pour ceux d'entre nous qui attendaient les bulletins Debian pour PHP, le DSA-3074-1 du 18 novembre qui fixe le seul CVE-2014-3710 mentionné dans la publication PHP du 13 novembre confirme à nouveau ce qui était annoncé en début de mois "As announced in DSA-3064-1 it has been decided to follow the stable 5.4.x releases for the Wheezy php5 packages".

Le 19 novembre se voit publié le bulletin drupal-sa-core-2014-006 qualifié comme "moderately critical" et l'annonce d'une vulnérabilité "OS X sandbox escape" par le Google Project Zero (qui applique sa politique "90-day disclosure deadline"), le 20 novembre commence avec la publication de 7 bulletins pour Asterisk, la sortie de multiples bulletins pour Solaris 11.2/11.1/10/9/8 et l'annonce d'une mise à jour critique pour Wordpress.

Et pour conclure cette 3ème semaine, @lcamtuf poste sur twitter le 23 novembre la mention choc "Quick quiz: would you run 'less' on an untrusted file?" puis s'explique sur OSS-SEC...

4ème semaine

Notre dernière semaine de novembre se calme (!) avec la publication d'un bulletin pour Docker le 24 novembre, la sortie d'un nouveau bulletin pour Flash Player le 25 novembre, la demande de CVE sur OSS-SEC pour cpio suite au fil de discussion sur lesspipe du 23 novembre et comme nous n'avions pas encore de bulletins Java, Debian publie ses bulletins DSA-3077-1 openjdk-6 et DSA-3080-1 openjdk-7 les 26 et 29 novembre (mises à jour suite au Critical Patch Update de Oracle du 14 octobre). Notons aussi l'information d'un chercheur Google mentionant une "sandbox escape" sur Adobe Reader stable le 27 novembre.

Et maintenant ?

Et comme un échange badin d'anecdotes sur le sujet de la veille opérationnelle pour clôturer ce mois de novembre :

• nous avons le 2 novembre l'annonce de sortie d'une nouvelle version MantisBT 1.2.18 "for release in the next few days" car "the patch did not fully address the original problem" (injection SQL corrigée dans la 1.2.16 du 08.02.14). Toujours pas de publication au 30 novembre 2014. Annonce à mettre en relief avec le VMSA-2014-0008 du 9 septembre 2014 pour lequel la mention "Patch Pending" est toujours d'actualité pour Vcenter/ESXi 5.0/5.1 au 30 novembre. Et vous, comment gérez-vous le suivi de ces avertissements sur le moyen terme ?
• nous avons le 10 novembre, l'alerte TA14-310A du US-CERT sur la prochaine fin de support pour Windows Server 2003. Et vous, où en êtes vous de votre plan de migration ?
• et que penser de la nouvelle politique PHP5 pour Debian stable ? Nous avons eu 7 DSA (2 mars, 1er juin, 16 juin, 8 juillet, 21 août, 4 novembre, 18 novembre) pour 12 mises à jour de version 5.4. Est-ce pour vous comparable avec la politique de mise à jour pour openjdk-6/openjdk-7 (24 avril et 5 mai pour le CPU Oracle du 15 avril, 17 juillet et 23 juillet pour le CPU Oracle du 15 juillet, 26/29 novembre pour le CPU Oracle du 14 octobre). Qu'en pensez-vous ?

Jess - @JessicaGallante

PS : Merci @helpacsoout, @philoupas, John et à ma @Nathplanteur.

PPS : Quelle déception pour l'absence de MFSA autour du 25 novembre. J'avais la réponse mais sans doute pas la bonne question ...

Je suis un peu perdue

Je suis un peu perdue, il fait très sombre aussi
Il y a bien trop d'aigues, et aussi trop de basses
Pourquoi fait-il si froid? Pourquoi donc tous ces cris?
A quoi cela rime-t-il? Pourquoi suis-je donc si lasse.

Nous sommes arrivés tard, le temps était pluvieux
Nos rires étaient joyeux, nos pieds s'impatientaient
La musique sans fausse note et les fruits délicieux
Et là j'ai vacillé puis me suis absentée.

Et ces lumières criardes, qu'elles cessent de clignoter
Et toutes ces ombres autour, qu'elles s'arrêtent de tourner
Pourquoi suis-je allongée? Je n'en puis plus pitié.
Je dois ouvrir les yeux, je dois me réveiller.

Jess - La vie est poésie

Octobre : Vulnérabilités "Trick or Treat !"

"Heartbleed le 7 avril 2014, Shellshock le 24 septembre 2014, jamais deux sans trois" disais-je le mois dernier. Pour ceux d'entre nous qui pensaient que le mois d'octobre serait calme en comparaison du buzz #ShellShock et du Black April je ne peux que souhaiter que la fin d'année soit plus calme.

Une première semaine type

La première semaine du mois d'octobre 2014 me semble une semaine type exemplaire en matière de veille opérationnelle en vulnérabilités.

Les plans d'analyse et de remédiation #ShellShock s'enchainent tranquillement une semaine après la publication du 24 septembre sur la vulnérabilité #Bash (exemple: publication par Apple de l' "OS X bash Update 1.0" (HT6495) le 29 septembre et par Vmware du VMSA-2014-0010 le 30 septembre 2014) et l'analyse des nouvelles vulnérabilités commence sur les chapeaux de roue avec la publication le 30 septembre de correctifs pour Joomla (RFI/DOS pour les versions inférieures à 3.3.5, 3.2.6 and 2.5.26) et la sortie du CVE-2014-3634 sur Rsyslog ("DOS from untrusted sources") avec la publication par Debian des DSA-3040-1 et DLA-72-1.

Nous assistons ensuite au retour de correctifs pour OpenBSD le 1er octobre (CVE-2014-3616 pour nginx pour 5.5/5.6), à une nouvelle version de PHP 5.6.1 le 2 octobre et à deux bulletins Ubuntu USN-2367-1/OpenSSL (qui peut nous laisser présager de futurs bulletins sur le sujet par d'autres distributions) et USN-2368-1/OpenVPN (corrigeant le CVE-2013-2061 de mars 2013).

Une seconde semaine type (jamais deux sans toi ?)

La seconde semaine d'octobre continue sur la lancée précédente avec la publication des versions 4.0.15, 4.2.11, 4.4.6, et 4.5.6 de Bugzilla le 6 octobre (et du mini-buzz correspondant), la sortie d'une mise à jour majeure pour Chrome le 7 octobre avec "159 security fixes" (!), la publication du JSA10560 pour J-Web sur Junos et des correctifs Solaris 11.2/10/9 pour Bash le 7 octobre également, la publication du cisco-sa-20141008-asa par Cisco le 8 octobre, la nouvelle correction pour Rsyslog par Debian (DSA-3047-1) car la précédente correction DSA-3040-1 était incomplète (nouveau CVE-2014-3683) le 8 octobre (et son pendant chez Ubuntu - USN-2381-1 - corrigeant les deux CVE d'un seul coup le 9 octobre) et un nouveau bulletin Juniper JSA10655 (CVE-2014-6380) pour Junos le 10 octobre.

Et nous avons le droit à un week-end de repos bien mérité avant le doublé Microsoft / Oracle prévu le 14 octobre (la notification avancée par Microsoft le 9 octobre nous prévenant de 9 bulletins dont 3 critiques avec une RCE pour IE6 à IE/11 et Office 2007/2010).

14 octobre 2014 : Un déferlement de vulnérabilités : Trick or Treat!

Le 14 octobre voit arriver une déferlante à faire pâlir le Black April 2014 et ses Heartbleed et fin de support Windows XP : Patch Tuesday de Microsoft (3 bulletins critiques et 5 importants dont le MS14-056 qui "resolves 14 privately reported vulns in Internet Explorer"), Patch tuesday Adobe avec la sortie du bulletin APSB14-22 pour Flash Player (3 CVE) et la mise à jour pour Chrome correspondante et le (tant attendu) critical patch update trimestriel d'Oracle qui arrive avec "154 new security fixes" dont (entre autres) 31 correctifs pour les serveurs "Oracle Database", 15 correctifs pour les "Sun Systems", 24 correctifs pour Mysql et 25 correctifs pour Java. Ajoutons à cela la sortie de la version 33 de Firefox (qui corrige trois vulnérabilités élevées) et nous avons (à nouveau) en une semaine tous nos navigateurs critiquement vulnérables (il nous manque Safari je vous l'accorde mais laissez lui un peu de temps).

Nous sommes toujours le 14 octobre et la battle commence entre la vulnérabilité CVE-2014-4114 aka "Sandworm" dont la correction est disponible car reportée officiellement par un tiers à Microsoft - le plan média étant certainement prévu de manière coordonnée avec la publication du MS14-060 intégré au Patch tuesday du 14 octobre ... et ... et ... et la publication de la vulnérabilité CVE-2014-3566 "POODLE" par Google sur SSL.

Comment comparer ces deux vulnérabilités ? L'une des deux éclipse-t-elle l'autre ? Pouvons-nous porter nos efforts en terme de priorisation de remédiation sur l'une d'entre elles ou devons nous scinder nos efforts à part égale ?

Il me semble rétrospectivement que POODLE a fait coulé plus d'encre que Sandworm et que le mois d'octobre sera dans le futur associé à POODLE (ceci n'est qu'un avis personnel, donnons-nous rendez-vous d'ici quelques mois si vous le voulez bien). Demeurons néanmoins attentifs un instant à Sandworm dont le plan média semble avoir été préparé de manière appropriée : une vulnérabilité est identifié par des chercheurs. Ceux-ci reportent cette vulnérabilité à l'éditeur qui prépare le correctif et le publie. Les chercheurs publient ensuite leur propre bulletin et nos sysops / adminsys perdent quelques jours de sommeil (grâce leurs soit rendue). Avançons quelque peu dans le temps, quelques jours plus tard commencent à circuler des informations semblant indiquer que le MS14-060 est incomplet et peut être contourné ... et Microsoft acquitte ces informations par la publication du Security Advisory 3010060 le 21 octobre (nouveau CVE-2014-6352) avec un Fixit (attendons le bulletin pour le mois prochain ?) ... Cela ne vous rappelle-t-il rien ? Je vous aide, le mot clé est "internet-o-vision" dans mon article du mois de septembre.

Arrive le 15 octobre (si vous ne dormez pas, les journées font effectivement plus de 24 heures mais ceci est un autre débat) et la semaine voit tous les éditeurs publier leurs analyses sur ce désormais fameux POODLE (qui est il ? d'où vient il ? quels sont ses réseaux d'influence ? a-t-il définitivement refusé de porter plainte contre ses parents pour ce sobriquet dont il a été affublé ?) dont le score de base CVSS s'élève autour de 4 à 5 (Moyen) mais les impacts potentiels en terme métier semblent estimés à important : Mise à jour du SA3009008 Microsoft ("to include a workaround for disabling the SSL 3.0 protocol in Windows"), BlueCoat SA83, Juniper JSA10656, VMWARE KB2092133, Cisco cisco-sa-20141015-poodle, etc...

Ne zappez pas, pour que ce 15 octobre soit "trick or treat", il en faut plus ... bulletin critique DRUPAL-SA-CORE-2014-005 ("SQL Injection by anonymous user"), bulletin important RHSA-2014-1620 pour java-1.7.0-openjdk, USN-2384-1 pour Mysql suite au CPU Oracle (rapide !) ... Et si POODLE ne vous suffisait pas, le bulletin OpenSSL secadv_20141015 inclut d'autres CVE (CVE-2014-3513, CVE-2014-3567, CVE-2014-3568).

Quelques heures de sommeil et le 16 octobre débute avec les bulletins pour OpenSSL : Debian DSA 3053-1, Ubuntu USN-2385-1, RedHat RHSA-2014:165 (bon courage si vous tracez la cohérence entre CVE et bulletins multiples) et le sympathique LibreSSL 2.1.1 qui désactive SSLv3 par défaut et qui précise "not vulnerable to 2 memory leak from OpenSSL".

Ne zappez pas, pour que cette semaine soit véritablement "trick or treat !", il nous faut entendre sonner le tocsin plusieurs fois ! Le 16 octobre c'est aussi : un bulletin JSA10652 "Junos RSVP DOS", une mise a jour PHP5 5.6.2/5.5.18/5.4.3, le bulletin USN-2386-1 pour OpenJDK 6, le RHSA-2014:1654-1 rsyslog RHEL6 pour rsyslog (après le RHSA-2014:1397-1 RHEL7 du 13 octobre pour notre DSA-3040-1 du 30 septembre sur le CVE-2014-3634), le RHSA-2014:1655-1 pour un DOS dans libxml2 (CVE-2014-3660) ... Et les mises a jour Apple OS X Server v2.2.5/3.2.2/4 et OS X Security Update 2014-005 (pour laquelle Apple confirme le 17 octobre avec le APPLE-SA-2014-10-16-2 que les corrections incluent le CVE-2014-3566 et le fix OS X bash Update 1.0) ...

A nouveau quelques heures de sommeil (ou de veille F5 F5 F5 comme le dit @Philoupas) mais heureusement tout le monde est fatigué (au moins de notre côté et le week-end est enfin là).

3ème semaine : et c'est parti pour une semaine de rab

Reprenons en fanfare le 20 octobre : bulletin Asterisk AST-2014-011 pour POODLE et bulletin Oracle Solaris 11.2 pour les CVE OpenSSL. Nouveaux bulletins catégorisés "Reliability" pour OpenBSD 5.4/5.5/5.6 auxquels s'ajoute un fix pour désactiver SSLv3. Sortie du DSA-3054-1 MySQL suite au CPU Oracle (enfin !).

Passons au 21 octobre avec le Microsoft SA3010060 sur la RCE OLE incomplète pour Sandworm et à 4 bulletins pour FreeBSD (dont un pour les vulnérabilités OpenSSL).

... Et au 22.10 avec le bulletin TYPO3-CORE-SA-2014-002, le bulletin USN-2388-1 pour OpenJDK 7 et un nouveau bulletin Vmware VMSA-2014-0011 pour vSphere Data Protection (CVE-2014-4624).

4ème semaine : est-ce que cela va s’arrêter ?

Une dernière semaine qui commence bien avec les CVE-2014-8484 et CVE-2014-8485 (et CVE-2014-8501 à CVE-2014-8504 ?) pour " strings / libbfd " qui ont inquiété les veilleurs le dimanche 26 octobre au soir (et des points de vue différents et très intéressants sur la réponse à apporter à ces vulnérabilités : comparez les mailing lists OSS-SEC et openbsd-tech à ce sujet) et le bulletin Debian DSA-3057-1 pour libxml2 (qui corrige le CVE-2014-3660 et 3 bugs).

Passons au 27 octobre avec un nouveau bulletin Oracle pour OpenSSL sur Solaris 10/11.2 et à un bulletin sur Node.js pour un contournement de filtre de validation entrainant une possibilité de XSS.

Puis au 28 octobre avec le bulletin Puppet pour POODLE et SSLv3.

Puis au 29 octobre avec le CVE-2014-4877 sur WGET (USN-2393-1 / RHSA-2014:1764 du 30 octobre et intéressante "disclosure timeline" par Rapid7), la modification du Microsoft SA3009008 pour annoncer la "deprecation of SSL 3.0" (message subliminal : cette information ne devrait pas être prise à la légère) et l'annonce par Drupal avec un bulletin spécial PSA-2014-003 que les attaques ciblant les sites Drupal ont débuté "within hours of SA-CORE-2014-005" (publié, je vous le rappelle, le 15 octobre en même temps que Sandworm et POODLE et qui devrait porter à notre attention que la priorisation des corrections sur un Système d'Information doit toujours être fonction du Métier et non des buzz médiatiques dont nous sommes submergés).

Puis au 30 octobre avec : les bulletin Ubuntu USN-2391-1 et RHSA-2014:1767-1 pour PHP5 sur les CVE publiés le 16 octobre (enfin ! mais nous attendons toujours la transition Debian de testing vers stable :( ), une mise à jour Chrome stable pour Chrome OS et une mise à jour sécurité GitLab 7.4.3 (CVE-2014-8540).

Et maintenant ?

Que vous dire de plus si ce n'est joyeuse All Hallows Eve !

Jess - @JessicaGallante

PS : Enormes merci à @helpacsoout, @philoupas, @helkhoury, X et X2 (qui se reconnaitront) pour vos messages. (inlove) à John, Marie et @AdBaz1 pour votre support pendant ce mois compliqué :)

PPS : @Nathplanteur : à ce soir ! (j'ai un habit de princesse pour toi aussi :D)

Il s'est enfui si vite

Il s'est enfui si vite, il était encore tôt
Le jour pointait à peine, il faisait encore nuit
Le silence pesait, il n'a pas fait un bruit
Sans daigner prévenir, sans me laisser un mot.

De guerre lasse je cherche, et cherche s'il me faut
Pourtant je le savais, mais sotte je le suis,
Et ces conseils d'amis? bien sur je les fuis
A nouveau l'appeler ... et qu'il me fasse défaut ?

Et maintenant que faire? Devrais-je lui promettre,
Attendre, patienter, lui dire que je suis prête ?
Notre couche était tiède, froissée de mille rèves
Nos souffles étaient si calmes, nos songes sans une ombre
Un repos mérité, la nuit semble si brève.
Nos souffles étaient si liés, et il fait encore sombre.

Jess - la vie est poésie

Je l'ai accompagnée

Le coeur paré de rêves, je l'ai accompagnée
Sa coiffe était baissée et sa démarche brève
Avec son port altier, sa robe couleur de sève
Elle s'avance, elle est Eve, de grâce auréolée.

Le coeur serré d'amour, je l'ai accompagnée
Sa jolie peau dorée, toute parée de velours
En cette longue journée, en ce tout premier jour
Après ces longs cris sourds, calmés par nos bonnes fées.

Le coeur lourd de sanglots, je l'ai accompagnée
Sans pouvoir m’arrêter, sans pouvoir dire un mot
Et cette envie d'hurler, de crier c'est trop tôt
Qui passera bientôt sur nos deux coeurs brisés.

Jess - La vie est poésie

Septembre : Le 24 c'est toujours Noël

Moins de six mois après Heartbleed surgit Shellshock. Loin des débats sur le niveau de sévérité réel de ce qui deviendra certainement une "famille" de vulnérabilités touchant (ou pas) un peu tout et n'importe quoi, l'année 2014 revet pour moi les atours d'une année riche d'enseignements qui nous permettront d'éviter une banalisation du travail de vigie des équipes chargées de la veille opérationnelle en vulnérabilités.

Construire puis maintenir (de manière pérenne) un processus de gestion des vulnérabilités qui s'adapte, d'une part, aux besoins en terme de sécurité exprimés par nos métiers et reflète, d'autre part, le niveau de menace réel/avéré impactant les Systèmes d'Information dont nous avons la charge présente un problème particulièrement compliqué à surmonter : Comment nous assurer et contrôler que notre capacité à conserver un niveau de vigilance élevé est optimal et adapté à nos métiers ?

Heartbleed le 7 avril 2014, Shellshock le 24 septembre, jamais deux sans trois ?

Une première semaine bien calme

Des mises à jour Firefox (3 MFSA critiques) et Thunderbird (3 MFSA critiques) accompagnées de mises à jour sur ma #SqueezeLTS dont le DLA-43-1 (eglibc) le 02.09.14 correspondant au DSA 3012-1 du 27.08.14 corrigeant un CVE qui avait été demandé par @taviso sur OSS-SEC le 29 juillet et des notifications avancées de Microsoft et d'Adobe qui ne s'annoncent pas comme spécialement catastrophiques.

9 septembre 2014 - Patch Tuesday Microsoft, Adobe Flash Player (mais décalage Adobe Reader/Acrobat) et Chrome

Microsoft et Adobe publient leur patch tuesday le 9 septembre 2014. Microsoft publie, entre autres, un bulletin critique (Internet Explorer 6/7/8/9/10/11 qui fixe "one publicly disclosed and thirty-six privately reported vulnerabilities in Internet Explorer"). Adobe fixe, de son côté, des vulnérabilités critiques dans Adobe Flash Player (12 CVE) et annonce le report de la sortie des mises à jour Adobe Reader/Acrobat à la semaine du 15 septembre. Notons aussi que Chrome est mis à jour pour Flash et intègre aussi 4 correctifs de sécurité.

Et cette même semaine survient également le 9 septembre un bulletin de sécurité Vmware pour les "vSphere third party libraries" avec une mise à jour pour Vcenter/ESXi 5.5 mais un "patch pending" pour Vcenter/ESXi 5.0/5.1 (toujours pending le 28 septembre), la correction par le projet FreeBSD le 09.09.14 (FreeBSD-SA-14:18.openssl) du bulletin OpenSSL du 06.08.14 (secadv_20140806), une mise à jour PHP5 chez Ubuntu le 09.09.14 (USN-2344-1 faisant écho au DSA-3008 du 21.08.14), une publication officielle le 10.09.14 du CVE-2013-4444 pour une correction sur Tomcat 7.0 publiée le 09.05.13, une publication d'un nouveau bulletin Vmware le 11.09.14 pour NSX & vCNS et une mise à jour Bind9 chez Debian le 11.09.14 (DSA-3023-1 faisant écho au USN-2081-1 du 13.01.14 et au RHSA-2014:0043-1 du 20.01.14).

Un grand merci à Adobe pour cette annonce concernant le report de la publication Adobe Reader qui permet aux équipes de déclencher les actions appropriées sans se demander si les priorités de leurs plans d'action vont évoluer.

3ème semaine - Séance d'échauffement ?

Oracle publie des correctifs pour Solaris 11.2/11.1/10 le 15.09.14, Adobe publie le 16.09.14 ses nouvelles versions pour Adobe Reader et Acrobat (comme nous nous y attendions) et Ubuntu publie une mise à jour OpenJDK7 le même jour. Le CVE-2014-3616 affectant Nginx fait l'objet d'un DLA le 17.09.14 (<3 #SqueezeLTS, le DSA-3029-1 étant publié trois jours plus tard le 20.09.14), FreeBSD publie le 17.09.14 un bulletin FreeBSD-SA-14:19.tcp mentionannt le CVE-2004-0230 (oui oui 10 ans), Apple publie ses mises à jour OS X Server 2.2.3 / 3.2.1, OS X 10.9.5 et Safari 6.2/7.1 le 17.09.14, Asterisk publie deux bulletins le 18.09.14, PHP annonce ses mises à jour 5.4x et 5.5x le 19.09.14 et Chef annonce des correctifs le même jour, Debian publie le DSA-3030-1 pour MantisBT (avec des correctifs originellement publié le 08.02.14) le 20.09.14 et ... le dimanche 21.09.14 nous permet enfin de nous reposer ou de sortir un peu.

4ème semaine - Le 24 c'est toujours Noël ...

La 4ème semaine s'annonce sympathique avec la publication par la Google Security Team du CVE-2014-6273 "apt-get buffer overflow" (sortie le 23.09 des bulletins DLA-58-1, DSA-3031-1, USN-2353-1) et, le 24.09.14, la publication du CVE-2014-6271 sur #Bash, la publication (coordonnée ?) des correctifs Chrome, Firefox et Thunderbird pour le CVE-2014-1568 (NSS RSA sig) et la publication de 6 bulletins chez Cisco pour IOS (RSVP, SIP, mDNS, DHCPv6, metadata, NAT) ... puis la machine s'emballe autour de ce qui devient #ShellShock et de sa myriade de CVE.

#Bash #ShellShock etc.

Faisons une pause, nous sommes le 24.09.14 en milieu d'après-midi, le CVE-2014-6271 sur #Bash vient de sortir et tous les correctifs sont disponibles. La vulnérabilité est rapidement qualifiée comme critique si exploitée mais les vecteurs d'exploitation sont "flous". Qu'importe le brouillard, l'application des correctifs doit être réalisée sans tarder (ie : nous avons eu Adobe Reader la semaine dernière, Internet Explorer et Chrome la semaine précédente, nous sommes habitués).

Les équipes sont déjà en train de corriger ou d'organiser les recettes fonctionnelles avant déploiement en production et une information tombe en fin d'après-midi : le correctif est incomplet selon @taviso (encore lui! coupez-lui donc l'accès à internet que nous puissions être tranquilles ^^). "Et là c'est le drame" : quelles sont les conséquences ? les impacts ? aucune information et en internet-o-vision, ce qui était une vulnérabilité critique standard devient le nouvel heartbleed^Wshellshock (être baptisé d'un nom effrayant^Wcool étant absolument nécessaire pour que le cirque médiatique^W^Wgrand public soit informé).

Avance rapide d'une journée, nous sommes le 25.09.14 au soir et de nouveaux bulletins corrigeant ce qui est désormais le CVE-2014-7169 sont publiés pour ce #BashRound2 (DSA 3035-1 et USN-2363-1 le 25.09, DLA-63-1, RHSA-2014:1306-1,1311-1,1312-1 le 26.09.14, etc) avec une correction supplémentaire pour deux nouveaux CVE CVE-2014-7186 et CVE-2014-7187.

Et là, le 25.09.14 à minuit, alors que s'approchent les 36 heures de veille après le début de cette crise ... et comme nous l'avait annoncé de manière prémonitoire @helpacsoout le 17 septembre 2014 : "Awake for over 36H because of a breach. Go home and sleep or keep working? WDYD? #ciso #hacsoo" ? ... je pense à tous les mainteneurs qui font ce travail et à tous les sysop qui ont encore de longues nuits à patcher devant eux et qu'on blame à cause de ces problèmes alors qu'ils font souvent tout leur possible pour faire face à ce b0rd3l avec le sourire et je veux faire partie de celles et ceux qui les remercie pour cela <3.

Et le week-end ne s'annonce pas meilleur, de nouveaux problèmes #Bash sont annoncés le 26.09.14 au soir et ce qui devient le CVE-2014-6277 (dont les détails ne sont pas encore connus pour mon article :p) est ouvert le 27.09.14.

Et ma Debian-LTS ?

Pour celles et ceux qui suivent ce projet (inlove), je crois que nous ponvons désormais constater que Debian dispose maintenant d'une vraie distribution LTS avec une publication des correctifs de sécurité dans des délais similaires à la branche stable et un référencement des vulnérabilités totalement adéquat sur security-tracker.debian.org avec la publication de bulletins DLA qui lui sont propres. Et le site lui-même est beau esthétiquement ! Que demander de plus ? :)

Et maintenant ?

Et maintenant, tentons de conclure à contre-courant sur l'actualité de ce mois ?

• Il y a au moins une différence entre #OpenSSL #HeartBleed et ce #Bash #ShellShock : Avions nous beaucoup d'autre choix que OpenSSL avant HeartBleed ? Vous savez autant que moi ce que OpenBSD puis Google ont décidé de faire pour "résoudre" le "problème".
• #ShellShock est critique ? Le cumul ce mois-ci de correctifs critiques pour Firefox, Internet Explorer, Chrome, Safari, Adobe Flash, Adobe Reader (entre autres) ne l'est-il pas également (n'oublions pas que client/server-side n'est pas un critère métier) ? Succomber à la fascination de la partie émergée de l'iceberg serait une erreur.
• #ShellShock vous prend du temps à corriger ? Attention, il vous reste 15 jours avant le patch tuesday Microsoft annoncé pour le 14 octobre 2014 ... accompagné du critical patch update trimestriel de Oracle annoncé le même jour :)

Je me permet de conclure en citant D. Aitel sur dailydave le 26 septembre 2014 (http://seclists.org/dailydave/2014/q3/66) : "This weird dichotomy between things that are vulnerable, and things that are at risk, is a real problem with the bash bug and right now it's being solved with consulting hours for most people. How do you go to the SEC and say "90% of our infrastructure is vulnerable"? Answer: You don't.".

Jess - @JessicaGallante

PS : @helpacsoout et @philoupas : merci ! @Nathplanteur : (kiss).