Spécial sécurité : l’imprimante laser Dark Vador

Sommaire
1 - L’imprimante laser Dark Vador
2 - Antivirus pour mobiles : à moitié percé
3 - Windows et Java : les trous du mois… et un peu plus

1 - L’imprimante laser Dark Vador
Msnbc relate les recherches d’Universitaires de Columbia qui ont passé en revue les différentes failles d’une imprimante laser HP. Au nombre des trous de sécurité les plus importants, la possibilité de reflasher le firmware à distance, procédure n’effectuant aucun contrôle d’authentification puisqu’aucune signature n’est prévue dans ce genre de procédure. A partir de là, tout ou presque est permis selon le niveau d’intelligence de l’électronique embarquée : vol et fuite d’information, accès au réseau local, déni de service… voire mise en panne de l’imprimante, sans aller, comme l’ont titré certains de nos confrères un peu catastrophistes, jusqu’à provoquer un incendie par « surchauffe » du papier.

Ce qui est préoccupant, dans toutes ces « révélations », c’est qu’il n’y a pas franchement de révélations. Une grande partie de ces défauts sont connus ou du moins fortement soupçonnés, et certaines attaques ont depuis longtemps fait l’objet de communications lors de conférences de sécurité. Ce qui tend à prouver que les efforts de protection des équipements périphériques « intelligents » sont encore et toujours les parents pauvres des TIC. Des femtocell aux points d’accès WiFi, en passant par les imprimantes ou les automates programmables, tous ces appareils ont un point commun : ils sont connectés physiquement aux réseaux locaux et déconnectés logiquement de leurs mécanismes de contrôle et de protection périmétrique.

2 - Antivirus pour mobiles : à moitié percé
Il y aura les optimistes qui verront le verre à moitié plein… mais les conclusions du test comparatif d’AV-Test.org sur les antivirus gratuits pour plateforme Android sont éloquents : seuls 10% des malwares sont interceptés. Seuls deux programmes sortent du lot : le Kaspersky (qui n’est pas gratuit), et qui bloque 50% des attaques, et Zoner AntiVirus Free qui en détecte 32%. Les autres produits concurrents sont soit totalement inefficaces, soit à peine capables de deviner 10 % des infections. Voilà qui va relancer, si besoin en était, le débat sur l’utilité d’une protection antivirale sur plateforme mobile.

3 - Windows et Java : les trous du mois… et un peu plus
« Elle » est enfin bouchée, la faille Duqu. Après deux mois d’existence officielle (mais peut-être plus de manière clandestine), cette vulnérabilité exploitée par un espionniciel est corrigée alors que les administrateurs dudit virus ont déjà plié bagage. Un résumé des fonctions de DuQu est toujours disponible sur le site de Dell/Secureworks. Mais le « mardi des rustines » de décembre ne se limite pas à ce seul bouchon. Duqu non compris, le lot de rustines de ce mois-ci met fin à l’existence de trois trous exploitables : MS11-087, MS11-090 et MS11-092, l’un se situant dans t2embed.dll qui est dépendant de la gestion des fontes Truetype (Duqu), les autres corrigent des hiatus découverts activeX et Windows Media Player. Tous les détails sur ces colmatages et sur les 11 autres défauts sont à découvrir sur le Technet. Le bulletin du Sans est particulièrement carmin ce mois-ci. Ajoutons, pour clore le chapitre Microsoft, que le blog du Response Team publie sa traditionnelle rétrospective analysant la criticité des failles de l’année, et compare le résultat 2011 avec ceux des années précédentes. Les trous les plus exploitables sont en nette diminution, dépassant à peine le seuil des 30 % (le niveau le plus haut a été mesuré en 2006, avec près de 62 % de trous critiques sur l’année). L’appréciation de la dangerosité sera toujours un sujet de discussions byzantines. Pour les ingénieurs de Redmond, n’est critique qu’un défaut exploitable à distance… et seulement important (près de 65 % des failles cette année) lorsqu’il nécessite par exemple une « interaction avec l’utilisateur ». Rappelons que des fléaux comme Iloveyou exploitaient un défaut qui nécessitait aussi une interaction avec l’utilisateur.

Comme à l’accoutumé, Adobe publie également ses lots de correctifs le second mardi de chaque mois. Correctifs en grande partie fonctionnels d’ailleurs. Un seul trou de sécurité est colmaté dans Java 6 mise à jour 30…