Mercredi, Le Canard Enchaîné révélait que d’importantes failles avaient été découvertes dans au moins une demi-douzaine de sites gouvernementaux (voir note article : D'importantes failles détectées sur des sites gouvernementaux). Le ministère de l’Économie vient de répondre à nos questions, apportant quelques précisions et démentis sur certaines informations du Canard.
Comme l’affirmait le Canard Enchaîné, c’est bien un problème de logiciel qui est à l’origine de ces failles. « Le 28 août dernier, en fin de matinée, une faille logicielle a été identifiée chez notre prestataire en charge de la maintenance et de l’hébergement des sites internet ministériels, dans l’application Drupal de gestion de ces sites », indique le ministère. Deux problèmes sont ainsi repérés : « la possibilité de récupérer les login des utilisateurs du back office à l’aide d’une syntaxe particulière » d’une part, et, d’autre part, « la page d’accueil du back office, avec les zones d’identification (login/password), était visible sur le front office ».
Il s’avère que le logiciel libre Drupal était bien utilisé dans une version 6.20 contenant des vulnérabilités. Ces dernières avaient pourtant été signalées et corrigées bien avant la détection de ces failles... Un patch correctif a d’ailleurs été appliqué par le prestataire du ministère « dans les deux heures » suivant l'identification des problèmes selon Bercy, qui précise que « les services de sécurité informatique n’ont détecté aucune trace d’intrusion durant la période ».
Le ministère relativise les conséquences des failles
Toutefois, contrairement au Canard Enchaîné, le ministère relativise les conséquences de telles failles : « si une personne mal intentionnée avait pu récupérer les logins des utilisateurs du back office, (en trouvant la syntaxe spécifique), elle aurait été « bloquée » par le mot de passe, inaccessible à ce niveau. Cette personne aurait donc été dans l’impossibilité d’acquérir les droits d’administrateurs et de modifier les contenus du site ». Pour le ministère, pas de doute : « En dépit de la faille identifiée, aucune prise de contrôle du site n’était donc possible et aucun contenu n’a pu être modifié par des personnes non habilitées ».
Par ailleurs, l’utilisation d’un mot de passe « password » pour accéder à la fonction d'administrateur d'un des sites (évoquée par le Canard) a été vivement démentie par Bercy.
Le ministère précise enfin avoir « demandé à son prestataire de veiller à mieux sécuriser en continu les sites ministériels ».
Commentaires (56)
#1
Le ministère précise enfin avoir « demandé à son prestataire de veiller à mieux sécuriser en continu les sites ministériels ».
Et un vrai contrat avec des clauses de SLA relatives aux mises à jours et correctifs ?
#2
Le ministère précise enfin avoir « demandé à son prestataire de veiller à mieux sécuriser en continu les sites ministériels ».
c’est un peu légers ce type de bourde je trouve pour un prestataire externe censé garantir la sécurité des sites de l’état…. pour un tel service on devrait blinder un max et vérifier continuellement…
#3
Toutefois, contrairement au Canard Enchaîné, le ministère relativise les conséquences de telles failles : « si une personne mal intentionnée avait pu récupérer les logins des utilisateurs du back office, (en trouvant la syntaxe spécifique), elle aurait été « bloquée » par le mot de passe, inaccessible à ce niveau. Cette personne aurait donc été dans l’impossibilité d’acquérir les droits d’administrateurs et de modifier les contenus du site ». Pour le ministère, pas de doute : « En dépit de la faille identifiée, aucune prise de contrôle du site n’était donc possible et aucun contenu n’a pu être modifié par des personnes non habilitées »
c’est beau d’entendre les gens parler d’un sujet qu’ils ne maitrises pas…..
#4
La date de sortie de drupal 6.20 : 15 décembre 2010
" />
Champion du monde.
EDIT : L’interpreteur de PCI n’aime pas les url contenant des crochets :o
http://drupal.org/node/3060/release?api_version[]=87
#5
Il s’avère que le logiciel libre Drupal était bien utilisé dans une version 6.20 contenant des vulnérabilités. Ces dernières avaient pourtant été signalées et corrigées bien avant la détection de ces failles… Un patch correctif a d’ailleurs été appliqué par le prestataire du ministère « dans les deux heures », selon Bercy, qui précise que « les services de sécurité informatique n’ont détecté aucune trace d’intrusion durant la période ».
Je comprend pas très bien l’explication là.
Le presta a appliqué le patch corrigeant les vulnérabilités dans les deux heures après la publication de celui-ci. Et deux ans après, aucune montée de version de Drupal n’a été faite, et les vulnérabilités ont été exploitées malgré le patch
Et alors là, c’est le pompon :
« si une personne mal intentionnée avait pu récupérer les logins des utilisateurs du back office, (en trouvant la syntaxe spécifique), elle aurait été « bloquée » par le mot de passe, inaccessible à ce niveau. Cette personne aurait donc été dans l’impossibilité d’acquérir les droits d’administrateurs et de modifier les contenus du site ». Pour le ministère, pas de doute : « En dépit de la faille identifiée, aucune prise de contrôle du site n’était donc possible et aucun contenu n’a pu être modifié par des personnes non habilitées »
#6
includes/bootstrap.inc in Drupal 5.x before 5.12 and 6.x before 6.6, when the server is configured for “IP-based virtual hosts,” allows remote attackers to include and execute arbitrary files via the HTTP Host header.
http://www.cvedetails.com/vulnerability-list/…Drupal-6.2.html
Avec une trentaine d’autres vulnérabilités touchant Drupal 6.2, c’est bien pire que ce qu’ils essaient de nous faire croire.
si une personne mal intentionnée avait pu récupérer les logins des utilisateurs du back office, (en trouvant la syntaxe spécifique), elle aurait été « bloquée » par le mot de passe, inaccessible à ce niveau.
A voir combien de secondes leur site tiendra contre une attaque par dictionnaire.
#7
#8
si une personne mal intentionnée avait pu récupérer les logins des utilisateurs du back office, (en trouvant la syntaxe spécifique), elle aurait été « bloquée » par le mot de passe, inaccessible à ce niveau.
“mode troll”
Comme le nuage de Tchernobyl qui a été stoppé à la frontière, nan tu passeras pas ! ! !
“/mode troll”
#9
Correction du post précédent
" />
C’était pas la bonne version de Drupal.
#10
#11
Non rien :)
#12
#13
#14
ces blaireaux aux lieu d’avouer qu’il y a eu un impair et d’en profiter pour dénoncer leur contrat public (il doit bien y avoir une clause de responsabilité du prestataire…) il minimisent et mettent de la pommade… genre : “je vais bien tout va bien…” (sketch Dany Boon)
Il ne faut pas que nos administrations se voilent la face… bon sang c’est l’image de ces derniers qui est exposée, pas du prestataire (qui dans ce type de communication reste bien anonyme et tout bénef pour lui…).
A les écouter c’est limite de la faute du libre…
Ha au fait Messieurs c’est bien beau d’appliquer un patch (dans les 2h… mais les 2h d’il y a 2 ans ou dans les 2h 2ans plus tard ?)… encore faut-il vérifier qu’il remplisse bien les fonctions pour lequel il existe…. et vérifier quotidiennement que la protection existante remplisse toujours sa fonction première !! Ce n’est pas le site du boucher du coin quand même !!!
#15
#16
#17
pour bien connaitre le sujet de la prestation avec l’Etat Français
" />
mon seul commentaire c’est mort de rireeeeeeeeeeee
#18
Dans un sujet moindre, entre les répertoires non cachés sur les sites gouvernementaux et les mises à jours Apache, il y a du boulot pendant 10 ans
" />
#19
#20
#21
#22
j’ai arrêté de lire dés que j’ai vu php drupal… quand on cherche, on trouve..
#23
j’ai arrêté de lire dés que j’ai vu php drupal… quand on cherche, on trouve..
#24
Défaut de sécurisation, c’est Hadopi qui va être contente
" />
#25
“les services de sécurité informatique n’ont détecté aucune trace d’intrusion durant la période ”
" /> En d’autres termes, ce n’est pas parce que le service de sécurité n’a rien vu que personne n’est venu les visiter… CQFD
Bah oui, c’est évident, une intrusion si elle est réussie ne doit pas se voir, ça coule de source
#26
#27
Et sinon la CNI next gen c’est pour quand ?
" />
" />
#28
#29
#30
#31
On ne pourrais pas avoir le nom du prestataire ? du moins savoir juste si ce n’est pas le plus grosse SSII française avec un pdg pistonné ? avec des contrat arrangé.
#32
#33
elle aurait été « bloquée » par le mot de passe, inaccessible à ce niveau
Et le fameux mdp “password”, c’était pas chez eux?
#34
#35
#36
#37
#38
#39
#40
#41
#42
#43
#44
#45
“dormez tranquille, nous sommes des gens sérieux et nos choix sont toujours les meilleurs…”
#46
« si une personne mal intentionnée avait pu récupérer les logins des utilisateurs du back office, (en trouvant la syntaxe spécifique), elle aurait été « bloquée » par le mot de passe, inaccessible à ce niveau »
Sauf que si via une syntaxe spécifique quelqu’un arrive à obtenir les logins, il devrait aussi arriver à obtenir les mots de passe…
#47
#48
#49
#50
#51
#52
“Tout va très bien, Madame la Marquise…..”
" />
" />
" />
#53
#54
#55
#56