URL: https://linuxfr.org/users/mitsurugi/journaux/securite-de-l-open-source-vs-closed-source-ms14-066 Title: Sécurité de l'open source Vs closed source: MS14-066 Authors: mitsurugi Date: 2014年11月17日T14:03:50+01:00 License: CC By-SA Tags: microsoft, sécurité, open_source, heartbleed et shellshock Score: 34 Bonjour, Une fois n'est pas coutume, je vais commencer par parler de microsoft sur ce site francophone linuxien. Vous le savez, microsoft prend la sécurité de ses produits très au sérieux depuis une dizaine d'année (windows XP SP2 environ). Ils ont mis en place un système de patch à date fixe, le second mardi du mois, surnommé rapidement "patch tuesday". Les équipes opérationnelles peuvent prévoir des astreintes supplémentaires ce mardi pour tester/qualifier et pousser les patchs. Ce mardi a été un petit peu spécial. Microsoft, jaloux des failles openssl en balance une à son tour. Il décide de publier un patch appelé MS14-066 dont la gravité et l'impact font rêver tout pentesteur un peu sérieux: du remote code execution sur tout service utilisant SSL. Du velours pour les attaquants. Microsoft a par contre été un peu plus léger côté bulletin: ils ne parlent que d'un malformed packet qui peut faire crasher le service et éventuellement, exécuter du code. Bref, la carotte est belle, et tous les experts sécu du monde se sont mis à analyser le patch binaire car un exploit de ce genre peut vous apporter la gloire, et accessoirement beaucoup de sous. Mais l'analyse est compliquée. Car vous le savez, Microsoft ne fournit ni les sources de ses produits, ni les sources de ses patchs. Et si je suis bien les différents communiqués, Microsoft a volontairement compliqué la tâche des attaquants. Le patch ne couvre pas la vulnérabilité, mais un ensemble de composants, allant de l'ajout de cipher SSL au correctif mineur, en passant par la fameuse faille critique. Tout ça enrobé dans un petit peu d'obfuscation apparemment puisque ce correctif amène des plantages sur certaines configurations. Microsoft ne prend pas toujours autant de précautions, mais dans ce cas présent et au vu de l'impact de la faille, ils ont mis le paquet. Nous sommes lundi, presque une semaine après le patch Tuesday et il n'y a toujours aucun exploit disponible publiquement (en tout cas pas que j'aie vu). Quelques grands noms (metasploit par exemple), ont vaguement trouvé des heap overflow ou des crash, mais sans réussir à concrétiser une attaque derrière. Maintenant que le décor est planté, revenons à notre open source. Lorsqu'il y a une faille de sécurité de ce calibre (au hasard Heartbleed), les attaquants ont à disposition les sources, et le source du patch. Il ne leur faut pas très longtemps pour parvenir à un exploit fonctionnel. Pour Heartbleed il a fallu moins de 24h de mémoire, pour Shellshock, ça a été immédiat. Ca me fait mal au cul de le dire, mais dans certaines circonstances, le closed source permet de donner plus de chances à un défenseur pour protéger son parc. Microsoft a pas trop mal joué en faisant un pot-pourri de patchs livrés en un seul blob binaire, ce qui est impossible pour de l'open source. Il n'est pas question de sécurité par l'obscurité ici, le bug est connu, son impact est révélé, et les admins ont le temps de patcher. Seul l'exploit est obscur. Cela m'amène à une question: est il possible de patcher une faille de sécurité open source sans en révéler l'exploit associé?