Facebook et Skype encore victimes de failles de sécurité
Un spécialiste dans la pénétration des systèmes de sécurité a découvert une brèche importante dans Facebook. De son côté, l'Inria alerte aussi les utilisateurs de Skype sur une faille de sécurité.
Nathan Power teste les niveaux de sécurité de différentes sociétés pour le compte du cabinet de consultant CDW. Il a découvert une vulnérabilité sur Facebook et l'a signalé au site le 30 septembre dernier. La faille a été publiée sur son blog hier et Facebook a reconnu le problème.
Natahan Power écrit que Facebook n'autorise pas l'envoi d'une pièce jointe exécutable via l'onglet « Message ». Si on essaye quand même, le site indique « erreur de téléchargement : Vous ne pouvez pas joindre des fichiers de ce type. » Le spécialiste de la sécurité indique qu'en analysant la navigation dans « Message » envoyée aux serveurs de Facebook, il a découvert une variable appelée « filename » qui scanne le fichier pour l'autoriser ou non. En modifiant simplement cette requête avec un espace juste après le nom du fichier, un exécutable peut être joint à un message. « Ce fut assez pour tromper l'analyseur » souligne Nathan Power. Le danger est qu'un pirate puisse utiliser des techniques d'ingénierie sociale (usurpation d'identité, piratage de compte) pour amadouer une personne et lui faire distribuer la pièce jointe, ce qui pourrait potentiellement infecter les ordinateurs avec des logiciels malveillants.
L'Inria détecte une faille dans Skype
Le laboratoire de recherche français, l'INRIA, en collaboration avec l'Institut Polytechnique de New York a découvert une faille de sécurité dans le logiciel de téléphonie IP, Skype. Selon les chercheurs Steven Leblond, Arnaud Legout et Walib Dabbous, cette vulnérabilité permettrait de « localiser géographiquement les utilisateurs de Skype grâce à leurs adresses IP ainsi qu'accéder aux fichiers qu'ils auraient téléchargés via des logiciels d'échange Peer-to-Peer ». Dans la pratique, un pirate pourrait utiliser les appels Skype pour créer une passerelle avec les utilisateurs ciblés. Pour les chercheurs même « un appel refusé, permet d'accéder à l'adresse IP du client et à ses activités sur le réseau Internet. Les paramètres de sécurité de Skype ne sont pas capables de bloquer ces connexions dont les utilisateurs ne soupçonnent souvent pas l'existence. » Le laboratoire de recherche indique travailler avec Microsoft pour l'élaboration d'un correctif.
