Insécurité des optimisations des moteurs JavaScript

Magazine
Marque
MISC
HS n°
Numéro
20
|
Mois de parution
octobre 2019
|
Domaines


Résumé

Le navigateur web peut constituer le point d’entrée d’une compromission d’un téléphone mobile ou d’un ordinateur personnel. Sur des systèmes correctement mis à jour, l’attaquant devra faire l’usage de failles 0-days afin de prendre le contrôle du navigateur. Cette année, on a pu observer une attention particulière portée aux moteurs JavaScript, que ce soit via les bugs corrigés, les attaques démontrées à des événements du type pwn2own ou encore des attaques réelles. Il y a deux exemples très récents d’attaques ciblées de ce type : les chaînes d’exploits visant certains utilisateurs d’iPhone ainsi que la chaîne d’exploits pour Firefox visant coinbase.


La suite est réservée aux abonnés. Déjà abonné ? Se connecter

Sur le même sujet

Analyse UEFI avec Windbg

Magazine
Marque
MISC
Numéro
108
|
Mois de parution
mars 2020
|
Domaines
Résumé

La dernière étape dans la mise en place d’un environnement de travail complet en UEFI va être l’installation d’un debugger. Celui-ci va permettre de, non seulement faciliter le développement au sein du micrologiciel, mais aussi de comprendre dynamiquement le code source. Dès lors, il sera possible de mieux appréhender ce code afin de l’éditer et créer son propre UEFI.

Gérez vos projets avec Kanboard

Magazine
Marque
Linux Pratique
Numéro
118
|
Mois de parution
mars 2020
|
Domaines
Résumé

Besoin de planifier un projet ? De recenser et d’affecter les tâches ? De hiérarchiser les différentes étapes ? De construire un tableau de bord pour évaluer le travail réalisé ? Le logiciel libre Kanboard, basé sur la méthode Kanban, est probablement la solution...

Tomoyo, le contrôle d’accès facile

Magazine
Marque
GNU/Linux Magazine
Numéro
235
|
Mois de parution
mars 2020
|
Domaines
Résumé

Par un contrôle fin des accès aux fichiers, les logiciels de type Mandatory Access Control (MAC) permettent de lutter efficacement contre le piratage et le vol de données. Tomoyo-linux propose une alternative simple d’utilisation à SELinux.

Quels outils pour le développeur ?

Magazine
Marque
GNU/Linux Magazine
Numéro
235
|
Mois de parution
mars 2020
|
Domaines
Résumé

Si le code est la matière première de tout développeur, il utilise aussi de nombreux outils pour travailler celle-ci. Comme tout artisan ou technicien, c’est souvent la bonne connaissance ainsi que la bonne maîtrise de ces outils qui vont lui permettre de non seulement effectuer son travail avec efficacité et de manière confortable, mais aussi parfois d’accomplir de véritables exploits, qui auraient été humainement impossibles sans l’outillage approprié. Faisons donc ici l’inventaire de ces outils, et du rôle que chacun joue dans le quotidien d’un développeur.

KeeRest : mettez du DevOps dans votre KeePass

Magazine
Marque
MISC
Numéro
108
|
Mois de parution
mars 2020
|
Domaines
Résumé

Nous avions vu dans MISC n°103 comment déployer une base KeePass en mode SaaS ciblant les particuliers ou de petits périmètres professionnels. Dans un autre monde, les pratiques DevOps se démocratisent et demandent d’augmenter l’agilité des développements tout en réduisant les délais de mise en production. Cet article est le fruit d’une collaboration entre un DevOps et un ingénieur SSI pour voir de quelle manière il est possible de tirer profit de KeePass dans ces environnements.

Par le même auteur

Insécurité des optimisations des moteurs JavaScript

Magazine
Marque
MISC
HS n°
Numéro
20
|
Mois de parution
octobre 2019
|
Domaines
Résumé

Le navigateur web peut constituer le point d’entrée d’une compromission d’un téléphone mobile ou d’un ordinateur personnel. Sur des systèmes correctement mis à jour, l’attaquant devra faire l’usage de failles 0-days afin de prendre le contrôle du navigateur. Cette année, on a pu observer une attention particulière portée aux moteurs JavaScript, que ce soit via les bugs corrigés, les attaques démontrées à des événements du type pwn2own ou encore des attaques réelles. Il y a deux exemples très récents d’attaques ciblées de ce type : les chaînes d’exploits visant certains utilisateurs d’iPhone ainsi que la chaîne d’exploits pour Firefox visant coinbase.

Présentation et contournement des mitigations du noyau Windows 8.1

Magazine
Marque
MISC
Numéro
80
|
Mois de parution
juillet 2015
|
Domaines
Résumé
De nos jours, de nombreuses attaques informatiques se font via l’exploitation de failles applicatives. Des logiciels couramment utilisés tels que les navigateurs web [37] [38] ou les lecteurs de PDF [39] constituent des cibles importantes et permettent la compromission à distance d'une cible. Cependant, d’autres produits sont aussi très intéressants, notamment les systèmes d’exploitation. Les exploits noyau peuvent permettre une élévation de privilèges [41] ou une exécution de code à distance [42]. Ils peuvent également permettre de s’échapper d’une sandbox [44] [13]. En l'occurrence, nous nous intéressons à l’exploitation de vulnérabilités affectant le noyau ou les pilotes des systèmes Windows récents [53]. Plus particulièrement, ce sont les mécanismes de mitigation de l’exploitation qui nous intéressent. Nous nous plaçons donc dans la peau de l’attaquant pour voir quelles sont ces protections et comment les contourner. Le but est de permettre au lecteur d’avoir une vue d’ensemble des protections du noyau pour ensuite être capable d’approfondir ce sujet de manière sérieuse grâce aux nombreuxliens fournis. Il est donc fortement conseillé d’explorer cette section « références ».