Le "clickjacking" revient sur le devant de la scène au grand dam d'Adobe

le 17/09/2008, par david Lentier avec IDG News Service, Hacking, 315 mots

Après qu'Adobe Systems le leur ait demandé, deux hackers ont décidé de ne pas effectuer la présentation technique dans laquelle ils allaient montrer comment prendre la main sur le navigateur web d'un internaute, via une attaque de type « clickjacking ». Les deux experts, Robert Hansen et Jeremiah Grossman, devaient s'exprimer la semaine prochaine, lors de la conférence OWASP (Open Web Application Security Project) à New York. Mais le programme qu'ils ont développé pour prouver leurs dires mettait en évidence une faille d'un des produits d'Adobe. Après une semaine de négociations avec Adobe, ils ont finalement décidé vendredi 12 septembre dernier de ne pas faire leur présentation. Bien qu'ils pensent que la faille découverte provienne de la manière dont les navigateurs web sont conçus, Adobe les a convaincu de patienter jusqu'à ce qu'il puisse proposer un correctif. Dans une attaque par « clickjacking », on amène la victime à cliquer sur des liens dangereux sans qu'elle s'en aperçoive. Il s'agit d'une attaque connue depuis des années, sans qu'elle ait été considérée comme étant spécialement dangereuse. Elle peut servir par exemple pour de la publicité en ligne, de la fraude ou augmenter le taux de pages vues sur un site web. Mais les deux experts en sécurité se sont rendus compte que les dangers étaient plus élevés que prévu. "Si on peut contrôler là où vous cliquez, jusqu'où peut-on aller ? interroge Jeremiah Grossman. Selon Tom Brennan, organisateur de la conférence OWASP, ce qu'il a vu de la démonstration des deux experts prouvait que l'on pouvait le contrôle complet du PC de la victime. Quant aux deux experts, ils déclarent qu'ils n'ont pas subi de pression de la part d'Adobe. Lundi, dans la soirée, Adobe a remercié les deux experts et indiqué que la société était en train de chercher un correctif. Robert Hansen et Jeremiah Grossman indiquent que Microsoft devrait également proposer un correctif lié au même bug pour internet explorer.

Microsoft coutumier des add-on non fonctionnelles et bogées

Vendredi dernier, la firme de Redmond a reconnu qu'elle avait dû réécrire 4 des 13 add-on de sécurité publiées lors du dernier Patch Tuesday. D'après le retour des utilisateurs, même une fois installées, les...

le 18/09/2013, par Gregg Keizer, adaptation Oscar Barthe, 463 mots

Google ne crypte pas efficacement les mots de passe Wi-Fi

Lorsqu'un utilisateur d'Android réalise une sauvegarde de son système, notamment en vue d'une réinitialisation de l'appareil, la firme de Mountain View accède immédiatement au clé de son réseau WiFi privé....

le 18/09/2013, par Oscar Barthe, 367 mots

2 millions de comptes clients de Vodafone Allemagne piratés

Un salarié travaillant pour un prestataire de Vodafone Allemagne est soupçonné d'être à l'origine du vol de données concernant deux millions de clients. Cette affaire n'est pas sans rappeler, par sa...

le 16/09/2013, par Serge LEBLAL, 364 mots

Dernier dossier

Les white-box sont-elles l'avenir de la commutation réseau ?

Et si vous pouviez gérer vos commutateurs de centres de données et vos routeurs de la même façon que vos serveurs et ainsi réduire les coûts des dépenses en capital ? C'est la promesse des white-box qui amènent des systèmes d'exploitation réseau open source fonctionnant sur du matériel courant.Pour en avoir le coeur net, nous avons testé Cumulus...

Dernier entretien

Céline Polo

DRH du groupe iliad

"Nous recrutons dans des métiers en tension, en particulier sur l'infrastructure réseau, pour lesquels il y a...