• @arno
    ARNO* ART LIBRE

    Encore une alerte de mon hébergeur qui me dit de résoudre ceci (au risque de voir mon serveur désactivé) :

    Madame, Monsieur,

    L’Agence nationale de la sécurité des systèmes d’information (ANSSI : [▻https://www.ssi.gouv.fr/]) vous contacte car un service LemonLDAP-NG présent sur des réseaux vous appartenant sont susceptibles d’être concernés par une vulnérabilité critique.

    Le CERT-FR vous recommande de prendre en compte ces informations dans les meilleurs délais. Cette vulnérabilité pourrait être exploitée de façon imminente, le risque de compromission est donc élevé, c’est pourquoi nous prenons l’initiative de vous transmettre ce signalement.

    Références :
    Avis de sécurité LemonLDAP-NG du 28 mars 2023
    ▻https://gitlab.ow2.org/lemonldap-ng/lemonldap-ng/-/releases/v2.16.1
    Publication de CERT-FR CERTFR-2023-AVI-0300 du 12 avril 2023
    ▻https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0300
    Systèmes affectés
    L’éditeur indique que les systèmes suivants sont affectés :

    LemonLDAP-NG versions antérieures à 2.16.1
    Détails de la vulnérabilité et conséquences
    La vulnérabilité CVE-2023-28862 permet à un attaquant de contourner l’authentification multifacteur. Son score CVSSv3 est de 9,8 (sur 10).

    Evolution de la menace
    En date du 19 avril 2023, l’ANSSI n’a connaissance ni de code d’exploitation public, ni d’exploitation active de la vulnérabilité CVE-2023-28862.

    Recommandations
    L’ANSSI recommande fortement de procéder aux opérations suivantes :

    appliquer la mise à jour dans les meilleurs délais.

    Rappels

    Le guide d’hygiène informatique : ▻https://www.ssi.gouv.fr/uploads/2017/01/guide_hygiene_informatique_anssi.pdf

    Sauf que je ne trouve aucune trace de ce LemonLDAP-NG sur ma machine. En fait, je ne suis même pas certain de ce qu’il faut faire pour vérifier que ce n’est pas sur la machine (j’ai fait par exemple un locate lemonldap, qui ne me retourne rigoureusement rien).

    ARNO* ART LIBRE
    • @emanuel
      Bourbaki

      C’est développé par la gendarmerie nationale.
      Si tu es sous debian regarde si le paquet lemonldap-ng est installé.
      Pour passer en 2.16 c’est un paquet testing en stable on est en version 2.0.11.

      Bourbaki
    • @arno
      ARNO* ART LIBRE

      C’est bien une Debian, mais si je fais :

      apt-get remove lemonldap-ng

      ça me dit que je l’ai pas.

      Je ne comprends pas comment eux détecteraient que j’ai ce package installé sur mon serveur ? Il y a une méthode pour le savoir de l’extérieur ? (Que je pourrais donc tester ?) Ou bien que j’ai une Debian, et du coup ils écrivant à tous les gens qui ont une Debian ?

      ARNO* ART LIBRE
    • @klaus
      klaus++

      J’ai eu un message comparable de la part de notre BSI (▻https://www.bsi.bund.de) à cause d’une instance Owncloud qui n’était pas accessible publiquement. Je leur ai écrit en les remerciant en ajoutant que mon installation n’était pas concernée par la faille de sécurité connue de la version en question. Ceci m’a valu une réponse prèsque agressive de leur part.

      Depuis je les considère comme « just another spammer » et j’ai envoié un message d’avertissement à mon hébergeur afin de l’empêcher de suivre leurs ordres et recommandations en ce qui me concerne. Toutefois on ne peut jamais savoir comment et s’il prend en compte mon message, alors je suis obligé de me coltiner le maintien de clônes des sites du serveur public afin de pouvoir les activer au cas où.

      C’est le genre d’ennuis qui te font arrêter de fournir des services internet à des clients.
      cf. ►https://cfenollosa.com/blog/after-self-hosting-my-email-for-twenty-three-years-i-have-thrown-in-the-
       :-(

      #internet de #merde

      klaus++
    Écrire un commentaire