Les vingt vulnérabilités les plus critiques de l’année
Le SANS Institute a publié son bilan annuel des failles informatiques les plus exploitées. Des vulnérabilités qui affectent aussi bien les systèmes Unix que Windows.
Comme chaque année depuis trois ans, le SANS Institute publie son palmarès des vingt vulnérabilités informatiques les plus exploitées. Et comme chaque année, le tableau se partage équitablement entre d’un côté les systèmes Windows et de l’autre le monde Unix et ses dérivés, dont Linux. Ce document intéressera particulièrement les responsables informatiques qui, s’ils ne l’ont déjà fait, pourront s’appuyer sur les recommandations du SANS pour mettre à jour leurs parcs informatiques. En effet, l’institut décrit précisément les vulnérabilités relevées et propose des solutions de sécurisation.
Côté Windows, les failles liées aux serveurs Web IIS restent en tête du classement. Bien qu’en dernière position, les logiciels clients de courrier électronique et les messageries instantanées font une entrée remarquée, tout comme les plates-formes de partage de fichiers qui se classent en 7e position. Quant à la faille LSAS exploitée notamment par le ver Sasser (voir édition du 3 mai 2004), elle entre directement à la 8e place.
Liste non exhaustive
Peu de changements sont à noter du côté des Unix. Les failles du système de noms de domaine BIND – souvent victime d’attaques par saturation (DoS) – et celles affectant les serveurs Web (Apache, iPlanet) arrivent en tête. A noter également l’augmentation des vulnérabilités du protocole de chiffrement Open Secure Socket Layer (Open SSL). Quant aux vulnérabilités qui affectaient le service Remote Procedure Call (RPC), elles ont disparu du classement.
La liste est évidemment loin d’être exhaustive. Mais, comme le rappelle le SANS Institute dans son communiqué, « bien qu’il y ait des milliers d’incidents de sécurité qui affectent chaque année les systèmes d’exploitation, la très large majorité des attaques se concentre sur une ou plusieurs de ces vingt vulnérabilités ». Autrement dit, si tous les systèmes informatiques étaient protégés au niveau de ces vingt failles de l’année, la sécurité globale des réseaux s’en trouverait grandement améliorée.