Les 2 s’y collent presque en même temps. Ce sont des failles critiques qui permettent la prise de contrôle à distance, ou la modification / destruction de fichiers sur le site.
Bonne correction 
Les correctifs pour cette faille majeure sont maintenant disponibles pour pratiquement tous les systèmes. Il ne reste plus qu’à les appliquer… ce que certains fournisseurs ne semblent pas trop pressés de faire !
Voici une explication assez détaillée de Bruno Kerouanton.
Et en réponse à son article, Stéphane Bortzmeyer donne un moyen simple, sous Linux de vérifier un serveur DNS.
La commande “dig” peut faire cela. Par exemple, pour vérifier le serveur DNS 212.71.8.10 de mon fournisseur ADSL EDPnet :
$ dig @212.71.8.10 +short porttest.dns-oarc.net TXT z.y.x.w.v.u.t.s.r.q.p.o.n.m.l.k.j.i.h.g.f.e.d.c.b.a.pt.dns-oarc.net. "212.71.8.10 is POOR: 26 queries in 4.0 seconds from 1 ports with std dev 0.00"
EDPnet n’a donc pas encore mise à jour son serveur DNS, qui est (d’après nmap) un serveur Linux.
Le correctif EST disponible ! J’espère qu’ils vont rapidement l’appliquer.
Tout le monde en parle pour le moment : une faille critique dans la gestion des serveurs DNS a été trouvée par Dan Kaminsky. Découverte il y a 6 mois, cette faille n’a été rendue publique que ce 8 juillet. Dan Kaminsky a préféré prévenir les firmes concernées pour laisser le maximum de temps pour corriger cette faille. C’est une première à cette échelle : tous les grands fabricants et les acteurs concernés par ce problème ont collaboré en secret jusqu’à ce que les correctifs soient disponibles.
CAcert est une autorité de certification gratuite, vous permettant de générer des certificats SSL. Dans le cas qui m’intéresse, je vais générer via le site de CAcert des certificats SSL valables pour plusieurs domaines.
S’il est assez facile de mettre plusieurs sites Web sur un seul serveur Apache en http, càd sans sécuriser la connexion, ce l’est nettement moins si l’on désire mettre plusieurs domaines en https sur le même serveur !
Ce billet vous expliquera donc comment gérer plusieurs sites HTTPS sur un serveur Web avec une seul adresse IP.
Avec cette faille OpenSSL connue de tous, il est urgent de corriger le problème, c’est à dire :
Mettre à jour sa distribution, vous savez certainement tous le faire :
aptitude update
aptitude dist-upgrade
Éventuellement, ajoutez le sudo si vous êtes en Ubuntu.
La regénération des clés SSH est pourtant indispensable, car même avec les packages corrigés, les clés host restent celles qui avaient été générées à l’installation du serveur : elles sont donc faibles et crackables !
Vous l’avez peut-être déjà lu, mais une faille de sécurité assez critique affecte OpenSSL dans les distributions Debian et dérivés (Ubuntu par exemple). OpenSSL est utilisé pour les connexions “sécurisées” en SSH et les certificats SSL des sites web. Ce sont les applications les plus connues, mais d’autres utilisent également OpenSSL, comme OpenVPN, IMAPS, POPS…
dessin en licence CC by nc du site Xkcd
Vérifiez la sécurité de vos mots de passe sur le site passwordmeter.com
Ca semble dur de dépasser les 90%, car il faut quand même le retenir ! Si c’est pour l’écrire sur un post-it, ce n’est pas la peine
Mais on peut en général l’améliorer assez bien avec quelques règles simples…
Essayez ce site et vous changerez peut-être de mot de passe 
Après avoir généré un certificat auto-signé pour le sous-domaine “phpmyadmin.misson.net”,
je vais maintenant configurer Apache 2.
Recommandé par des Influenceurs
