Performance et sécurité, simplement.

Blog
Doc
Portail

Catégorie : News

  • Symfony : 8 nouvelles failles de sécurité découvertes – Analyse et recommandations

    Symfony : 8 nouvelles failles de sécurité découvertes – Analyse et recommandations

    Après un an sans faille, Symfony a dévoilé ce 6 novembre 2024 sur son blog huit vulnérabilités d’un coup. Elles affectent différentes versions du framework Symfony. Voici un résumé de ces failles critiques, leurs impacts potentiels, ainsi que les solutions mises en place par Symfony. De quoi comprendre les implications de ces vulnérabilités pour sécuriser vos applications.

    Introduction

    Même les frameworks les plus réputés comme Symfony ne sont jamais à l’abri de failles de sécurité. Quelle que soit la solution applicative retenue, la vigilance est de mise. Des sécurités comme un pare-feu applicatif ModSecurity ainsi que le blocage automatique des attaquants (fail2ban), combiné à une bonne politique de sauvegarde externalisée, sont indispensables.

    Sur les hébergements web sécurisés LRob, nos serveurs Linux aident à votre sécurité applicative grâce à ModSecurity combiné à fail2ban qui bloquent activement les tentatives d’exploitation des failles; des sauvegardes externalisées complètes sont faites chaque jour avec une rétention d’un an. Choisir LRob comme hébergeur, c’est profiter d’une solution d’hébergement simple et sécurisée tout en ajoutant un sysadmin rigoureux, disponible et passionné à votre équipe !

    Failles de sécurité Symfony (novembre 2024)

    CVE-2024-51736 : Détournement d’exécution de commande sur Windows avec la classe Process

    Versions concernées
    Symfony versions <5.4.46; >=6, <6.4.14; >=7, <7.1.7.

    Description
    Cette faille permet un détournement d’exécution sur les systèmes Windows lorsque le fichier exécutable cmd.exe se trouve dans le répertoire de travail actuel. La classe Process pourrait alors exécuter ce fichier, ouvrant la voie à des détournements malveillants.

    Résolution
    Symfony a corrigé ce problème en forçant la classe Process à utiliser le chemin absolu vers cmd.exe.

    Voir l’article officiel de Symfony.

    CVE-2024-50341 : La méthode Security::login ignore le user_checker personnalisé

    Versions concernées
    Symfony versions >=6.2, <6.4.10; >=7.0, <7.0.10; >=7.1, <7.1.3.

    Description
    La méthode Security::login de Symfony ne prenait pas en compte le user_checker personnalisé, ce qui pouvait permettre des connexions non désirées.

    Résolution
    Le correctif implémente désormais un appel au user_checker configuré.

    Voir l’article officiel de Symfony.

    CVE-2024-50340 : Changement d’environnement via une requête

    Versions concernées
    Symfony versions <5.4.46; >=6, <6.4.14; >=7, <7.1.7.

    Description
    En manipulant une chaîne de requête spécifique, des utilisateurs peuvent changer l’environnement ou le mode de débogage du noyau lorsqu’une directive PHP register_argc_argv est activée.

    Résolution
    Le composant SymfonyRuntime ignore désormais les valeurs d’argv pour les environnements non CLI.

    Voir l’article officiel de Symfony.

    CVE-2024-50342 : Énumération d’adresses et de ports internes via NoPrivateNetworkHttpClient

    Versions concernées
    Symfony versions <5.4.46; >=6, <6.4.14; >=7, <7.1.7.

    Description
    Avec NoPrivateNetworkHttpClient, certaines informations internes pouvaient encore être exposées, permettant ainsi une énumération d’adresses IP et de ports.

    Résolution
    Le client NoPrivateNetworkHttpClient applique désormais un filtrage des IP bloquées dès le début de la résolution des hôtes.

    Voir l’article officiel de Symfony.

    CVE-2024-50343 : Réponse incorrecte du Validator avec une entrée se terminant par \n

    Versions concernées
    Symfony versions <5.4.43; >=6, <6.4.11; >=7, <7.1.4.

    Description
    Une validation utilisant une expression régulière pouvait être contournée en introduisant un caractère \n en fin d’entrée, ce qui entraînait une réponse incorrecte de la part du Validator.

    Résolution
    Symfony utilise désormais le modificateur regex D pour garantir une validation de toute l’entrée.

    Voir l’article officiel de Symfony.

    CVE-2024-50345 : Redirection ouverte via des URLs « sanitisées » par le navigateur

    Versions concernées
    Symfony versions <5.4.46; >=6, <6.4.14; >=7, <7.1.7.

    Description
    En exploitant des caractères spéciaux dans une URL, un attaquant pouvait détourner une redirection basée sur la classe Request pour envoyer les utilisateurs vers un autre domaine.

    Résolution
    La méthode Request::create vérifie désormais que les URI ne contiennent pas de caractères invalides.

    Voir l’article officiel de Symfony.

    Twig CVE-2024-51754 : Appels non protégés à __toString() dans un sandbox

    Versions concernées
    Twig versions <3.11.2; >=3.12, <3.14.1.

    Description
    Dans un environnement sandbox, un attaquant pouvait appeler la méthode __toString() d’un objet, même si cette méthode n’était pas autorisée par la politique de sécurité, ouvrant la porte à un contournement des restrictions du sandbox.

    Résolution
    Le mode sandbox vérifie désormais systématiquement l’appel à __toString() sur tous les objets.

    Voir l’article officiel de Symfony.

    Twig CVE-2024-51755 : Appels non protégés à __isset() et aux accès d’objets de type Array dans un sandbox

    Versions concernées
    Twig versions <3.11.2; >=3.12, <3.14.1.

    Description
    Dans un environnement sandbox, des objets ressemblant à des tableaux pouvaient exposer des attributs sans contrôle de sécurité. Cela permettait à un attaquant d’accéder à des propriétés potentiellement sensibles.

    Résolution
    Le mode sandbox contrôle désormais les propriétés des objets de type Array et l’appel à __isset() après vérification de sécurité.

    Voir l’article officiel de Symfony.

    Conclusion et recommandations de LRob

    Ces huit failles montrent que même les frameworks les plus robustes comme Symfony ne sont pas à l’abri de vulnérabilités de sécurité. Heureusement, l’équipe Symfony a réagi rapidement pour fournir des correctifs. Et comme il se doit, les failles n’ont été rendues publiques qu’après leur correctif. Si vous utilisez Symfony, assurez-vous de mettre à jour dès que possible pour protéger vos applications et vos utilisateurs.

    N’oubliez jamais qu’aucune solution logicielle n’est exempte de failles de sécurité. Votre vigilance doit être continue et les mise à jour régulières restent la meilleure ligne de défense face aux failles de sécurité et aux cybermenaces.

    Chez LRob, nos serveurs offrent une sécurité optimale :

    • Pas de faille Windows : Nos serveurs étant sous Linux, ils ne sont pas affectés par les failles spécifiques à Windows.
    • Mise à jour applicatif serveur : Les logiciels serveur sont mis à jour quotidiennement et monitorés en 24/7.
    • Pare-feu ModSecurity : En filtrant activement les requêtes malveillantes, notre pare-feu protège vos applications.
    • Sauvegardes externalisées : Nous disposons de sauvegardes externalisées quotidiennes pour faciliter la récupération de données en cas d’incident, et vous pouvez aussi réaliser vos propres sauvegardes vers le FTP de votre choix (par exemple via un VPS Storage Cloud de PulseHeberg) via Plesk.
    Contactez-nous pour plus d’informations
    Choisissez votre hébergement LRob
  • Quelles nouveautés dans Nextcloud 30 ?

    Quelles nouveautés dans Nextcloud 30 ?

    Comme tous les 6 mois, Nextcloud vient de sortir sa nouvelle version majeure. Les notes de mises à jour officielles sont assez limitées et personne n’a envie de lire le changelog complet… Avec 2.363 changements cumulés sur Nextcloud 30.0.0 et 30.0.1.

    Correctifs, nouveautés, améliorations, mises à jour de dépendances, etc. Tout cela est assez complexe à analyser et résumer. Heureusement, ChatGPT peut nous résumer et mettre tout ça en forme (plus de 2.400 lignes de texte et 172.879 caractères).

    Alors pour gagner des heures dans votre vie, voici le résumé ChatGPT de ce qu’il faut retenir des changelogs Nextcloud 30 :

    1. Mises à jour du système et de la base de données :
      • PHP 8.0 n’est plus supporté, tandis que PHP 8.1 est obsolète mais toujours utilisable.
      • Le support pour MariaDB 10.3 et 10.5 et PostgreSQL 9.4 ont été retirés.
    2. Améliorations de la configuration :
      • De nouveaux paramètres dans le fichier de configuration ont été introduits, et certains sont dépréciés :
        • L’option blacklisted_files est remplacée par forbidden_filenames.
        • De nouvelles options comme forbidden_filename_basenames et forbidden_filename_extensions permettent de mieux contrôler les noms de fichiers et extensions bloqués.
      • Amélioration de la gestion des images WebP dans la configuration des serveurs web.
    3. Gestion des fichiers et des dossiers :
      • Les utilisateurs peuvent désormais voir l’emplacement d’origine des fichiers supprimés dans la corbeille, et certains attributs de fichiers/dossiers sont hérités pour préserver l’état de partage.
      • Amélioration des aperçus de fichiers : les aperçus pour les PDF utilisent désormais le nouveau fournisseur ImaginaryPDF.
    4. Performances et optimisation :
      • Plusieurs améliorations de performance, notamment le chargement différé de certaines fonctionnalités comme la génération des métadonnées, et une meilleure gestion des tâches cron pour réduire la charge du serveur.
      • Amélioration du tri et des fonctions de glisser-déposer dans la gestion des fichiers, avec un meilleur support pour les fichiers cachés.
    5. Sécurité et gestion des utilisateurs :
      • Introduction d’une API de traitement des tâches pour gérer plus efficacement les tâches en arrière-plan.
      • Nouvelles fonctionnalités de sécurité, comme un contrôle plus strict des CSRF, une meilleure gestion des mots de passe pour les partages de fichiers, et un nettoyage automatique des mots de passe d’applications inutilisés.
      • Améliorations pour LDAP, avec une meilleure synchronisation des utilisateurs et groupes, et un journalisation améliorée des connexions LDAP.
    6. Interface utilisateur et personnalisation :
      • Améliorations de l’interface utilisateur, avec une séparation des couleurs primaires et de fond pour un menu d’en-tête plus propre, et des améliorations dans les couleurs de l’interface.
      • Introduction de Vue.js pour plusieurs dialogues, remplaçant les anciens composants de jQuery UI pour une meilleure expérience utilisateur.
      • Mises à jour du tableau de bord avec des améliorations de la mise en page et des API pour plus de personnalisation.
    7. Collaboration et partage améliorés :
      • Nouvelles options pour les demandes de fichiers, permettant de solliciter des fichiers de la part d’autres utilisateurs plus facilement.
      • Améliorations diverses des capacités de partage, incluant une gestion améliorée des dates d’expiration pour les partages publics et des options de protection par mot de passe.
    8. Corrections de bogues et divers :
      • Corrections liées à la gestion des sessions, à la gestion des erreurs, et à l’intégration LDAP.
      • Améliorations dans la gestion de certains types de fichiers, la synchronisation des calendriers, et les notifications utilisateurs.

    Ces changements mettent l’accent sur la performance, la sécurité, et l’amélioration de l’expérience utilisateur, tant dans les paramètres d’administration que dans la gestion quotidienne des fichiers.

    Mise à jour pour les clients Nextcloud chez LRob

    La version 30 de Nextcloud entre en phase de test de notre côté pour prévoir le déploiement plus large à tous les clients.

    Si tout fonctionne bien, alors la mise à jour sera effectuée pour les clients bénéficiant d’un hébergement Nextcloud avec mises à jour incluses chez LRob dans le week-end du 2 et 3 novembre.

    Bon travail collaboratif à tous !

  • Conflit WordPress vs WP Engine : ACF devient Secure Custom Fields

    Conflit WordPress vs WP Engine : ACF devient Secure Custom Fields

    Le conflit entre Matt Mullenweg, fondateur de WordPress et WP Engine continue de secouer la communauté WordPress. Le dernier développement dans cette affaire concerne un plugin majeur de l’écosystème : Advanced Custom Fields (ACF). Depuis le 12 octobre 2024, ACF a été entièrement remplacé sur le répertoire officiel de WordPress.org par Secure Custom Fields (SCF), un fork mis en place par l’équipe de sécurité de WordPress.

    L’annonce officielle a été faite via un billet de blog sur WordPress.org. Voici ce qu’il faut retenir.

    Déplier : Rappel du conflit global

    Ce conflit autour d’ACF est l’une des nombreuses étapes dans la tension croissante entre Matt Mullenweg et WP Engine. La relation entre ces deux acteurs majeurs de l’écosystème WordPress a dégénéré en raison de divergences sur la gestion de la marque WordPress, la gouvernance du projet, et certaines pratiques commerciales de WP Engine. Ces tensions se sont intensifiées lorsque Mullenweg a critiqué ouvertement WP Engine, l’accusant de nuire à l’écosystème en désactivant certaines fonctionnalités cruciales (comme l’historique des révisions), et de brouiller les cartes avec l’utilisation de la marque « WP ».

    Ce conflit pose des questions sur la gouvernance de WordPress et la gestion de l’open source dans un environnement où les intérêts commerciaux sont en jeu.

    Pour une analyse plus approfondie du début de ce conflit, consultez le précédent article : Conflit WordPress vs WP Engine : analyse du drama.

    Un changement officiellement motivé par la sécurité

    Dans un billet publié le 12 octobre 2024, Matt Mullenweg a annoncé la création de Secure Custom Fields en tant que fork d’ACF pour répondre à une faille de sécurité critique découverte dans le plugin d’origine.

    Cela est tout à fait possible et justifiable grâce à l’invocation du point 18 des guidelines WordPress.

    « 18. Nous nous réservons le droit de gérer le répertoire des plugins au mieux de nos capacités. »

    Point 18 des guidelines WordPress

    Secure Custom Fields remplace ainsi totalement ACF sur WordPress.org et tous les sites qui utilisaient ACF via ce dépôt passeront automatiquement à SCF lors de la mise à jour.

    On ne peut pas s’empêcher de penser que les tensions entre les deux entreprises n’y sont pas pour rien dans cette décision. Mais nous ne sommes cependant pas à la place de Matt Mullenweg, qui, intelligent et au service du projet WordPress, a probablement de bonnes raisons de faire ce choix.

    La réaction de l’équipe ACF

    Face à ce changement, l’équipe ACF a exprimé sa déception et son inquiétude dans un article publié sur leur blog officiel. Ils dénoncent une décision qu’ils jugent unilatérale et qui, selon eux, va à l’encontre des principes de l’open source. Depuis leur intégration à WP Engine, ils ont continuellement travaillé sur le développement d’ACF avec plus de 200 000 lignes de code et de nombreuses améliorations, tant sur le plan fonctionnel que sécuritaire.

    Voici ce qu’ils déclarent dans leur billet :

    « Nous sommes consternés par les actions de Matt Mullenweg, qui a unilatéralement et sans notre consentement pris le contrôle du plugin Advanced Custom Fields, un outil que nous développons activement pour la communauté WordPress depuis 2011. »

    Extrait traduit du post original sur le blog ACF

    L’équipe ACF indique que les utilisateurs d’ACF Pro ou ceux hébergés sur WP Engine et Flywheel ne sont pas concernés par ce changement et continueront de recevoir les mises à jour directement via WP Engine. En revanche, ceux utilisant la version gratuite d’ACF sur d’autres hébergements doivent télécharger manuellement la version 6.3.8 d’ACF depuis leur site pour continuer à bénéficier des mises à jour de leur côté.

    ACF indique comment continuer d’utiliser sa propre version du plugin en cas d’utilisation de la version gratuite d’ACF chez un hébergeur autre qu’eux-même (WP Engine).

    Il joue enfin la carte de la fidélité sur son site avec un encart spécial sur l’accueil :

    Encart sur la page d’accueil d’ACF

    « Vous faites confiance à ACF depuis plus de dix ans. Les experts qui maintiennent ACF continueront à soutenir et à améliorer les fonctionnalités que nos utilisateurs apprécient et en lesquelles ils ont confiance. »

    WP Engine bannis de WordPress.org

    On le rappelle, WP Engine est totalement banni de WordPress.org, ce qui signifie que leurs autres plugins ne peuvent plus être maintenus.

    On pense notamment à Better Search Replace (1+ million installations actives), ou à PHP Compatibility Checker (200 000+ installations actives).

    Néanmoins ces plugins sont moins essentiels qu’ACF et peuvent être remplacés par Update URLs et Query Monitor pour ne citer qu’eux.

    Impact pour les utilisateurs

    Différences entre ACF et SCF

    Pour l’heure, les deux plugins gratuits sont fonctionnellement identiques car le « fork » est très récent. Il faudra donc suivre leurs évolutions respectives afin d’observer si l’un d’eux se démarque par sa stabilité, sécurité, ou ses fonctionnalités.

    On peut envisager qu’ACF finisse par être intégré au core WordPress. Restons patients, l’avenir nous le dira.

    Version payante d’ACF

    Pour la version payante d’ACF et les clients WP Engine, il n’y a aucun changement à prévoir.

    Version gratuite d’ACF

    Si vous utilisez la version gratuite d’ACF sur la vraie version originale de WordPress.org, chez un hébergeur indépendant comme LRob :

    • Lors de mise à jour de vos plugins, ACF sera transformé en SCF, puis maintenu par la communauté WordPress
    • Si vous n’êtes pas d’accord, vous pouvez revenir à la version gérée par ACF en réinstallant le plugin depuis leurs sources

    Autres plugins de WP Engine

    Si vous utilisez d’autres plugins de WP Engine, songez à leur trouver un remplaçant si ces derniers ne voient pas leur accès à WordPress.org restauré.

    Conclusion

    Bien que ce conflit puisse soulever des inquiétudes, il faut se rappeler que Matt Mullenweg a toujours eu pour objectif de maintenir l’intégrité et la sécurité de l’écosystème WordPress. Secure Custom Fields a été introduit dans cet esprit et malgré les critiques, Mullenweg reste une figure respectée dans la communauté.

    En attendant que la situation s’éclaircisse davantage, restons prudents sur nos avis et à restons attentifs aux mises à jour et aux news à ce sujet.

    D’ici là, offrez le meilleur à vos sites WordPress avec un hébergement rapide, pratique et sécurisé !

  • Documentation LRob : Migration de MediaWiki à WordPress

    Documentation LRob : Migration de MediaWiki à WordPress

    Remplacer un wiki par WordPress : une solution plus simple pour la documentation

    Chez LRob, la gestion de la documentation est essentielle, mais elle était jusqu’à récemment assurée par MediaWiki. Bien que cet outil soit efficace pour des projets collaboratifs, il devient lourd et compliqué à gérer quand on est seul à rédiger et maintenir la documentation.

    C’est en travaillant sur un site WordPress aux nombreuses pages utilisées comme des catégories que l’idée m’est venue : pourquoi ne pas utiliser WordPress pour gérer la documentation, sans plugin supplémentaire ?

    Pourquoi passer à WordPress ?

    WordPress, qui fait tourner www.lrob.fr, offre déjà toutes les fonctionnalités de base nécessaires pour organiser la documentation, sans avoir à installer de plugin supplémentaire. Voici quelques avantages natifs qui m’ont poussé à faire la transition :

    • Hiérarchie des pages : Créer des pages et des sous-pages, comme dans un wiki, est très simple grâce à la structure native de WordPress.
    • Bloc Gutenberg pour l’arborescence : Il existe un bloc permettant d’afficher l’arborescence des sous-pages d’une page parente, facilitant la navigation dans la documentation.

    Pour compléter cette configuration, j’ai utilisé RankMath SEO, déjà présent sur lrob.fr, qui m’a aidé à intégrer deux fonctionnalités clés pour un site de documentation :

    • Breadcrumbs : Un fil d’Ariane pour améliorer la navigation et le référencement.
    • Sommaire automatique : Un index des titres et sous-titres, idéal pour des pages bien structurées comme dans un wiki.

    En prime, le wiki pourra être traduit automatiquement en anglais grâce à TranslatePress et l’API DeepL qui fait des miracles.

    La transition vers WordPress

    Le 17 Octobre au soir, j’ai donc transféré la documentation sur WordPress. L’éditeur de blocs Gutenberg a rendu le processus facile, en conservant les titres, listes, et liens lors du copier-coller depuis MediaWiki. Ensuite, j’ai mis en place des redirections 301 du wiki vers les nouvelles pages de documentation sur WordPress, puis j’ai désactivé l’ancien wiki.

    Ce matin, j’ai profité de cette migration pour réorganiser et améliorer une partie de la documentation, avec une mise en page plus claire et plus moderne, tout en ajoutant des liens internes pour une meilleure navigation.

    Un résultat plus simple et efficace

    Le passage à WordPress simplifie la gestion de la documentation. Non seulement cela m’a permis d’éliminer les lourdeurs de maintenance de MediaWiki, mais c’est aussi une solution plus flexible et facile à utiliser pour moi, tout en offrant un contenu plus accessible à mes clients.

    Grâce à RankMath SEO, la documentation est mieux structurée et plus optimisée pour le SEO, ce qui devrait améliorer sa visibilité en ligne.

    Vous pouvez consulter la nouvelle documentation ici : https://www.lrob.fr/doc/

  • Blacklists (RBL) : Pratiques scandaleuses de SPFBL.net

    Blacklists (RBL) : Pratiques scandaleuses de SPFBL.net

    Il est temps de dénoncer une organisation – SPFBL.net – qui, bien qu’elle prétende lutter contre le spam, semble en réalité adopter des pratiques contraires à cet objectif. Au lieu de remplir son rôle, ce prestataire semble profiter de sa position pour mener des pratiques absolument scandaleuses et inacceptables.

    Toutes les RBL ne sont pas gérées de manière éthique. L’exemple du jour est celui de SPFBL.net, une RBL brésilienne née en 2015 (source MXToolbox), qui est de plus en plus mise en lumière pour ses pratiques largement contestables.

    Info : Qu’est-ce qu’une RBL ?

    Une RBL (Real-time Blackhole List) est une liste d’adresses IP suspectées d’envoyer du spam ou d’autres contenus malveillants. Les serveurs de messagerie s’appuient sur ces listes pour bloquer ou filtrer les e-mails potentiellement dangereux.

    Dans cet article, nous allons décortiquer cette situation et expliquer pourquoi les pratiques de cette entreprise sont non seulement douteuses, mais potentiellement nuisibles à l’ensemble de l’écosystème internet si des administrateurs décident d’utiliser cette RBL. Nous verrons également comment combattre ces pratiques.

    L’avis des utilisateurs et fournisseurs de services confrontés à la blacklist SPFBL

    Commençons par montrer l’avis général ressortant de cette blacklist. Une rapide recherche sur les moteurs de recherche montre que les forums (en anglais) sont remplis de personnes criant au scandale et à l’arnaque au sujet de SPFBL.net.

    Pour avoir contacté leur support (je vous détaille cela ensuite), je serais plutôt de leur avis… Jugez par vous-même.

    « I contacted the operator of this spfbl.net and he threatened me with getting my IP’s blocked throughout the internet, how can something like this be allowed to happen. »

    OPALIT

    « We got flagged because we don’t have a contact email in our whois record (we have privacy turned on for it). Given that google.com also has that, I conclude that these guys are just a scam who want to be paid to have your domain unrestricted. »

    someexgoogler

    Le cas LRob : une blacklist manifestement injustifiée

    Le serveur d’infrastructure LRob est un exemple parfait d’un système configuré et géré avec soin depuis plusieurs années. En tant qu’administrateur système de ce serveur, je peux affirmer avec certitude qu’aucun spam n’a jamais été envoyé depuis cette machine. De plus, tous les paramètres essentiels sont correctement mis en place : Hostname, rDNS, MX, SPF, DKIM, et DMARC.

    Malgré ces mesures exemplaires de conformité, l’IPv6 du serveur s’est retrouvée sur la liste noire de SPFBL.net.

    SPFBL / DNSBL abusive blacklising example

    Check result of IP
    2a01:4f8:171:28e8:0:0:0:2

    This is the rDNS found:

    A domain is considered non-compliant when the WHOIS search result for that domain does not contain the email address of the domain owner. Update the registration data and remove privacy protection for this domain in WHOIS and wait one hour for the cached result of this WHOIS query to expire.

    This IP was flagged due to misconfiguration of the e-mail service or the suspicion that there is no MTA at it.

    For the delist key can be sent, select the e-mail address responsible for this IP:

    • add a PayPal user’s email for 2.00 USD.

    The rDNS must be registered under your own domain. We do not accept rDNS with third-party domains.

    Résumé des échanges avec le support de SPFBL.net

    J’ai bien-sûr contacté la RBL pour vérifier si j’avais bien compris leur politique et s’il était possible de discuter en bonne intelligence. Résultat : oui, j’avais bien compris, et non, il ne me semble pas possible de discuter en bonne intelligence avec eux en l’état.

    Voici un résumé ChatGPT des échanges par mail :

    1. Demande initiale (Robin) : Robin, administrateur système, a contacté SPFBL pour demander de l’aide concernant la suppression de son adresse IPv6 de leur liste noire DNS. Il souhaitait obtenir des précisions sur les raisons de l’inscription et des conseils pour corriger d’éventuelles mauvaises configurations, suspectant un lien avec la protection de la confidentialité WHOIS.
    2. Réponse (Leandro) : Leandro, de SPFBL, a répondu en demandant à Robin de retirer temporairement la protection de la confidentialité WHOIS afin de pouvoir retirer l’IP via leur outil de suppression en ligne.
    3. Préoccupations (Robin) : Robin a exprimé des inquiétudes quant à l’exigence de retirer la protection de la confidentialité WHOIS, invoquant les réglementations du RGPD. Il a remis en question la nécessité d’exposer des données personnelles, soulignant qu’aucun rapport d’abus n’avait été émis sur son domaine.
    4. Explication (Leandro) : Leandro a expliqué que leur système utilisait les données du propriétaire du domaine pour prédire le spam et associer des domaines sous le même titulaire. Il n’a pas fourni d’autres justifications pour cette politique.
    5. Objection (Robin) : Robin a contesté l’utilité des informations WHOIS pour évaluer le comportement d’une IP, qualifiant la politique de SPFBL de contre-productive. Il a réitéré que son IP ne présentait aucun risque et a demandé sa suppression de la liste noire.
    6. Options (Leandro) : Leandro a proposé deux options pour la suppression : retirer temporairement la protection WHOIS ou payer des frais.
    7. Réponse ferme (Robin) : Robin a fermement rejeté les deux options, qualifiant cette pratique de malhonnête et assimilable à une escroquerie. Il a souligné que son IP était conforme et a menacé de prendre des mesures légales si le problème n’était pas résolu.
    8. Réponse finale (Leandro) : Leandro a rejeté les menaces légales de Robin, affirmant que SPFBL respecte les lois américaines et l’invitant à poursuivre toute action légale qu’il jugerait appropriée.
    9. Dernier avertissement (Robin) : Robin a rappelé que l’internet est un système global et qu’aucune localisation ne justifie de nuire à des entreprises légitimes à travers des pratiques éthiques douteuses. Il a confirmé son intention de prendre les mesures nécessaires, en précisant que ses contacts identifieraient les autorités locales compétentes si nécessaire.

    Ces échanges ont eu lieu entre le 8 et le 9 septembre 2024.

    Par ailleurs, je dispose d’un log qui montre qu’ils ont tenté d’envoyer un mail à une adresse inexistante pour test, pouvant vérifier par eux-même la bonne configuration du serveur qui a donc rejeté ce mail :

    Oct  9 14:55:13 ds postfix/smtpd[899530]: connect from matrix.spfbl.net[54.233.253.229]
Oct  9 14:55:14 ds postfix/smtpd[899530]: NOQUEUE: reject: RCPT from matrix.spfbl.net[54.233.253.229]: 550 5.1.1 <inexistent-feature-check-192715907d9@lrob.net>: Recipient address rejected: User unknown in virtual mailbox table; from=<admin@spfbl.net> to=<inexistent-feature-check-192715907d9@lrob.net> proto=ESMTP helo=<matrix.spfbl.net>
Oct  9 14:55:14 ds postfix/smtpd[899530]: disconnect from matrix.spfbl.net[54.233.253.229] ehlo=1 mail=1 rcpt=0/1 quit=1 commands=3/4
Oct  9 14:55:14 ds psa-pc-remote[2023328]: Message aborted.

    Le cas SPFBL.net : une pratique abusive

    Le cas de SPFBL.net met en lumière des pratiques alarmantes qui vont à l’encontre de la protection des données et des standards éthiques que de nombreuses autres RBL respectent.

    En particulier, cette RBL blacklist des IP selon des critères abusifs, puis impose des conditions très problématiques pour le délistage d’adresses IP.

    Décortiquons les « règles pour un délistage gratuit » selon la politique affichée sur leur site le 9 Septembre 2024, qui nous informe également sur les raisons possibles au blacklistage initial :

    Only IP with rDNS pointing to the same mail server IP will be accepted, with FCrDNS validation;❌ Ce critère est certes standard, mais cette vérification devrait être effectuée par le serveur destinataire de l’e-mail, pas par une RBL, qui ici n’apporte aucune valeur ajoutée.
    The rDNS must be in the domain of the MTA administrator, so third-party domains such as the generic rDNS of the data-center or ISP will not be accepted, and its TLD cannot be free and must have a public and accessible WHOIS without privacy obfuscation;❌ L’administrateur peut très bien infogérer les mails d’un tiers, comme dans mon cas où le MTA est « lrob.net » et l’administration est faite via « lrob.fr ». Cela ne devrait pas justifier un blocage.
    ❌ Bloquer les rDNS génériques peut être une bonne pratique, mais cela relève du serveur destinataire, pas d’une RBL.
    ❌ Exiger un WHOIS public contrevient au RGPD en Europe. Le droit d’envoyer des mails ne devrait pas dépendre de la visibilité des informations personnelles dans le WHOIS.
    The postmaster account must be configured for the domain registered on the rDNS and the account must be active and responding;❌ Les rDNS sont souvent des sous-domaines techniques, comme « ds.lrob.net ». Avoir une adresse e-mail du type « postmaster (at) ds.lrob.net » n’a aucun sens. Le postmaster peut être contacté via d’autres canaux plus appropriés, comme un formulaire de contact ou une adresse principale.
    If you are using an IPv6 with SLAAC flag, you must keep port 25 opened to proof the existence of an active SMTP service and❌ Bien que le serveur doive effectivement écouter sur le port 25 pour assurer le bon fonctionnement du SMTP, c’est encore une fois au serveur destinataire de vérifier cela, pas à une blacklist de le contrôler.
    Reputation of IP should be below 25% of negative points per total send volume✅ Ce critère est cohérent avec le principe même d’une RBL, qui évalue la réputation d’une adresse IP en fonction de son comportement réel.

    Voyons aussi les conditions payantes :

    Only static IPs with configured mail server reverse, even if FCrDNS is invalid;❌ Sous prétexte de payer, on permettrait d’avoir un rDNS invalide, ce qui est contraire aux normes de configuration des e-mails. C’est un contournement des bonnes pratiques, qui pourrait permettre l’envoi de courriers mal configurés.
    A PayPal account is required for the email address of this account to be assigned to the IP, as responsible for the abuse;❌ Forcer l’utilisation de PayPal pour attribuer une adresse IP à un compte est une restriction injustifiée. Cela limite les options des utilisateurs et n’a aucune raison légitime dans un cadre technique.
    The PayPal user must agree to have their email address shown publicly on this platform as responsible for the abuses of that IP and❌ Exposer publiquement l’adresse email associée au compte PayPal est une atteinte à la vie privée et peut entraîner des risques de harcèlement ou d’abus. Cela va clairement à l’encontre des principes de confidentialité.
    Reputation of IP should be below 25% of negative points per total send volume.✅ Ce critère est acceptable et s’aligne avec le principe d’évaluation de la réputation d’une adresse IP sur la base de son comportement effectif, comme attendu d’une RBL.

    En somme, cette blacklist me semble tenter de réinventer la roue avec des règles de blocage qui ne font strictement aucun sens d’un point de vue technique.

    Quand aux conditions de délisting, même dans sa version payante, les conditions restent abusives. De mon point de vue, cela devrait déjà, à ce stade, avoir dissuadé tout sysadmin d’utiliser cette RBL.

    Le but semble bien-sûr être de faire du profit sur le dos des utilisateurs tout en récupérant des données personnelles.

    Résumé des problèmes de SPFBL.net

    Plusieurs problèmes majeur remettent en question le bienfondé de leurs pratiques et leur impact négatif sur les entreprises légitimes.

    Voici les principaux points à retenir :

    1. Exposition des données privées WHOIS
      SPFBL.net exige que les administrateurs retirent la protection de leur WHOIS pour être retirés de leur liste noire. Cela signifie que des informations personnelles et sensibles, comme l’adresse email du propriétaire du domaine, doivent être publiquement accessibles pour que l’adresse IP ne soit plus blacklistée. En Europe, cette demande est en totale contradiction avec le RGPD (Règlement Général sur la Protection des Données), qui garantit la protection des données privées des utilisateurs. Les informations contenus dans le WHOIS sont privées par défaut depuis plusieurs années. Cette exigence exposerait les administrateurs système et les entreprises à des risques d’abus ou de spams ciblés, ce qui est contraire aux bonnes pratiques en matière de sécurité et de confidentialité.
    2. Paiement pour la délistage
      En plus de la suppression de la protection WHOIS, SPFBL.net propose également une alternative : payer 2 dollars pour retirer une adresse IP de la liste noire. Cette pratique est perçue par beaucoup comme une forme de chantage. Exiger un paiement pour rétablir la légitimité d’une adresse IP, alors qu’il n’y a aucune preuve d’activité suspecte ou malveillante, remet en question la transparence de leurs opérations. Cette approche pousse probablement de nombreuses entreprises légitimes à payer simplement pour éviter les désagréments causés par le blacklistage.
    3. Un modèle de détection inefficace
      Regrouper les domaines en fonction des informations WHOIS ignore les réalités du web moderne, où de nombreuses entreprises légitimes utilisent des infrastructures partagées, hébergées par des fournisseurs comme Google ou OVH. En conséquence, des adresses IP pourraient être injustement blacklisted simplement parce qu’elles partagent un propriétaire de domaine avec d’autres utilisateurs, sans considération pour leur comportement réel.

    Un impact potentiel très grave

    Les conséquences de ces pratiques sont nombreuses et graves pour l’écosystème internet :

    1. Impact sur les entreprises : Lorsqu’une adresse IP est bloquée à tort, cela peut affecter la capacité d’une entreprise à communiquer par e-mail avec ses clients, partenaires ou prestataires. Les erreurs de détection ou les exigences abusives peuvent ainsi perturber le bon fonctionnement d’une entreprise.
    2. Chantage et extorsion : Demander de l’argent pour supprimer une adresse IP d’une liste noire sans preuve d’activité malveillante s’apparente à de l’extorsion. Cette approche nuit gravement à la confiance entre les fournisseurs de services internet et leurs clients.
    3. Violation de la confidentialité : En demandant la suppression de la protection WHOIS, SPFBL.net viole les principes fondamentaux de la protection des données personnelles, particulièrement en Europe, où le RGPD (Règlement Général sur la Protection des Données) protège les informations privées des utilisateurs. En exposant ces données, SPFBL.net expose les administrateurs système et les entreprises à des risques d’abus.

    Que faire en tant que fournisseur de services sur internet ?

    1. Cessez d’utiliser cette RBL immédiatement

    Nous devons tous enjoindre nos relations chez les grands fournisseurs de services à ne surtout PAS utiliser cette RBL.

    Il est absolument indispensable que les fournisseurs de services internet cessent d’utiliser SPFBL.net et d’autres RBL qui ne respectent pas les standards éthiques. Une autre RBL de ce type est également UCEPROTECT qui blacklist des blocks d’IP complets et demande ensuite de l’argent à chacun des usagers des IP pour les débloquer.

    L’utilisation d’une RBL douteuse peut entraîner des conséquences néfastes pour les utilisateurs finaux, les entreprises et l’ensemble de l’écosystème numérique.

    Il existe de nombreuses alternatives respectables qui se concentrent sur la détection des activités malveillantes en se basant sur des comportements réels, et non sur des informations privées ou des regroupements arbitraires de domaines. Les administrateurs système doivent rester vigilants et choisir des solutions qui respectent la vie privée et qui suivent des pratiques équitables et transparentes.

    2. Ne cédez pas

    Si comme moi vous êtes victime de cette RBL et estimez que ces pratiques sont abusives, ne cédez surtout pas aux prérequis scandaleux de cette RBL. Au contraire, battez-vous à mes côtés.

    3. Dénoncez ces pratiques aux autorités compétentes

    Faites jouer vos relations pour que cela remonte aux CSIRT français (Computer Security Incident Response Team), à l’ANSSI mais également à la CNIL pour non respect de la RGPD. Si vous avez des contacts au niveau européen, relayez l’info. Si vous êtes en dehors de France ou d’Europe, contactez les organismes à votre portée, et n’hésitez pas à vous appuyer sur cet article pour expliquer le problème.

    Si vous n’avez pas de contact mais que vous comprenez l’enjeu, relayez également l’info à des personnes du domaine de l’hébergement et du sysadmin web.

    Conclusion

    L’affaire SPFBL.net est un exemple flagrant des dangers des pratiques douteuses de certaines RBL.

    On comprend que celui qui se prétend combattre les « méchants » n’est pas toujours « gentil » lui-même.

    Pour protéger l’intégrité de l’internet et le respect des utilisateurs, il est impératif que les fournisseurs de services internet cessent d’utiliser cette RBL et privilégient les solutions plus respectueuses disponibles.

    Confrères sysadmin : ne cédez surtout pas aux prérequis grotesques de cette RBL.

    LRob ne cèdera pas, cet article marque d’ailleurs le début d’une lutte qui ne s’arrêtra qu’une fois que la communauté aura eu gain de cause. Cela est possible, en contactant les bonnes personnes. Et vous pouvez aider à ce combat.

    Si vous êtes confronté aux pratiques abusives de SPFBL.net, rejoignez-nous pour dénoncer ces actions et protéger l’intégrité de l’écosystème internet. Contactez les autorités compétentes, partagez cette information dans vos réseaux professionnels, et refusez de céder à ces pratiques déloyales.

  • Conflit WordPress vs WP Engine : analyse du drama

    Conflit WordPress vs WP Engine : analyse du drama

    Le monde de WordPress, qui alimente plus de 40 % des sites web dans le monde, est en pleine ébullition. Au centre du conflit se trouvent deux acteurs majeurs de l’écosystème : Matt Mullenweg, fondateur de WordPress et CEO d’Automattic, et WP Engine, une des principales entreprises d’hébergement pour WordPress.

    Cet affrontement, qui a pris des proportions juridiques, soulève des questions cruciales sur le contrôle de la marque WordPress, l’open source, et la gouvernance de l’un des projets les plus influents du web. Voici une analyse détaillée de cette affaire et des enjeux qu’elle représente.

    Contexte : WordPress et WP Engine

    WordPress et Automattic : une relation complexe

    WordPress, lancé en 2003 par Matt Mullenweg et Mike Little, est un logiciel open source permettant de créer et gérer des sites web. Il est gratuit et bénéficie du soutien d’une large communauté de développeurs qui contribuent à son amélioration continue. Cependant, la gouvernance du projet repose en grande partie sur Automattic, la société fondée par Mullenweg. Automattic gère notamment WordPress.com et d’autres produits populaires comme WooCommerce et Jetpack.

    Bien que WordPress soit open source, Automattic détient une licence exclusive pour l’utilisation de la marque WordPress, ce qui donne à l’entreprise un rôle central dans l’écosystème. Cela inclut la protection de la marque contre des utilisations perçues comme abusives ou trompeuses.

    WP Engine : un gros acteur de l’hébergement WordPress

    De son côté, WP Engine est l’un des plus grands services d’hébergement spécialisés dans WordPress. L’entreprise propose des solutions d’hébergement optimisées pour WordPress, facilitant la gestion des sites web pour des millions d’utilisateurs. Elle a connu une croissance rapide, attirant des investisseurs de premier plan comme Silver Lake.

    Cependant, WP Engine n’est pas directement affilié à Automattic ni à la WordPress Foundation, bien que son nom et son modèle économique soient étroitement liés à WordPress.

    Le Début du Conflit : Mullenweg vs WP Engine

    En septembre 2024, Matt Mullenweg a publié un billet de blog dans lequel il critiquait ouvertement WP Engine, qualifiant l’entreprise de “cancer pour WordPress”. Il reprochait à WP Engine de désactiver par défaut la fonctionnalité d’historique des révisions des articles, une pratique qui, selon lui, compromettait la protection des données des utilisateurs.

    Mullenweg a également dénoncé l’utilisation par WP Engine de la marque “WP”, estimant que cela créait une confusion chez les utilisateurs, leur faisant croire que WP Engine faisait partie de WordPress ou avait un lien officiel avec la WordPress Foundation.

    La Réaction de WP Engine

    Face à ces accusations, WP Engine a répliqué en envoyant une lettre de cessation et de désistement à Mullenweg et à Automattic, exigeant qu’ils retirent leurs déclarations. WP Engine a défendu son utilisation de la marque « WP », affirmant que cela relevait de l’usage loyal du nom, conformément à la loi sur les marques. La société a également accusé Mullenweg d’avoir menacé d’adopter une “approche nucléaire” contre WP Engine à moins qu’elle n’accepte de payer une redevance substantielle pour l’utilisation de la marque WordPress.

    L’escalade juridique : cessez-le-feu et contre-attaques

    En réponse à la lettre de WP Engine, Automattic a émis sa propre lettre de cessation et de désistement, affirmant que WP Engine violait les règles d’utilisation des marques WordPress et WooCommerce.

    Le conflit a atteint un nouveau sommet lorsque Mullenweg a pris la décision radicale de bannir WP Engine des ressources de WordPress.org. Ce ban a bloqué les sites hébergés sur WP Engine de l’accès aux mises à jour des plugins et des thèmes, exposant de nombreux sites à des risques de sécurité. Cette mesure a été largement critiquée au sein de la communauté WordPress, car elle a laissé de petites entreprises et des sites indépendants sans solution viable.

    WP Engine a dénoncé cette décision, accusant Mullenweg d’abus de pouvoir et de mettre en danger l’ensemble de l’écosystème WordPress.

    Les répercussions pour la communauté WordPress

    Des utilisateurs pris en otage

    L’interruption des services WP Engine a eu un impact majeur sur de nombreux utilisateurs. Bien que les plugins et thèmes WordPress soient sous licence open source, les hébergeurs comme WP Engine doivent gérer des infrastructures pour que leurs clients puissent les utiliser. Le ban temporaire a révélé la fragilité de certaines dépendances techniques et a mis en lumière l’importance d’une gestion équilibrée des ressources open source.

    Mullenweg a toutefois affirmé que le conflit était strictement lié à des questions de marques et non à la gestion globale de WordPress. Le ban a été levé temporairement à la fin du mois de septembre, mais l’incident a semé des doutes dans la communauté.

    Automattic trop dominant ?

    De plus en plus de voix s’élèvent pour questionner la position dominante d’Automattic dans la gestion de WordPress. John O’Nolan, fondateur du CMS open source Ghost, a critiqué la centralisation excessive autour de Matt Mullenweg, affirmant que “40 % du web ne devrait pas être contrôlé par une seule personne”.

    De son côté, David Heinemeier Hansson, créateur de Ruby on Rails, a accusé Automattic de trahir les principes de l’open source en demandant à WP Engine de reverser 8 % de ses revenus. Pour lui, cette pratique pourrait avoir des répercussions bien au-delà de WordPress, menaçant l’ensemble de la communauté open source.

    Les implications juridiques et commerciales

    Le 3 octobre 2024, WP Engine a décidé de passer à l’offensive en déposant une plainte contre Automattic et Mullenweg pour abus de pouvoir et pratiques anticoncurrentielles. WP Engine accuse Automattic de ne pas avoir respecté ses engagements envers l’open source et de nuire aux intérêts des développeurs et des utilisateurs.

    Cette affaire est encore en cours, mais elle pourrait avoir des répercussions profondes sur la manière dont les marques et projets open source comme WordPress sont gérés à l’avenir.

    Un message spécial à la connexion sur WordPress.org

    Lors du login aux forums de WordPress.org, une nouvelle case à cocher est apparue :

    ✅ I am not affiliated with WP Engine in any way, financially or otherwise.

    Message inhabituel qui m’a poussé à rechercher cela et à découvrir cette affaire.

    Questions soulevées pour WordPress

    Cela touche essentiellement deux grandes entreprises américaines qui font une exploitation commerciale de WordPress (dans des modèles à mon avis trop modifiés de la version originale de WordPress). Version originale de WP qui est vraiment libre et que vous pouvez héberger où vous le souhaitez (et on l’espère, vous choisirez un hébergement LRob).

    Les hébergeurs indépendants tels que LRob, sommes pour l’heure totalement à l’abri de ce conflit. Pas de sonnette d’alarme pour nous, même si l’on reste vigilants.

    Ce conflit souligne en tout cas les tensions possibles lors d’une gestion de projet open source à grande échelle. Alors que WordPress reste une technologie essentielle pour des millions de sites, ce débat autour de la propriété des marques, de la gouvernance et de l’éthique de l’open source, soulève des questions.

    En particulier : Jusqu’où l’open source peut-il rester libre quand il est étroitement lié à des intérêts commerciaux massifs ?

    Source: techcrunch.com

  • Faille de sécurité critique dans CUPS sur GNU/Linux septembre-octobre 2024 : Ce que vous devez savoir

    Faille de sécurité critique dans CUPS sur GNU/Linux septembre-octobre 2024 : Ce que vous devez savoir

    Une quadruple faille de sécurité critique vient d’être découverte dans CUPS pour l’ensemble des systèmes GNU/Linux. Cet article sera mis à jour avec les nouvelles informations, pour vous offrir un résumé simple et efficace de ce qu’il faut savoir et des mesures à prendre.

    MAJ 29/09/2024 : Ces failles concernent bien uniquement CUPS, donc très peu de serveurs sont touchés, à moins que vous n’ayez des imprimantes en datacenter… ! Cet article a donc été réécrit en conséquence.

    Une faille critique : qu’est-ce qu’on sait ?

    Le chercheur en sécurité Simone Margaritelli, a découvert cet ensemble de failles début septembre.

    Cela concerne CUPS, le service d’impression de Linux. Le chercheur met en lumière une possible exécution de code à distance (Remote Code Execution, ou RCE) sans authentification. Cela signifie que des attaquants pourraient potentiellement exécuter des commandes sur des machines distantes sans avoir à s’identifier, ce qui rend la faille particulièrement dangereuse. Le score CVSS attribué à ces failles est situé entre 8.3 et 9.0/10 (après avoir été évalué à 9.9).

    Le 26 Septembre, Naïm Aouaichia, ingénieur cybersécurité nous alertait en indiquant avant tout le monde que cela pourrait concerner CUPS :

    « Certaines rumeurs évoquent que cette faille serait liée à des vulnérabilités dans CUPS, le service d’impression. Oui, vos imprimantes sont peut-être au centre de tout ça. À confirmer.

    D’après certaines hypothèses, le problème pourrait être lié à un buffer overflow ou à une race condition. »

    Extrait du post LinkedIn de Naïm Aouaichia, ingénieur cybersécurité

    Update 29/09/2024

    Comme Naïm le remonte le 28 Septembre, cette faille concerne bien CUPS, avec 4 CVE révélées :

    Cela ne concerne donc pas les serveurs dédiés sous firewall et/ou avec un service d’impression non lancé.
    Pour les administrateurs locaux utilisant CUPS, restez bien attentifs.

    Un problème qui date

    Cette vulnérabilité a la peau dure, puisqu’elle a été présente dans les systèmes GNU/Linux pendant plus d’une décennie. Elle affecte toutes les distributions Linux, y compris Debian, Ubuntu, RedHat et autres.

    Malgré l’importance de cette faille, il n’existe pour l’instant aucune correction disponible. Les développeurs continuent de débattre pour savoir quels aspects de la faille affectent réellement la sécurité, ce qui retarde la mise en place d’un correctif.

    Processus de divulgation

    Le chercheur Margaritelli, à l’origine de cette découverte, a travaillé sans relâche pendant trois semaines pour alerter la communauté open source et aider à la coordination des efforts de correction. Cependant, il a rencontré de nombreuses résistances de la part des développeurs, certains étant réticents à accepter l’existence de cette faille dans leur code. Cela souligne les défis auxquels est confrontée la gestion des vulnérabilités dans le monde open source.

    Certains l’accusent de vouloir augmenter sa cote de popularité. Mais il faut se rendre à l’évidence : Le chercheur a bel et bien découvert une grosse faille que tout le monde ignorait depuis plus de 10 ans.

    Canonical (Ubuntu) et RedHat ont confirmé la gravité de la situation et travaillent activement à une solution. La divulgation complète des détails techniques de la faille est prévue le 6 octobre, ce qui augmente la pression pour qu’un correctif soit publié rapidement.

    La roadmap est la suivante :

    • 30 Septembre : Divulgation initiale à la mailing list de sécurité « Openwall »
    • 6 Octobre : Révélation publique avec tous les éléments de la vulnérabilité

    Pourquoi c’est compliqué de corriger la faille ?

    Margaritelli a indiqué dès le début qu’il faudrait probablement au moins trois à six identifiants CVE (Common Vulnerabilities and Exposures) pour couvrir tous les aspects du problème. Cela signifie qu’il y a plusieurs vecteurs d’attaque potentiels, chacun nécessitant une analyse et une résolution spécifiques.

    Quels sont les risques pour vous ?

    De ce que l’on sait désormais, il faut absolument éviter d’exposer vos services IPP sur internet (port 631 à bloquer au niveau des firewalls).

    Bien que cette faille soit critique, elle n’est pas si facilement exploitable. Elle nécessite un haut niveau d’expertise technique, ce qui signifie que, pour l’instant, seuls des attaquants très qualifiés pourraient s’en servir. Les détails de la faille ne sont sont pas encore publics, limitant donc son impact. Mais cela ne doit pas vous rendre complaisant. Il faut rester vigilant, car une fois la divulgation complète effectuée, les tentatives d’exploitation vont se multiplier.

    Que faire en attendant ?

    Dans l’attente d’un correctif officiel, voici les bonnes pratiques à adopter pour limiter les risques :

    1. Surveillez les annonces officielles : Restez informé des mises à jour de sécurité publiées par votre distribution Linux. Ces annonces vous indiqueront quand un correctif est disponible.
    2. Renforcez la configuration de vos firewalls : Assurez-vous que vos serveurs ne sont pas exposés inutilement à Internet. Restreignez les accès aux ports essentiels et surtout, n’exposer pas le port 631 !
    3. Limitez l’exposition des services : Réduisez au minimum le nombre de services qui écoutent publiquement en coupant les services inutiles ou en les faisant écouter sur 127.0.0.1.
    4. Préparez-vous pour un déploiement rapide : Dès qu’un correctif est publié, soyez prêt à l’installer immédiatement pour protéger vos machines.
    5. Ré-évaluez vos sauvegardes : Assurez-vous d’avoir une bonne sauvegarde externalisée (chez LRob c’est déjà le cas mais on incite chacun à disposer de sa propre sauvegarde).

    Conclusion : rester vigilant mais serein

    Cette faille RCE est sans doute une des plus graves découvertes dans l’écosystème GNU/Linux depuis longtemps. Cependant, il est important de ne pas céder à la panique. Aucun système n’est exempt de failles et Linux reste le système d’exploitation le plus fiable et sécurisé. Il faut se rappeler que la plupart des serveurs n’ont pas de service CUPS en route, mais si c’est le cas, alors faites particulièrement attention. En adoptant les mesures de sécurité recommandées et en restant à l’écoute des annonces officielles, vous pouvez minimiser les risques. Le monde open source, réagit généralement rapidement et saura certainement surmonter cette épreuve efficacement, malgré les divergences internes inhérentes au travail collaboratif.

    Gardez un œil sur les correctifs à venir et assurez-vous que vos systèmes sont prêts à les recevoir. La sécurité informatique est un défi permanent, mais en restant proactif, vous vous assurez que vos serveurs et vos clients WordPress restent protégés.

    Chez LRob, on suit ça de très près, et si les serveurs ne sont pas affectés, je vous garantis qu’on corrigera quand même cette faille mondiale à l’instant où le patch sera disponible.

    Enfin, on rappelle à ceux qui vont arguer que « Linux n’est pas sécurisé » un petit comparatif Linux VS Microsoft.

    Comparatif des failles de sécurité Linux VS Microsoft sur 1 an
    Comparatif des failles de sécurité Linux VS Microsoft sur 11 ans

    En vérité : la sécurité à 100% n’existe jamais, quiconque prétend le contraire est un menteur ou un ignorant ! Laissez donc le dogmatisme de côté. Personne n’est épargné par les failles, il s’agit donc de faire au mieux et de rester vigilant pour rendre les intrusions les plus difficiles possibles.

    Sources :

  • Rentrée des adultes 2024 : Nouveautés et promos chez LRob

    Rentrée des adultes 2024 : Nouveautés et promos chez LRob

    💥Nouvelles offres & jusqu’à -30% en Septembre 💥
    De quoi booster sa rentrée ! Tous les détails 👇

    En septembre, les adultes font aussi leur rentrée !

    Et ça fait pile 1 an que j’ai quitté mon CDI pour me focaliser totalement sur l’activité LRob. Alors il faut marquer le coup.

    Le planning de septembre est chargé, donc allons à l’essentiel.

    ⭐ Nouveautés ⭐

    🟢 La migration vers LRob peut désormais être commandée depuis le portail LRob ! Avec 3 niveaux de service disponibles de 120 à 499€ (le dernier permet la migration de 50 boîtes mail de nuit !). 😎

    🟢 Les offres de webmastering ont évolué pour plus de flexibilité.
    Choisissez désormais l’hébergement et le niveau de webmastering souhaité séparément. Dans certains cas, cela peut faire de belles économies. 🔀

    🟢 L’offre WP ArticlePro AI se simplifie, à tarif réduit pour Septembre !
    La relecture, amélioration, mise en page de vos articles, avec désormais 2 images incluses, des options multilingue : à partir de 30€/article (au lieu de 40€) ! 🤖

    ℹ️ Les CGV ont été mises à jour en conséquence.

    🌿 Des infos sur les mesures concrètes d’éco-responsabilité LRob sont désormais disponibles.

    🏷️ Réductions jusqu’au 30 septembre 🏷️

    1️⃣ Réduction sur les hébergements annuels WordPress 🚀

    2️⃣ Réduction sur la gestion annuelle de TranslatePress 🎌

    3️⃣ Réparation et sécurisation de votre site WordPress après un piratage.
    Si vous avez subi un piratage mais n’étiez pas encore chez LRob.

    Offres valables pour les commandes via le portail LRob.

    Excellente rentrée à tous ! 🎒

    Pour commander c’est par ici 👉 https://portail.lrob.fr/

  • Hausse de cotisations URSSAF pour 2025 (AE/EI)

    Hausse de cotisations URSSAF pour 2025 (AE/EI)

    Un décret du 30 Mai 2024 fixe depuis le 1er Juillet l’augmentation des cotisations pour 2025 pour les BNC (et Cipav). Pour une meilleure protection sociale. Auto-entrepreneurs (et EI) : préparez-vous.

    Comme indiqué dans cette première actualité :

    Cela concerne les auto-entrepreneurs affiliés au régime général de la Sécurité sociale et déclarant leur chiffre d’affaires dans la catégorie des BNC. Il s’agit de garantir leurs droits à la retraite complémentaire.

    Source : autoentrepreneur.urssaf.fr

    Un mail de l’URSSAF ce 28 août informe de l’évolution du taux global de cotisations.

    Dérouler pour voir le mail

    Bonjour,

    Vous êtes auto-entrepreneur artisan-commerçant ou en profession libérale non réglementée et vous déclarez votre chiffre d’affaires en bénéfices non commerciaux (BNC).

    Ainsi, chaque mois ou chaque trimestre, vous payez des cotisations et contributions sociales calculées selon un taux global de cotisations appliqué à votre chiffre d’affaires.

    Nous vous informons que depuis le 1er juillet 2024, ce taux global de cotisations de 21,1 % augmente sur trois ans, de façon progressive, comme indiqué sur ce tableau (hors bénéficiaires de l’Acre et auto-entrepreneurs exerçant en outre-mer), selon le calendrier suivant :

    AnnéePériodeTaux global
    2024du 1er juillet au 31 décembre 202423,1 %
    2025du 1er janvier au 31 décembre 202524,6 %
    2026à compter du 1er janvier 202626,1 %

    Pourquoi votre taux augmente-t-il ?

    Votre taux augmente pour vous permettre d’acquérir des droits à la retraite complémentaire des travailleurs indépendants et de bénéficier ainsi d’une protection sociale renforcée.

    Qu‘est-ce que la retraite complémentaire des travailleurs indépendants ?

    La retraite complémentaire des travailleurs indépendants est un complément essentiel à votre retraite de base. En payant chaque mois ou chaque trimestre vos cotisations, vous cumulez des points, qui seront convertis en droits retraite le moment venu.

    Vous bénéficiez de l‘Acre ou vous exercez votre activité en outre-mer ?

    Si vous êtes bénéficiaire de l’Acre ou si vous exercez votre activité en outre-mer, nous vous invitons à consulter votre nouveau taux de cotisations sur les pages L’essentiel du statut – Autoentrepreneur.urssaf.fr.

    Bon à savoir

    Pour vos droits à la retraite complémentaire avant le 1er juillet 2024, un dispositif, en cours de définition par les pouvoirs publics, sera mis en place afin de vous permettre, si vous le souhaitez, de cotiser de manière rétroactive et ainsi d’acquérir des droits.

    Une question ?

    Vous retrouverez toute l’information utile concernant :

    L’Urssaf est à votre disposition pour tout renseignement complémentaire.

    Cordialement.

    Cela recoupe l’information du 10 juillet sur le site officiel.

    Résumé des hausses

    🟢 2024, du 1er juillet au 31 décembre 2024 : 23,1 %
    📈 2025, du 1er janvier au 31 décembre 2025 : 24,6 %
    📈 2026, à compter du 1er janvier 2026 : 26,1 %

    Pourquoi le taux augmente-t-il ?

    L’URSSAF explique dans le mail :

    « Votre taux augmente pour vous permettre d’acquérir des droits à la retraite complémentaire des travailleurs indépendants et de bénéficier ainsi d’une protection sociale renforcée. »

    Et sur le site :

    « La retraite complémentaire constitue un complément essentiel à la retraite de base. Grâce aux cotisations versées, les auto-entrepreneurs cumuleront désormais des points qui seront convertis en droits retraite le moment venu, assurant ainsi une meilleure sécurité financière à long terme. »

    Adaptez-vous

    💡 Pensez bien à :

    • Adapter vos grilles de calcul de cotisations
    • Prévoir si besoin l’adaptation de votre tarification
    • Ré-évaluer la pertinence d’un passage en SARL/EURL et dérivés
    • Ne pas vous laisser avoir par les éventuelles campagnes de phishing (faux emails vous demandant des infos personnelles ou vous redirigeant vers de faux sites) qui pourraient avoir lieu suite à cette annonce.

    Conclusion

    Ce n’est pas forcément la meilleure nouvelle pour la rentrée…

    Mais voyons le côté positif :
    Il reste une chance que l’on touche une retraite. 🤞
    (si, si, on y croit…)

    ———–

    Je suis Robin Labadie, hébergeur web spécialiste WordPress.

    Vous cherchez le meilleur pour vos projets web :

    Contactez-moi !
  • D’autodidacte à hébergeur WordPress : 12 ans de passion résumés 🚀

    D’autodidacte à hébergeur WordPress : 12 ans de passion résumés 🚀

    En 2012, j’ai créé une communauté geek.

    Je voulais l’héberger moi-même sur serveurs Linux. Car tout le monde sait qu’un serveur digne de ce nom est forcément sous Linux !

    J’entrais sans le savoir dans ma véritable vocation : sysadmin 🌱

    📷 Photo by Manon Laterza – 2012 – Je gère mes serveurs, mes amis jouent à la pétanque à côté. 😂

    Le commencement

    En 2012, on avait besoin : d’un site web (d’abord un forum), d’un serveur de voix et de serveurs de jeux.

    Passionné d’informatique pure depuis 10 ans, j’ai été le seul parmi les 25 personnes à l’initiative du projet, à oser se coller sur cette partie technique, devenant de facto l’administrateur système principal de la communauté.

    Il fallait donc apprendre énormément de choses d’un coup, en partant de rien :

    • choisir un fournisseur de serveurs dédiés (à l’époque : online.net / Dedibox)
    • installer et gérer un serveur Linux (ESXI + Debian) via un terminal headless (SSH)
    • gérer les IP multiples (failover)
    • choisir un registrar pour enregistrer et gérer un nom de domaine
    • gérer une zone DNS
    • gérer un firewall
    • installer un serveur web (LAMP)
    • créer des bases de données MySQL à la main, installer et utiliser phpMyAdmin
    • gérer des fichiers de configuration système et CMS
    • à gérer les droits et permissions sur un forum phpBB
    • Et j’en oublie sûrement

    Dans cette découverte, ma curiosité était insatiable. 😋

    J’ai bossé jour et nuit jusqu’à ce que tout fonctionne ! Ça m’a pris 5 à 7 jours.🌛

    J’ai appris bien plus dans ce court laps de temps qu’en un an de fac d’informatique (arrêtée pour me lancer en auto-entrepreneur en 2010 car je m’ennuyais des cours que je trouvais non pertinents).

    Et ce n’était le début…

    J’avais au final une VM (machine virtuelle) pour le serveur web, une VM pour le serveur voix, et une VM pour les serveurs de jeu. J’aurais pu regrouper les deux dernières, mais j’apprenais et je pensais au début qu’il valait mieux tout séparer au maximum, ce qui au final n’est pas plus mal quand on débute.

    Pendant des années, j’ai exploré les multiples facettes des serveurs. Dont la programmation BASH, devenant second contributeur de LinuxGSM en m’investissant profondément dans le projet open-source.

    Découverte de WordPress

    En 2014 j’ai surtout découvert WordPress ! 😍

    Je l’ignorais, mais WordPress allait devenir un élément central de ma vie professionnelle.

    J’ai d’abord transitionné le site de la communauté d’un forum phpBB vers un site WordPress.

    Devant la découverte de ce CMS génial, j’ai eu envie de faire mon site perso LRob dans la foulée, toujours en 2014. J’ai commencé à héberger et faire des sites pour des amis. Sans même avoir conscience qu’en fait, c’était un véritable métier de sysadmin, webmaster et hébergeur web.

    Coup d’accélérateur

    En 2016, j’ai mis un énorme coup de boost à la gestion serveur web.

    Après des migrations serveur toujours plus propres, la création de mes propres outils et process, la mise en place manuelle de certificats SSL/TLS (pour HTTPS) et pas mal de temps à gérer WordPress, je me suis attaqué au maillon manquant !

    Je me suis mis à faire mes premiers serveurs email à la main, en respectant toutes les normes possibles (rDNS, HELO, SPF, DKIM, DMARC). Et à découvrir les questions de délivrabilité vers Microsoft, difficiles la première fois qu’on déploie un serveur.

    J’ai même crée une série de tutos sur les serveurs Linux, celle que j’aurais rêvé d’avoir quand j’ai débuté.
    De quoi aider les administrateurs système Linux et Web en devenir.

    2017 : de passionné à professionnel

    Jusqu’à 2017, il faut dire ce qui est : ma situation pro était chaotique.

    Très enrichissante, mais chaotique.

    J’ai oscillé entre des prestations en tant qu’ingénieur son, du dépannage informatique en freelance, du tournage et montage vidéo, du support en télétravail (j’étais en avance sur mon temps 😎) et de l’intérim’ pour combler les manques. Mais à 27 ans, j’avais mon prêt étudiant à combler, je voulais améliorer mon niveau de vie et je devais donc stabiliser mes revenus.

    Je me suis dit que mine de rien, je commençais à avoir des compétences en informatique valorisables en entreprise… Il y aurait bien une entreprise avec qui on peut mutuellement s’aider !

    Et là, je crois que j’ai eu le coup de chance de ma vie.

    Dès mon début de recherche d’emploi, j’ai découvert un hébergeur web orléanais : HaiSoft.

    Quelle aubaine ! 🤩

    C’est le seul à qui j’ai envoyé mon CV. Le seul avec qui j’ai passé un entretien. Et ce fut, je crois, le coup de foudre professionnel mutuel.

    Ils ont reconnu en moi l’autodidacte passionné que j’étais. Ils m’ont invité à rejoindre l’équipe.
    Cela marquait début d’une aventure géniale de presque 6 ans. 🤝

    Pendant ces années, me suis professionnalisé tout en apportant mes idées et énergies fraîches pour perfectionner chaque aspect des services. 👌

    HaiSoft mettait la barre très haut, mais rien n’est jamais parfait. 🏋️‍♂️

    Dans une synergie exemplaire, on a résolu les problèmes récurrents, amélioré les documentations, boosté les performances, la sécurité, les mises à jour. On a enrichi l’offre et amélioré la communication. J’ai même eu la latitude de de gérer les baies serveurs ! 🎯

    HaiSoft est un superbe modèle d’entreprise IT, le meilleur selon moi. 🤩

    La parole de chacun est écoutée, la hiérarchie est amicale, transparente et accessible.
    Quiconque peut proposer et mettre en place des améliorations.
    L’implication et l’engagement du salarié deviennent naturels.

    C’est d’ailleurs grâce à cette ouverture qu’à l’époque, étant le plus fervent utilisateur de WordPress, je suis naturellement devenu, sans que cela ne soit vraiment acté, le référent support WordPress. J’ai pu pousser des services et prestations spécifiques pour WordPress et former toute l’équipe à ces tâches.

    Les humains derrière tout ça sont géniaux ! 🤗

    J’en profite pour remercier les membres de l’équipe, qui me sont encore chers à ce jour :

    • Frédéric, pour être un patron exceptionnellement droit et soucieux
    • Damien, pour ta vision d’ensemble toujours pertinente
    • Benoît, pour être un éternel mentor, avec ta curiosité, rigueur et droiture consistante
    • Dylan, pour avoir encore amélioré l’idéal de la relation client
    • Arthur, pour être à l’écoute et relever les défis de développement
    • Jérôme, pour la découverte d’un autre univers et les bonnes discussions

    Merci pour tout ! 💖

    👉 HaiSoft continue de briller par sa qualité grâce à tout ce petit monde, et les nouveaux. Chaque fois que j’ai des nouvelles d’eux, j’apprends la mise en place d’évolutions et solutions géniales.

    Alors si mon expertise WordPress ne vous est pas utile : foncez chez eux !
    Vous nous remercierez plus tard. 😉

    🌐 Agence web

    Les années passant, j’ai quand même voulu évoluer et ré-entreprendre.
    Je me suis mis à faire plus de sites web, d’abord pour des amis, puis des pros… A proposer du webmastering WordPress.

    Fin 2022, j’ai pris un risque calculé : quitter HaiSoft pour rejoindre une agence web et remettre d’aplomb leur parc d’hébergement. 🪛

    On sait ce qu’on perd, mais jamais ce qu’on gagne. Alors j’ai préparé mon avenir d’indépendant.

    Dans la courte transition entre les deux jobs, à la vitesse de l’éclair, j’ai déployé ma propre infrastructure de web hosting. ⚡

    Puis, en quelques mois, j’ai rénové les serveurs de l’agence qui m’embauchait : amélioré les performances, la sécurité, les backups, simplifié la gestion, tout en réduisant drastiquement les coûts serveurs. 🔒

    ⏩ Tournant Freelance

    Début 2023, grande surprise : départ en retraite de mes nouveaux patrons !

    L’agence web dans laquelle je mettais en place mes plans à long terme a ainsi été vendue.

    Au début, j’étais enthousiasmé par ce changement, ça ouvrait des portes fabuleuses.
    Sauf que… La nouvelle hiérarchie bloquait tous les budgets des évolutions prévues. J’ai cru que c’était temporaire, mais en discutant avec la hiérarchie en direct, j’ai compris que ça ne mènerait à rien. 😅

    L’équipe se sentait abandonnée, lésée. Certains parlaient de partir. L’ambiance était extrêmement négative et pesante. Je ne pouvais plus faire mon travail correctement et certaines urgences ne pouvaient pas être traitées. Si auparavant j’étais fier du travail accompli et en route, désormais je ne voulais surtout plus mettre mon nom sur le désastre que je voyais se tramer devant nous.

    Mon temps méritait mieux que ça ! ⌚

    Parallèlement, mon activité de freelance commençait à décoller alors même que je ne faisais rien d’autre que d’en parler un peu autour de moi. Me lancer dans cette tâche à fond ne pouvait que marcher !

    Alors, j’ai franchi le cap :

    • Poser ma démission le premier (d’autres ont ensuite suivi)
    • Passer en 100% freelance ! 🚀

    Sûrement la meilleure décision de ma vie !

    Non-seulement j’arrive à en vivre confortablement, mais j’éprouve une satisfaction que je n’aurais jamais oser imaginer !

    J’ai l’infrastructure d’hébergement rêvée : la plus belle, fiable et sécurisée.

    Et j’ai surtout le bonheur d’accompagner chaque jour des clients exceptionnels. 💘

    👉 Pour réussir avec WordPress découvrez mes hébergements WordPress !

    Hébergements web LRob

    PS: Merci Enzo Deniau pour avoir inspiré ce post par tes questions.

    Article enrichi depuis mon post LinkedIn.

  • Migration vers LRob offerte en août !

    Migration vers LRob offerte en août !

    Votre site est trop lent ? Insécurisé ? Vous perdez du temps à le gérer ?
    ▶️ La migration vers LRob est offerte durant le mois d’août ! 👌

    Vous travaillez en plein août au lieu de boire des Mojitos à Ibiza ? 🍸
    Vous profitez de l’accalmie pour vous organiser et vous améliorer ? 💪

    Soyez enfin récompensés ! 🥇

    👉 Pour toute souscription d’hébergement annuel LRob, la migration de vos sites et emails est offerte !

    La migration est complète et comporte :
    ✅ Changements DNS intelligents pour une migration sans coupure
    ✅ Migration des fichiers et de la base de données de votre site
    ✅ Migration jusqu’à 5 boîtes mail
    ✅ Génération des certificats SSL/TLS pour la connexion web et mail sécurisée
    ✅ Vérification de votre instance WordPress et conseils personnalisés

    ℹ️ Vous avez plusieurs sites ou davantage de boîtes mail ?
    Bénéficiez d’une remise de groupe aussi ! 👌

    On rappelle les « plus » LRob :
    ➕ Hautes performances garanties
    ➕ Sécurités anti-robots anti-hack, alertes en cas de faille dans votre site
    ➕ WordPresss Toolkit (login one-click, mises à jour auto, sécurisations, gestion des plugins même en cas de bug sur le site, etc.)
    ➕ Conseil d’expert WordPress et aide au débug
    ➕ Sauvegarde quotidienne externalisée avec 1 an de rétention !

    Qu’entends-je ? Qu’acousticais-je ? 👂
    « 💲hut up and take my money ? »

    Pour un site 👉 https://portail.lrob.fr/produit/hebergement-wordpress/
    Pour 3 à 128 sites 👉 https://portail.lrob.fr/produit/hebergement-web-agency/
    Pour le webmastering inclus 👉 https://portail.lrob.fr/produit/webmastering-wordpress/

    Happy hosting ! 😎

  • Une faille sur le serveur web Apache touche des millions de serveurs

    Une faille sur le serveur web Apache touche des millions de serveurs

    Le serveur Apache HTTP est l’un des serveurs web les plus utilisés dans le monde. Cependant, comme tout logiciel, il n’est pas à l’abri des vulnérabilités. Et attention car il s’agit d’une double faille.

    Le 4 juillet, une faille de sécurité critique a été découverte, affectant la version 2.4.60 d’Apache. Cette faille est notée CVE-2024-39884.

    La faille permet la divulgation du code source des fichiers PHP. C’est donc absolument critique car ceux-ci peuvent par exemple contenir des mots de passe des bases de données, ou du code propriétaire confidentiel.

    Un correctif est donc sorti via la version 2.4.61 du serveur Apache… Sauf que ce correctif ne corrigeait correctement pas la faille ! Une deuxième CVE est donc sortie, la CVE-2024-40725 pour ré-identifier cette faille finalement non corrigée.

    Voici une synthèse de ces failles et des corrections apportées.

    Update 30/07/2024 : Il existe une possibilité pour que cette vulnérabilité soit en lien avec une vague de piratages ciblant de sites hébergés chez o2switch. Rien n’est établi avec certitude car les moyens d’exploitation de ces failles et l’envergure du problème ne sont pas encore publics. Je n’ai pas non-plus d’informations de la part mon confrère hébergeur sur les versions Apache utilisées.

    CVE-2024-39884

    • Date de publication : 4 juillet 2024
    • Description : Une régression dans le noyau du serveur Apache HTTP version 2.4.60 fait en sorte que certaines configurations basées sur le type de contenu, telles que « AddType », ne sont pas correctement prises en compte. Dans certains cas, cela peut entraîner la divulgation du code source de fichiers locaux, comme les scripts PHP qui peuvent être affichés en texte brut au lieu d’être interprétés.
    • Solution : Il est recommandé de mettre à jour vers la version 2.4.61, qui corrige ce problème.
    • Lien : CVE-2024-39884

    CVE-2024-40725

    • Date de publication : 17 juillet 2024
    • Description : Cette faille est une correction additionnelle de la CVE-2024-39884. Elle révèle que la version 2.4.61 ne corrige pas complètement le problème initial. En effet, certaines configurations basées sur le type de contenu peuvent encore entraîner la divulgation du code source des fichiers locaux dans certaines circonstances.
    • Solution : Il est recommandé de mettre à jour vers la version 2.4.62, qui corrige définitivement ce problème.
    • Lien : CVE-2024-40725

    Roadmap de Correction pour Debian

    Debian, la mère distribution Linux, utilisée par LRob, a également pris des mesures pour corriger ces vulnérabilités dans ses différentes versions, au travers du repository « security » ou natif en fonction des versions de l’OS. Voici la feuille de route des corrections :

    Source PackageReleaseVersionStatus
    apache2 (PTS)bullseye2.4.59-1~deb11u1vulnérable
    bullseye (security)2.4.61-1~deb11u1corrigé
    bookworm2.4.59-1~deb12u1vulnérable
    bookworm (security)2.4.61-1~deb12u1corrigé
    sid, trixie2.4.62-1corrigé

    État des serveurs LRob

    Les serveurs LRob sont déjà tous à jour et corrigent bien cette faille.

    Conclusion

    Les administrateurs de serveurs Apache HTTP doivent vérifier immédiatement la version de leur serveur et mettre à jour vers les versions corrigées (2.4.61-1[security] ou 2.4.62) pour éviter toute divulgation involontaire de code source.

    La communauté open-source continue de surveiller et de corriger rapidement les vulnérabilités afin de garantir la sécurité et la fiabilité des logiciels utilisés par des millions de serveurs dans le monde. Assurez-vous de suivre les mises à jour de sécurité et de maintenir votre infrastructure à jour pour protéger vos données et celles de vos utilisateurs.

  • [Résolu] Des clients o2switch ciblés par un hack WordPress insidieux – MAJ : L’hébergeur traite cela de manière exemplaire

    [Résolu] Des clients o2switch ciblés par un hack WordPress insidieux – MAJ : L’hébergeur traite cela de manière exemplaire

    Identification & causes : tout ce qu’il faut savoir 👇

    La semaine dernière, je révélais sur LinkedIn un piratage à priori répandu chez les possesseurs de sites WordPress hébergés chez o2switch. En qualité d’expert sécurité WordPress et grâce à une investigation auprès de quelques confrères touchés et non touchés, nous avons pu en apprendre davantage.

    MAJ 31/07/2024 – En résumé

    Selon une source en interne, l’hébergeur ne serait vraiment pas en cause. L’hypothèse d’un entretien insuffisant des sites piratés resterait ainsi privilégiée. Toujours selon cette source interne, les moyens mis en place par l’hébergeur pour déterminer l’origine précise de ce souci sont remarquables (quelques exemples m’ont été donnés, j’approuve la stratégie). Enfin, même si le nombre de sites impactés peut sembler élevé, il faut mettre cela en perspective avec le parc important d’o2switch : l’impact réel resterait très limité en proportion et la vaste majorité des clients ne devrait pas être impactée par ce souci spécifique.

    De plus, le soir du 30/07/2024, o2switch a fait un geste remarquable et très rare dans le monde des gros hébergeurs, en nettoyant le hack sur les sites impactés. Une réaction courageuse qui m’a surpris de la part d’un hébergeur. En effet, les plus gros hébergeurs ont plutôt tendance à avoir l’habitude inverse, c’est à dire de laisser les clients se débrouiller lorsque le souci vient des sites finaux en eux-même. L’investissement de l’hébergeur est réel ici et suscite mon plus grand respect.

    On rappelle qu’en sécurité, le plus important est la prévention : faites la maintenance de votre site avec les mises à jour automatiques, de bonnes sauvegardes et n’oubliez pas de d’utiliser les dernières versions de PHP compatibles. Si besoin d’aide pour cela, c’est ma spécialité 😉

    📄 Mode opératoire du hack

    Le hack redirige les utilisateurs mobile vers des sites frauduleux, notamment en rapport avec la guerre Ukraine/Russie via un URL shortener hébergé aux Emirats Arabes Unis.

    Techniquement il consiste en une injection de code JavaScript obfusqué dans tous les posts WordPress du site. Il est donc chargé dans les pages et articles et parfois dans d’autres plugins comme les plugins de cookies, les plugins d’avis utilisateurs, etc.

    Voici un aperçu du code pirate après dé-obfuscation, qui permet même sans parler ce langage de comprendre que l’action a lieu lors du clic et qu’une URL aléatoire est sélectionnée en fonction du « UserAgent », c’est à dire du navigateur utilisé :

    Aperçu du code pirate après dé-obfuscation

    Info additionnelle 31/07/2024

    La requête effectuant le hack pourrait être une simple requête POST sur le fichier index.php du site, comme un log le suggère, qui semble correspondre à un hack effectif depuis une IP américaine (IP et site masqués) :

    Jul-2024:213287:199.195.252.[HIDDEN] - - [27/Jul/2024:20:10:59 +0200] "POST /index.php?s=captcha HTTP/1.1" 200 102292 "https://www.[HIDDEN].fr/index.php?s=captcha" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; MS-RTC LM 8; InfoPath.3; .NET4.0C; .NET4.0E) chromeframe/8.0.552.224"

    On voit ici une requête de 102292 bytes faite sur l’index, ce qui est 100x plus élevé par rapport aux requêtes habituelles de l’ordre de 1000 bytes. D’autant que ce site n’a pas de Captcha… Ce qui est troublant est que la requête résulte en un code 200, ce qui signifie que la requête est acceptée, traitée sans erreur, alors que la visite de cette URL devrait plutôt donner une erreur 404 (Not Found).

    🔍 Identification

    • Le hack est parfois mal inséré dans les articles et s’affiche de manière textuelle dans le corps des pages au lieu de s’exécuter
    • La plupart du temps il est invisible, vous pouvez vérifier si votre site est impacté en recherchant « _0x365b », ou « 0x3023 », ou « function _0x », via l’inspecteur de votre console développeur à la visite du site, ou via une recherche dans phpMyAdmin
    • Les antivirus Eset et Avast bloquent l’accès aux sites touchés
    • Update 31/07/2024 – L’un des sites touchés ne se voit pas via la console développeur, il faut à la place utiliser l’outil en lignes de commandes « curl » pour observer le code malveillant. Il est possible que cela soit dû au cache du site.

    Voici un exemple du code pirate tel que visible depuis la console développeur :

    Exemple code pirate

    🌐 Répartition du hack

    Grâce à une recherche du pattern du hack sur Google et Bing, j’ai trouvé de nombreux sites infectés. J’ai contacté l’ensemble des propriétaires des sites pour les alerter, leur conseiller de contacter leur prestataire et leur proposer mon aide si besoin.

    • Sur 40 domaines impactés, trouvés en France et en Belgique, 2 seulement ne sont pas chez o2switch – update 30/07/2024 : Certains sites chez OVH, Hostinger et divers hébergeurs sont aussi touchés, mais plus rares pour le moment.
    • D’autres fournisseurs de serveurs étrangers sont touchés mais j’en ai trouvé moins qu’en France.
    • Cela laisse penser à une attaque ciblée des sites présents sur les IP o2switch, que le hacker aurait trouvé via des listes publiques qui référencent cela. Ce type d’attaques peut cibler n’importe quel hébergeur qui n’y peut strictement rien. C’est pour cela qu’il faut être pro-actif dans votre sécurité.

    💡 Des causes toujours incertaines

    Voici ce qu’on a pu voir et déduire en recoupant les infos entre confrères :

    • Comme le hack est insidieux, beaucoup ne sont pas diagnostiqués et détectés rapidement, mais la plus ancienne occurrence semble avoir eu lieu en Mai – update 30/07/2024 potentiellement plutôt en Juillet
    • Cela ne touche pas un plugin ou un thème spécifique
    • Le plugin Tiger d’o2switch ne semble donc pas non-plus être la cause du problème, car des sites sans ce plugin sont touchés
    • Les sites touchés semblent généralement moins entretenus que les autres, mais c’est le cas de la plupart des sites; et des sites assez bien suivis (peut-être pas assez) sont aussi touchés
    • La faille exploitée a pu provenir du core de WordPress lorsque non mis à jour assez rapidement
    • Il est possible que cela provienne de l’utilisation d’une version PHP obsolète définie par le gestionnaire de l’hébergement (client final)
    • Il est possible que la présence d’une seconde instance WordPress (une instance de dev par exemple) dans l’hébergement, qui elle, ne serait pas à jour, puisse déteindre sur l’instance principale, par manque d’isolation (c’est le même hébergement, le même utilisateur système, les mêmes droits, et il ne semble pas y avoir de règle open_basedir pour restreindre le répertoire au niveau de PHP chez o2switch)
    • Cela ne touche pas les clients d’un serveur spécifique d’o2switch, ils sont répartis sur de plusieurs serveurs mutualisés, et certains serveurs ne sont pas du tout touchés, laissant entendre un souci marginal (donc pas d’intrusion serveur ou hébergeur global)
    • Il y a une minuscule probabilité pour qu’une intrusion ou une faille hébergeur plus globale aie eu lieu (par exemple une faille dans un paquet système qui permet le hack), mais nous n’avons aucun élément pour le vérifier et dans la mesure où o2switch n’a rien signalé, il est plus raisonnable de penser que le souci provient de l’applicatif final (WordPress) ou de la version de PHP utilisée par le client final.
    • – Update 29/07/2024 Il est enfin possible qu’une faille du serveur web Apache aie été exploitée, soit lorsqu’elle n’était pas encore correctement corrigée, soit car o2switch a trop tardé à mettre à jour ses versions logicielles. Les dates semblent concorder pour les hacks les plus récents. Là encore aucune certitude sans une annonce officielle de l’hébergeur.
    • – Update 31/07/2024 Des failles dans des sous-versions de PHP, notamment dans certaines révisions de PHP 8.0 pourraient expliquer le piratage. Cela concorde avec les requêtes observées pouvant causer un buffer overflow et permettre un injection de code. Si les sous-versions de PHP 8.0 de l’hébergeur ne sont pas à jour, cela explique la possibilité du hack. Quoi qu’il en soit, le client est fautif si c’est la cause, car on rappelle que PHP 8.0 est dans tous les cas obsolète et ne devrait plus du tout être utilisé. Il n’est d’ailleurs plus disponible à la sélection sur les hébergements LRob.
    • Aucun hack à déplorer sur les hébergements LRob.

    🔨 Réparation du hack

    La réparation consiste à nettoyer la base de données en effaçant les lignes correspondant au pattern du hack. Avant toute opération, sauvegardez votre base de données. Les fichiers des sites web ne semblent pas impactés sur ce hack, mais une vérification manuelle complète est toujours recommandée comme pour tout hack. Pensez aussi à vider les différents caches pour que le code malveillant en soit également retiré.

    Besoin d’aide pour réparer vos sites et rester sécurisé à l’avenir ? Découvrez mes services de réparation et sécurisation WordPress ainsi que mes hébergements WordPress sécurisés.

    Si vous avez plus d’infos, partagez-les en commentaires ou MP !

  • J’ai permis de corriger un bug Kernel Linux !

    J’ai permis de corriger un bug Kernel Linux !

    Littéralement des milliards des périphériques vont en profiter ! 🥹

    ❓Qu’est-ce que le kernel ?

    C’est le code le plus primordial : Il permet en résumé au système d’exploitation de parler aux composants d’un périphérique, il gère les fonctions les plus élémentaires comme la lecture/écriture des données sur le disque, l’exécution des programmes, etc.

    ℹ️ Quels périphériques sont concernés ?

    Quand on parle de « périphériques », c’est très large.

    Le kernel Linux est présent sur les serveurs web (90 à 99% du marché), les smartphones Android (85% du marché), et les quelques millions d’ordinateurs ayant installé un OS GNU/Linux (2 à 4%) !

    Sans compter les box et divers objets connectés tournant avec Linux.

    Mac OS et iOS utilisent également une partie de Linux. En gros, seuls les ordinateurs de bureau Windows ne sont pas concernés du tout.

    Le tout fait vraiment des milliards de périphériques concernés, sans exagérer. 🤪

    Ce grâce à son créateur Linus Torvalds qui maintient toujours le code.

    ❓ Quel est le problème spécifique corrigé ici ?

    👉 J’ai relevé une anomalie sur les PC portables de la marque LG, série Gram sous Linux, soulevant un problème kernel potentiel.

    Le problème : Un process système qui utilise plus de ressources qu’attendu (et cause de la chauffe et consommation d’énergie inutile) lorsque le périphérique est en charge relié à un dock.

    1) Découverte du bug

    Fin 2022, je découvrais le problème et le fait que je n’étais pas seul : La communauté Ubuntu commençait à en parler. https://bugs.launchpad.net/ubuntu/+source/linux/+bug/1987829
    J’ai reproduit le problème sous Ubuntu et Fedora qui sont des distributions assez différentes, indiquant que le souci ne venait pas de l’OS mais plutôt de Linux.

    2) Compréhension initiale du bug

    Février 2023, le souci commençait à se préciser, on avait assez d’éléments pour penser que ça venait du kernel et que le souci n’était pas encore corrigé, même sur les dernières versions.
    J’ai alors crée un compte sur kernel.org et ouvert cette issue pour essayer de prévenir les bonnes personnes : https://bugzilla.kernel.org/show_bug.cgi?id=217076

    Je n’étais pas sûr de moi à ce moment là, car c’était la première fois, mais il faut croire que j’ai bien fait les choses.

    3) Compréhension poussée et résolution du bug

    Ce qui se passe ensuite me dépasse totalement, ça parle de Dev Kernel Linux ultra poussé… Certaines personnes font des hypothèses, les testent, comprennent précisément le souci, proposent un hotfix à tester. Et certains confirment la résolution du bug. Tout ça prend presque un an et demi.

    4) Publication du correctif

    Le code correctif est ensuite proposé et accepté dans le kernel pour que tout le monde en profite. C’est ce qui est précisément en cours désormais : https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=9e3caa9dd51b23e232f095a98336a84f42e4a7f2

    Et maintenant ?

    Dans les deux prochaines semaines, le monde entier bénéficiera du correctif.
    L’idée d’avoir pu impacter des milliards de périphériques donne le vertige ! 🥵

    Ça a pris du temps, demandé des compétences extrêmement spécifiques, mais le résultat est là. 🍾

    C’est beau l’open-source ! 😍

  • Nouvelle année, nouvelle ère : Bienvenue sur le Portail LRob ! 🎉

    Nouvelle année, nouvelle ère : Bienvenue sur le Portail LRob ! 🎉

    L’année nouvelle amène son lot de renouveau et je suis ravi d’annoncer une innovation qui va révolutionner votre expérience avec nous : le lancement du Portail LRob. Cette plateforme est votre nouveau point de contact pour une gestion simplifiée et efficace de tous vos abonnements et besoins de support.

    Commandez en Toute Simplicité

    La souscription à mes services annuels, tels que l’hébergement et le webmastering, n’a jamais été aussi simple. Avec le Portail LRob, vous pouvez désormais commander directement en ligne, en quelques clics seulement. Le paiement par carte bancaire ajoute une couche supplémentaire de facilité. Plus besoin de devis ou de virements manuels pour activer ou renouveler vos services.

    Étalez vos Paiements Mensuellement

    Pour offrir une flexibilité financière accrue, le Portail LRob propose désormais l’option de paiements mensuels pour nos services. Cette approche facilite votre gestion budgétaire en permettant de répartir le coût des abonnements sur l’année. Idéale pour toutes tailles d’entreprises, cette option assure une meilleure planification financière tout en garantissant l’accès continu aux services de qualité LRob. Il faut noter que le règlement annuel demeure l’option la plus avantageuse en termes de coût total. V ous avez donc le choix entre la commodité du paiement mensuel et l’économie réalisée grâce à l’engagement annuel.

    Facturation Transparente et Automatisée

    Nous savons que la gestion des factures peut être un casse-tête. C’est pourquoi la boutique du portail LRob prend en charge la facturation de manière automatisée. Une fois votre commande passée ou à chaque renouvellement automatique, vous recevrez instantanément votre facture, garantissant ainsi une comptabilité sans faille. Retrouvez également toutes vos factures dans votre espace client.

    Un Support Client Réinventé

    La section support du Portail LRob marque un tournant dans l’approche de la relation client LRob. Le nombre de clients et de demandes de support augmentant, il faut absolument éviter que les demandes se perdent dans une mer d’emails. Notre système de tickets dédié rend le processus de demande d’assistance clair et structuré tout en assurant un meilleur suivi. Vous pouvez suivre l’évolution de votre requête en temps réel, ce qui permet une résolution rapide et efficace de vos demandes.

    De plus, cette innovation prépare le terrain pour l’intégration future d’une équipe support dédiée, reflétant notre engagement à améliorer continuellement la qualité des services et la satisfaction client.

    Le Portail LRob n’est pas seulement une plateforme ; c’est une promesse d’efficacité et d’innovation. En cette nouvelle année, je suis fier de vous offrir une expérience utilisateur améliorée et impatient de vous accompagner dans votre succès.

  • Nouvelle infrastructure : lrob.net et autres changements de serveurs

    Nouvelle infrastructure : lrob.net et autres changements de serveurs

    Certains d’entre vous le savent déjà : En Octobre, je quitterai HaiSoft pour de nouvelles aventures au sein d’une agence web.
    Je serai toujours Sysadmin et spécialisé WordPress, mais désormais au poste de responsable hébergement.

    Par ailleurs et depuis quelques mois, j’ai lancé mon activité de webmaster freelance.
    J’ai décidé de l’accompagner officiellement de services d’hébergement pour permettre une gestion fluide de l’ensemble des services.

    Et comme j’ai à cœur de proposer le meilleur service possible, cela impliquait des changements de serveurs avec une refonte de l’infrastructure, plus performante et évoluée que jamais.

    Depuis une bonne quinzaine de jours, j’ai donc travaillé à refondre cela avec le plus grand soin et sans interruption de service notable, en intervenant de nuit pour les opérations pouvant générer de légères coupures (notamment la refonte des DNS).

    Nouveau domaine d’infrastructure : lrob.net

    Afin de faciliter la gestion, un nouveau nom de domaine est utilisé pour ce qui concerne le fonctionnement technique des serveurs :
    lrob.net

    Nouvelle URL Plesk

    Pour ceux qui avaient pour URL de connexion à Plesk https://ds.lrob.fr
    Désormais il faut utiliser :

    Vos identifiants/mots de passe restent inchangés.
    J’assure la redirection des anciens noms vers le nouveau pendant 30 jours. Pensez à mettre à jour vos favoris avant ce délai.
    En cas d’oubli d’identifiant ou mot de passe, n’hésitez pas à suivre la procédure de mot de passe oublié ou à revenir vers moi pour une réinitialisation manuelle.

    Nouveaux NS (name servers)

    Les NS autoritaires pour vos noms de domaine ont également changé.

    J’ai pu prendre en charge les changements pour 100% des domaines hébergés actuellement.
    Pour info, en cas d’ajout de domaine (revendeurs) il faudra désormais utiliser les serveurs DNS suivants :

    • ns1.lrob.net
    • ns2.lrob.net
    • ns3.lrob.net

    Ces NS sont hébergés sur des serveurs situés dans trois localisations géographiques différentes pour une redondance optmisée : Lausanne (suisse), Nice et Nuremberg (allemagne).
    Ils sont désormais 100% compatibles IPv6 en plus d’IPv4.
    Ils sont également sécurisés DNSSEC (ECDSAP256SHA256, la norme également retenue par CloudFlare) afin de protéger contre les attaques NS spoofing/poisoning (man in the middle).

    Résultat : Absolument parfait. Même meilleur que les géants du web (Google, OVH, Microsoft, Facebook, etc.) :

    Nouveau serveur d’hébergement et infos techniques

    Le nouveau serveur est un gros upgrade, c’est désormais un serveur dédié (précédemment serveur virtuel) avec licence Plesk illimitée (précédemment 30 domaines), ce qui permet de proposer un service « revendeur » qui laisse la liberté à celui-ci de gérer l’ajout/suppression de ses domaines en autonomie.
    Ce serveur se situe à Falkenstein (Allemagne) chez Hetzner. La bande passante (gigabit) et le ping vers la France sont excellents.
    En comparaison au précédent serveur qui était déjà correct, le nouveau est environ 2x plus puissant en termes de CPU, il possède 8x plus de RAM, 2x plus de stockage, et les SSD NVME sont environ 3x plus rapides que les SSD SATA précédents.
    Le gain en performances est significatif.

    IPv6 est désormais entièrement supporté. TLS 1.3 (sécurité maximale) et HTTP/2 (vitesse maximale) sont désormais en support natif (directement par Apache, sans reverse proxy Nginx).
    Le serveur et toute l’infrastructure sont désormais monitorés via Centreon.

    Actuellement, une sauvegarde type « Push » est en place quotidiennement. Une seconde sauvegarde en mode « Pull » est en train d’être mise en place. Malgré ces précautions de votre serviteur, n’oubliez pas de faire des sauvegardes de vos données de votre côté aussi, car c’est presque toujours quand il est trop tard que les utilisateurs se posent la question. Or, je rappelle que dans l’hébergement, c’est toujours le client final qui a la responsabilité de ses données.

    Cela devrait résumer les informations importantes. N’hésitez pas à me contacter pour toute demande.

fr_FR
en_US fr_FR