Ce qui se raconte sur Framapiaf ...

Pouet épinglé

Wordpress design flaw can lead to privilege escalation in its plugins:

blog.ripstech.com/2018/wordpre

Additionally, there was another vulnerability with CVE identifier found in October.

If you only publish blog articles and don't need WP features, use static site generators like Hugo:

infosec-handbook.eu/blog/stati

Unfortunately, some bloggers still tell their users that their WP-based blog is secure while putting their users unnecessarily at risk.

#wordpress #flaw #security #infosec #cybersecurity

Plus de pouëts !

Git comme système de snapshots simple pour sauver le sysadmin

Non Git ne sert pas que pour les développeurs. Non, il n’y a pas besoin de lire un gros bouquin pour savoir s’en servir.   « Snapshoter » des fichiers de config Vous travaillez sur un service un peu compliqué, vous voulez faire une modif et pouvoir revenir à l’existant. Pour le sysadmin, git va vous servir à faire des instantanés de vos fichiers de conf dans le but de remonter dans l’historique si besoin. »

Author image Nico

Guacamole, un proxy Web d'accès distants

Guacamole est un proxy pour vos accès distants. Il permet d’accéder depuis une interface Web à vos machines qu’elles soient en SSH, VNC, RDP. C’est un projet qui a été repris par la fondation Apache (en incubation pour le moment).   Packagé dans les distributions majeures et chez Docker :   Guacamole est une application servlet Java, donc qui nécessite un Tomcat ou un autre serveur d’application. J’installe aussi Apache (ou Nginx) pour faire un reverse proxy. »

La sécurité avec Docker – Chapitre final : Le test

Chapitre final : Le test ultime   Docker Bench Security   Vous saurez très vite si vous avez suivi les recommandations de sécurité Docker en utilisant ce petit script qui n’a l’air de rien mais qui en dit long.   git clone https://github.com/docker/docker-bench-security.git cd docker-bench-security ./docker-bench-security.sh   Verdict ? Plus il y a de rouge et plus c’est méchant !   La checklist du SANS :   »

La sécurité avec Docker – Chapitre 4 : Les images et les dépôts

Droits Unix sur les fichiers du conteneur :   Tout comme dans un système Linux/Unix classique, il faut faire attention aux droits sur les fichiers à l’intérieur du conteneur. Quand vous construisez une image à partir d’un Dockerfile, les fichiers copiés de votre répertoire vers votre image sont copiés avec les mêmes droits. Du coup, un fichier trop permissif peut être problématique.   Images maisons :   Ne pas stocker de secrets dans les Dockerfiles ou dans les variables d’environnement. »

La sécurité avec Docker – Chapitre 3 : Les utilisateurs

Chapitre III : Utilisateurs   Docker ne doit pas être contrôlé par root :   Vous devez utiliser un compte standard pour manipuler vos containers et vos images Docker. C’est très simple, il suffit que votre utilisateur appartienne au groupe docker : sudo adduser moi docker docker run ...   Les conteneurs ne doivent pas être lancés par root :   Un conteneur ne doit pas être lancé en tant qu’utilisateur root sauf s’il y a une utilité particulière. »

La sécurité avec Docker – Chapitre 2 : Le réseau

Chapitre II : Réseau   Isoler les réseaux :   Les piles de logiciels ou les différents types de réseaux doivent être isolés dans des réseaux logiques séparés. Créer un réseau par stack logicielle : docker network create <nomdureseau> # Attacher les containers au réseau qui va bien docker network disconnect bridge <leconteneur> docker network connect <nomdureseau> <leconteneur>   Désactiver la communication inter conteneurs (ICC) :   »

La sécurité avec Docker – Chapitre 1 : Le système

Après plusieurs années d’expérience, je pourrais résumer Docker en un outil très utile, facile à prendre en main mais vraiment difficile à maîtriser. Le côté « facilité de déploiement » de départ masque les problèmes de sécurité inhérents à la technologie des containers. Or si Docker était encore pointé du doigt pour ses lacunes sécuritaires il y a quelques années, force est de constater que des efforts ont été faits dans ce domaine si on veut bien se donner la peine de mettre les mains dans le cambouis. »

Mises à jour de sécurité automatiques sous Linux et Freebsd

Ne vous laissez pas surprendre par les failles de sécurité de vos différents logiciels sous Linux. De la même manière que sous Windows, je vous recommande fortement d’activer les mises à jour de sécurité automatiques. Les mises à jour de sécurité ne changent pas les fonctionnalités de vos logiciels. Si vous êtes en production, ça n’aura pas plus d’impact que de patcher les failles de sécurité.   Sous Debian et dérivés (Ubuntu, Mint, …) :   »

Réseaux sous Docker : isoler les containers

Quand on veut déployer un container docker, rien de plus simple, un docker run suffit à rendre le container disponible. Mais si vous n’avez pas réfléchi avant à l’architecture réseau, vous faites communiquer vos containers dans le réseau par défaut, ce qui n’est pas forcément une bonne idée d’un point de vue sécurité.   Les trois type de réseau par défaut   Bridge   Par défaut, Docker attache les containers au réseau « bridge » qui a été créé à l’installation de Docker. »