Dans le billet précédent, j'ai parlé de Secunia Software Inspector. Après une première impression assez positive, j'ai constaté que bon... c'est mieux que rien, mais c'est pas super super fiable comme logiciel :

  • Pour obtenir le niveau de mise à jour de Windows, l'application se base sur Windows Update. Or si pour une raison quelconque les serveurs ne sont pas joignables, Software Inspector vous informera que votre Windows et à jour et que toutes les mises à jour de sécurité sont installées. Même si ce n'est pas le cas. J'ai contacté Secunia pour les prévenir de ce bug plus que génant.
  • J'ai fait un test avec un PC sous XP sur lequel est installé firefox 2.0.0.1. Software Inspector me dit que c'est Ok que j'ai la version la plus à jour. Or la version 2.0.0.2 est sortie qui corrige des problèmes de sécurité.

Pour le deuxième point, il faut modérer, la version 2.0.0.2 vient de sortir (il y a quelques heures), il faut voir en combien de temps secunia prendra en compte cette version.

Pour le deuxième point c'est beaucoup plus génant. D'autant plus qu'il y a de nombreuses raisons pour que votre système ne puisse pas se connecter à Windows Update : Problèmes réseau, règles de pare-feu. Mais également et surtout les anti-virus ou pare-feu personnels (Sophos, Mac Afee Virus Scan etc.) bloquent par défaut le processus svchost.exe. C'est ce processus générique qui va pourtant se connecter aux serveurs de Windows Update.

Qu'il y a t'il de pire que d'avoir un système vulnérable ? : Avoir un système vulnérable et croire qu'il ne l'est pas.

Edit du 27/02/07

  • Pour le premier point, un Bugtraq ID a été créé : Secunia Software Inspector Security Update Verification Weakness http://www.securityfocus.com/bid/22736
  • Pour le deuxième point, j'ai eu une réponse de secunia qui m'informe avoir ajouté la version 2.0.0.2 dans la base de signatures de Sofware Inspector