 |
Publicité 
|
Les serveurs Internet Microsoft présentent suffisamment de défauts de sécurité pour permettre aux "crackers" de prendre le contrôle des sites de e-commerce. En effet, le défaut principal de MS IIS 4.0 (Microsoft Internet Information Server 4.0) est d'autoriser l'accès au niveau système du serveur, aux utilisateurs non-autorisés.
Sur la plupart des serveurs, des codes sont nécessaires pour accéder aux différents niveaux, sauf sur IIS.
Plus d'1,3 millions de serveurs fonctionnent avec IIS provoquant des fuites dans beaucoup d'opérations d'e-commerce.
Microsoft confirme ce problème et pourtant n'en informe pas ses clients mais assure qu'un patch sera bientôt disponible.
Ce défaut fait partie d'une longue liste affectant IIS.
L'été dernier, un bug connu sous le nom de $DATA Bug (patch disponible) permettait l'accès au code source ASP et autres scripts utilisés sur IIS.
En janvier, on a découvert un trou dans la sécurité qui exposait le code source et certaines informations de configuration sur les serveurs s'appuyant sur NT. Mais ce dernier problème semble être le plus sérieux à cause du niveau d'accès touché.
Ce bug donne aux crackers l'accès aux bases de données et/ou aux logiciels installés sur le serveur. Ils peuvent donc voler les informations concernant les cartes de crédit ou publier des pages Web contrefaites.
Par exemple, les crackers peuvent profiter du bug pour modifier les informations stockées sur le serveur (les prix par exemple).
Cette faille permet aux utilisateurs de prendre le contrôle d'un serveur IIS 4.0 en créant un dépassement de capacité au niveau de la mémoire tampon sur les pages .htr. La conception de IIS prévoit la possibilité pour les utilisateurs de modifier leur mots de passe à distance.
Ce dépassement de capacité a normalement pour effet de planter le système mais un bon cracker peut écrire un exécutable qui peut être utilisé pour démarrer un programme au niveau système procurant une fenêtre d'exécution de commande équivalente à celle du DOS.
Désactiver les utilitaires de contrôle d'accès au fichier .htr ne corrige pas le problème. Plusieurs étapes sont nécessaires à la résolution du problème pour supprimer le défaut.
Aujourd'hui, beaucoup de sites permettent aux crackers d'accéder à l'espace de travail, à l'insu du webmaster.
Traduction et synthèse de l'article de Niall McKay , WIRED.COM
le 15 juin 1999.
|
