Une faille non corrigée du serveur Web Microsoft IIS 6 affecte des millions de sites Web

Microsoft pourrait ne pas être en mesure de corriger une vulnérabilité zero-day dans une ancienne version de son serveur Web Internet Information Services que les attaquants ont ciblé en juillet et août de l'année dernière. L'exploit permet aux attaquants d'exécuter du code malveillant sur les serveurs Windows qui exécutent IIS 6.0 tandis que les privilèges de l'utilisateur exécutent l'application. Un exploit de preuve de concept pour la vulnérabilité dans IIS 6.0 est désormais disponible sur GitHub et bien que IIS 6.0 ne soit plus pris en charge, il reste largement utilisé même aujourd'hui. La prise en charge de cette version d'IIS s'est arrêtée en juillet de l'année dernière avec la prise en charge de Windows Server 2003, son produit parent.

Cette nouvelle inquiète les professionnels de la sécurité, car les enquêtes sur les serveurs Web indiquent qu'IIS 6.0 est toujours utilisé par des millions de sites Web publics. En outre, il est possible qu'un grand nombre d'entreprises exécutent encore des applications Web sur Windows Server 2003 et IIS 6.0 au sein de leur organisation. Les attaquants pourraient, par conséquent, utiliser la faille pour effectuer des mouvements latéraux s'ils ont accès aux réseaux d'entreprise.

Avant sa publication sur GitHub, seuls quelques attaquants étaient au courant de la vulnérabilité - jusqu'à récemment. À présent, il est prouvé que de nombreux attaquants ont désormais accès à la faille non corrigée. Le fournisseur de sécurité Trend Micro propose l'explication suivante de la vulnérabilité:

Un attaquant distant pourrait exploiter cette vulnérabilité dans le composant WebDAV IIS avec une requête spécialement conçue à l'aide de la méthode PROPFIND. Une exploitation réussie peut entraîner une condition de déni de service ou l'exécution de code arbitraire dans le contexte de l'utilisateur exécutant l'application. Selon les chercheurs qui ont découvert cette faille, cette vulnérabilité a été exploitée dans la nature en juillet ou août 2016. Elle a été divulguée au public le 27 mars. code de concept (PoC).

Trend Micro a noté que WebDAV (Web Distributed Authoring and Versioning) est une extension du protocole de transfert hypertexte standard qui permet aux utilisateurs de créer, modifier et déplacer des documents sur un serveur. L'extension prend en charge plusieurs méthodes de requête telles que PROPFIND. La société recommande de désactiver le service WebDAV sur les installations IIS 6.0 pour aider à atténuer le problème.

• Serveur Web IIS 6
• Microsoft