W1 Internet Information Services (IIS) - SOS PC 33 Dépannage Réparation Iphone Bordeaux / pc / Portable / Consoles / informatique

IIS utilise un module de programmation connu sous le nom d'ISAPI pour associer les fichiers ayant certaines extensions à des DLLs (connues sous le nom de filtre ISAPI). Les pré-processeurs tels que ColdFusion et PHP utilisent ISAPI, IIS incluant beaucoup de filtres ISAPI pour manipuler des fonctions telles que les pages actives (dynamiques) de serveur (ASP), y compris côté serveur, et partage d'impression web. Beaucoup de filtres ISAPI installés par défaut avec IIS ne sont pas requis dans la plupart des installations, et beaucoup de ces filtres sont exploitables. Des vers bien connus comme Code Red et Code Red 2 sont deux exemples de programmes malveillants qui emploient ce type de mécanisme de propagation.

Comme beaucoup de serveurs sur l’internet, IIS inclut des exemples applicatifs qui ont été conçus pour démontrer la fonctionnalité du serveur web. Ces applications n'ont pas été conçues pour fonctionner en toute sécurité dans un environnement de production. Quelques exemples applicatifs de IIS ont permis la visualisation ou la réécriture arbitraire de fichiers aussi bien quel'accès à distance à d'autre information sensible du serveur, y compris le mot de passe de l'administrateur.

Une installation d'IIS sans maintenance effective est également sujette à des vulnérabilités découvertes à posteriori de la date de révision du logiciel. Les exemples incluent les vulnérabilités WebDAV "ntdll.dll" dans IIS 5.0, qui pouvait permettre des attaques par déni de service, à n'importe quel visiteur du site internet de créer et d’exécuter des scripts sur le serveur, et l'exploitation de la vulnérabilité Unicode, qui permettait à n'importe quel visiteur du site internet d'exécuter des commandes arbitraires sur le serveur en effectuant simplement des requêtes URLs soigneusement forgées.

Des add-ons tiers tels que ColdFusion et PHP peuvent introduire d'autres vulnérabilités dans une installation d'IIS, soit par une mauvaise configuration ou au travers de vulnérabilités inhérentes au produit.

Au moment de la présente édition, aucune vulnérabilité n'a été reportée dans Windows 2003 fonctionnant avec IIS 6 ; Il est cependant raisonnable d'anticiper la découverte et le rapport devulnérabilités ultérieures, le nombre d’environnements de production adoptant la nouvelle plate-forme augmentant significativement.

W1.3 Les identifiants CVE/CAN

CVE List

Candidats sur Liste

CVE-1999-0264
CVE-1999-0278
CVE-1999-0874
CVE-1999-0237
CVE-1999-0191
CVE-2000-0770
CVE-2000-0778
CVE-2000-0884
CVE-2000-0886
CVE-2000-0226
CVE-2001-0151
CVE-2001-0241
CVE-2001-0333
CVE-2001-0500
CVE-2001-0507

CAN-1999-0509 - CAN-1999-0736
CAN-1999-1376 - CAN-2002-0071
CAN-2002-0073 - CAN-2002-0079
CAN-2002-0147 - CAN-2002-0149
CAN-2002-0150 - CAN-2002-0364
CAN-2002-0419 - CAN-2002-0421
CAN-2002-0422 - CAN-2002-0869
CAN-2002-1180 - CAN-2002-1181
CAN-2002-1182 - CAN-2002-1309
CAN-2002-1310 - CAN-2003-0109
CAN-2003-0223 - CAN-2003-0224
CAN-2003-0225 - CAN-2003-0226
CAN-2003-0227 - CAN-2003-0349

W1.4 Comment déterminer si vous êtes vulnérable

Les installations par défaut ou non mises à jours de IIS peuvent (doivent) être présumées comme vulnérables.

Les administrateurs de système et réseau en charge des déploiements de IIS devraient se familiariser avec la vaste collection d’utilitaires de Microsoft ainsi qu’avec les documents de sécurité se rapportant à l’administration correcte d’Internet Information Server.

La principale référence concernant la documentation inhérente à la sécurité de IIS est le Centre de Sécurité Internet Information Server (IIS)

Il vous est conseillé de télécharger et d’utiliser Microsoft Baseline Security Analyzer qui contient des procédures de détection spécifiquement adaptées à IIS.

Les administrateurs devraient comparer leurs systèmes avec les nombreuses listes de vérification, guides de configuration renforcée, et documentations de remédiation aux vulnérabilités que Microsoft met à disposition afin de donner un sens au statut de vulnérabilité.

W1.5 Comment s’en protéger
Patchez le système et tenez-le à jour.
La mise à jour d’un serveur à l'installation est nécessaire, mais pas suffisant.

En fonction des découvertes de nouvelles failles inhérentes à IIS, vous devrez effectuer les mises à jour en conséquence.

Windows Update et AutoUpdate sont des options pour des installations serveurs en mode autonome.

HFNetChk, le Network Security Hotfix Checker (Contrôleur de Patchs Sécurité Réseau), aide l’administrateur système à scanner les systèmes locaux ou distants pour des patchs d’actualité.

L’outil fonctionne sur Windows NT 4, Windows 2000, et Windows XP.

La version actuelle peut être téléchargée chez
Microsoft sur http://www.microsoft.com/technet/security/tools/hfnetchk.asp.

Si vous utilisez des add-ons tiers tels que ColdFusion, PerlIIS, ou PHP, rappelez-vous de vérifier la présence de patchs aussi bien que d’aides à la configuration sur les sites Web des vendeurs.

Pour des raisons évidentes, Microsoft n'inclut pas de patchs tiers (pour des produits autres que Windows) dans Windows Update ni dans les services de mise à jour associés.

Utilisez le Gestionnaire IIS Lockdown afin de renforcer l’installation Microsoft a réalisé un utilitaire simple connu sous le nom de gestionnaire IIS Lockdown pour faciliter la sécurisation des installations de IIS.

La version actuelle peut être téléchargée chez Microsoft sur
http://www.microsoft.com/technet/security/tools/locktool.asp.

L’activation du Gestionnaire IIS Lockdown en mode "custom" ou "expert" vous permettra de faire les changements recommandés suivants sur une installation IIS:

• Désactivez WebDAV (à moins que votre environnement ne le requiert absolument pour la publication de contenu web).
• Démappez toutes les extensions ISAPI inutiles (y compris .htr, .idq, .ism, et .printer en particulier).
• Eliminez les exemples applicatifs fournis.
• Interdisez au serveur web l’accès aux commandes système courantes généralement utilisées dans un compromis (e.g., cmd.exe et tftp.exe).

Utilisez URLScan pour filtrer les requêtes HTTP Beaucoup de codes d’exploitation des vulnérabilités d’IIS, y compris Code Blue et la famille Code Red, utilisent des requêtes HTTP malicieusement forgées dans les attaques dites « Directory Traversal » ou « Débordement de Buffer ».

Le filtre URLScan peut être configuré pour rejeter de telles demandes avant que le serveur essaye de les traiter.

La version actuelle a été intégrée au gestionnaire IIS Lockdown, mais peut toutefois être téléchargée séparément chez Microsoft sur http://www.microsoft.com/technet/security/tools/urlscan.asp.

Liens Relatifs