Falha de segurança atinge servidores da Microsoft

A Microsoft confirmou a existência de uma vulnerabilidade que afeta seus servidores IIS com a tecnologia ASP.NET habilitada. Ao enviar uma URL especialmente formada, um atacante pode contornar o processo de autenticação no nível da aplicação, expondo dados e programas disponíveis no servidor vulnerável. Ainda não há correção para o problema.

As aplicações Web em ASP.NET podem usar um arquivo web.config para controlar mecanismos de autenticação. Se um visitante do site em questão usar um caracter como "" ou "%5C" para substituir o "/" do endereço da Internet, as telas de início de uma sessão de senha poderão ser contornadas.

A técnica também pode ser empregada caso um espaço seja substituído por uma barra (/). De acordo com peritos em segurança, o problema opera diferentemente em navegadores Mozilla e Internet Explorer. Também permite, aparentemente, que os usuários autenticados contornem a proteção de senha em áreas administrativas locais.

O alerta da Microsoft informa que o navegador Internet Explorer converte automaticamente uma barra invertida para barra normal, porém o valor codificado em hexadecimal de uma barra invertida pode ser substituído para explorar com sucesso esta vulnerabilidade.

Todas as versões do servidor Microsoft IIS com ASP.NET estão comprometidas. Como não há atualização disponível no momento, a Microsoft e o CERT indicam duas medidas para minimizar o impacto da vulnerabilidade:

- Instalar o módulo VPModule.msi, que protege todas as aplicações ASP.NET de problemas conhecidos com endereços de Internet, até o momento. Para obter o módulo consulte o artigo KB 887289.

- Instalar a ferramenta URLScan, que restringe os tipos de requisição HTTP processados pelo IIS. Assim, é possível prevenir que uma URL com o caracter barra invertida (""), usado na exploração desta vulnerabilidade, alcance o servidor por meio de uma requisição HTTP.