Une vague d'attaques menace les applications ASP.NET

Mise à jour du 29/09/2010 par Idelways

Microsoft vient de sortir en urgence un correctif pour son Framework web ASP.NET afin de colmater la faille de type Padding Oracles Everywhere (POE) dévoilée par deux chercheurs récemment.

Cette faille permettrait de cracker le système de chiffrement du framework, voler des informations critiques voir dans le pire des cas de s'attribuer des droits d'administrateur (pour plus de détails, lire ci-avant).

Microsoft avait communiqué sur cette faille il y a une dizaine de jours afin de préparer les développeurs et les administrateurs à tester puis à appliquer le patch dès sa sortie.

L'entreprise avait classé cette faille au niveau "Important" (deuxième sur une échelle de quatre), du fait que la vulnérabilité — selon Microsoft — ne permet pas d'exécuter du code.

Le patch s'adresse aux versions 3.5 SP1 et supérieures du framework sur toutes les versions de Windows (desktop ou serveurs). Les installations minimalistes de Windows Server 2008 connues sous le nom de « Server Core » sont aussi concernées par cette faille et donc par ce correctif.

Pour l'instant, le patch n'est disponible que sur Microsoft Download Center, il sera diffusé via Windows Update ultérieurement.

A appliquer le plus rapidement possible donc.

Téléchargez la mise à jour du framework qui inclut le correctif.

Source : le bulletin de sécurité de Microsoft

Et vous ?

Avez-vous été victime de ce genre d'attaques ?
Allez-vous mettre à jour vos serveurs de production ?

Une vague d'attaques menace la sécurité des applications ASP.NET
Et d'autres frameworks, une faille permettrait de déchiffrer les cookies

Les applications-web écrites en ASP.NET pourraient subir une nouvelle vague de crypto-attaques mettant en péril la sécurité des données critiques.

Cette faille, de type « Padding Oracles Everywhere » selon le chercheur en sécurité Juliano Rizzo permettrait aux attaquants de déchiffrer les cookies et d'extirper les statistiques, les mots de passes et les données des utilisateurs (comme le numéro de sécurité social), en fait tout ce qui est chiffré avec l'API du framework.

En mettant la main sur ces données sensibles, un hacker mal intentionné pourrait utiliser l'exploit pour simuler un ticket d'identification et accéder à l'application avec des droits d'administrateur.

Plus techniquement, Juliano explique que l'attaque exploite l'implémentation boguée de l'algorithme de chiffrement symétrique : Advanced Encryption Standard (AES) largement utilisé sur les applications ASP.NET. Le maillon faible étant la gestion des erreurs par ASP.Net lorsque les données chiffrées dans les cookies sont modifiés.

Quand le texte encodé change, l'application vulnérable génère un message d'erreur qui expose des informations relatives au fonctionnement du processus de décryptage.

Plus d'erreurs signifient donc plus d'informations. Analyser plusieurs messages d'erreurs peut fournir à l'attaquant assez d'informations pour deviner la clé de chiffrement.

ASP.Net n'est pas la seule plateforme affectée par ces « padding oracle attacks », une faille par ailleurs connue depuis 2002.

Rizzo et son collègue Thai Duong ont pu démontrer la même faiblesse dans JavaServer Faces, Ruby on Rails et OWASP ESAPI.

Mais nos chercheurs ont – comme ils l'avouent eux-mêmes - choisi de faire du bruit autour de la plateforme de Microsoft afin d'attirer le maximum d'attention sur ce problème, Redmond étant généralement plus sujet aux critiques que les autres frameworks open-source, surtout en matière de sécurité.

Toujours dans le but de sensibiliser, Rizzo et Duong ont conçu et publié un utilitaire gratuit appelé POET (pour Padding Oracle Exploit Tool) capable de détecter cette faille... et de l'exploiter.

Dans un Livre blanc publié en mai dernier, les deux chercheurs espéraient sensibiliser l'ensemble des développeurs au danger de ces exploits et les encourager à les prendre aussi au sérieux que les injections SQL et les attaques type XSS.

En attendant que les développeurs des frameworks réagissent et sortent des patches, les chercheurs ne proposent aucune solution.

Mais ils déconseillent l'utilisation des algorithmes de chiffrement faits-maison, une démarche qu'ils jugent très risquée.

Source : Présentation à la conférence ekoparty Security, Livre blanc sur POA (PDF)

Et vous ?

Connaissiez-vous ce genre d'attaques ? Que faites-vous pour les prévenir sur vos applications web ?

En collaboration avec Gordon Fowler