Vaccination obligatoire pour Windows Server

Les experts en sécurité sont formels : les entreprises qui n'installeront pas le correctif MS07-39 publié par Microsoft et destiné à Windows Server prennent de très gros risques.

David Maume

01net.

le 11/07/07 à 17h25

laisser un avis

Comme tous les 2^e mardis du mois, Microsoft a publié un ensemble de correctifs de sécurité regroupés dans son désormais célèbre ' Patch Tuesday '.

La livraison mensuelle est particulièrement fournie puisqu'elle contient six mises à jour qui comblent onze failles dont cinq critiques dans Windows, Office et le Framework .Net. La liste complète des bulletins de sécurité est disponible sur le site Internet de Microsoft (en anglais) mais les experts en sécurité informatique attirent tout particulièrement l'attention des entreprises sur une faille découverte dans Windows Server 2000 et 2003.

Corrigée en même temps qu'une autre vulnérabilité par la rustine MS07-39, cette faille concerne le service d'annuaire Active Directory qui est inclus dans les deux versions serveurs de Windows.

Une faille particulièrement dangereuse

' Pour les entreprises c'est la faille la plus importante à corriger. Des failles aussi critiques sont assez rares ', explique Chaouki Bekrar, directeur technique (et co-fondateur) de FrSIRT, société spécialisée dans la recherche et la veille en sécurité informatique.

La faille peut être exploitée au moment où l'annuaire Active Directory valide une requête extérieure LDAP (la technologie d'annuaire de Microsoft utilise le protocole d'interrogation Lightweight Directory Access Protocol qui repose lui-même sur le protocole TCP/IP).

Comme l'indique lui-même Microsoft dans le bulletin de sécurité associé, un pirate peut détourner le service d'interrogation LDAP pour prendre le contrôle du serveur à distance. Cette faille est très dangereuse car Active Directory est une pièce centrale de Windows qui répertorie tout ce qui touche au système d'information à travers le contrôleur de noms de domaine : les ressources matérielles et logicielles (imprimantes, applications, dossiers partagés, etc.) mais aussi les noms des utilisateurs et les droits associés.

' Active Directory est une cible privilégiée pour les pirates et il devrait de fait y avoir très rapidement des "codes exploits" capables d'utiliser cette faille ', confirme Julien Raeis, expert en sécurité chez HSC qui travaille au sein de la cellule de veille sur les vulnérabilités. La version 2000 de Windows Server est la plus exposée à cette vulnérabilité. ' Contrairement à Windows Server 2003, l'exploitation de cette faille avec Windows Server 2000 ne nécessite pas d'authentification préalable et peut donc faire l'objet d'attaques distantes complètement automatisées ', explique Chaouki Bekrar.

Les serveurs mis à jour automatiquement sont hors de danger

Avec Windows Server 2003, la difficulté pour les pirates sera de faire tourner leur code malveillant sur le PC d'un employé à son insu (en envoyant par exemple un virus par mail ou en l'installant sur un portable qui se connectera ensuite au réseau de l'entreprise). Mais selon les experts, ce scénario est tout à fait envisageable. ' C'est vraiment la faille à corriger en priorité ce mois-ci dans les entreprises ', insiste Julien Raeis.

Tous les serveurs Windows configurés pour un téléchargement et une installation automatique seront rapidement hors de danger. Mais en entreprise et en particulier dans les grands comptes, les responsables informatiques n'effectuent pas systématiquement les mises à jour car leur installation peut perturber la production et surtout remettre en cause la stabilité du système d'information.

Certains grands comptes utilisent des logiciels serveurs qui concentrent les patchs disponibles pour l'ensemble de leurs systèmes d'exploitation et de leurs applications, puis les installent à un moment choisi par l'équipe informatique. Microsoft fournit alors ses correctifs sous la forme de modules à déployer en s'appuyant sur le logiciel Windows Server Update Services.

Avant de déployer leur patch, certains grands comptes passent systématiquement par une phase de validation en s'appuyant éventuellement sur les services d'experts en vulnérabilité. Ce mois-ci, peu d'entre eux devraient faire l'impasse sur le correctif MS-07 39.