PROJET AUTOBLOG

IT-Connect

Site original : IT-Connect

⇐ retour index

Installer et configurer IIS 10 sur Windows Server 2022

vendredi 1 avril 2022 à 11:22

I. Présentation

Dans ce tutoriel, nous allons apprendre à installer et configurer IIS sur Windows Server 2022 dans le but de pouvoir héberger un site Web ou une application. Microsoft IIS (Internet Information Services) est le serveur web fonctionnant sous Windows Server, et qui représente une alternative à d'autres solutions populaires comme Apache ou Nginx que l'on va plutôt faire tourner sur Linux.

Lors de la mise en place de certains rôles sur Windows Server, notamment WSUS, SharePoint, ou encore un serveur de messagerie Exchange, un serveur Web IIS sera systématiquement mis en place pour héberger l'application Web. Lorsque l'on met en place un serveur Exchange et que l'on accède à ses e-mails via le Webmail (Outlook Web Access - OWA) à partir de son navigateur, on s'appuie sur le serveur web IIS.

Aujourd'hui, l'objectif est d'installer IIS 10 sur Windows Server 2022, et de voir quelques notions de base pour configurer un site dans IIS. Cet article nous servira de point de départ pour les prochains articles où nous verrons comment exploiter un peu plus IIS.

Note : IIS s'installe également sur les autres versions de Windows Server, mais aussi Windows 10 et Windows 11 !

II. Installation de IIS sur Windows Server 2022

Bien que l'installation de IIS soit possible avec PowerShell et un fichier de réponse, nous allons procéder via l'interface graphique. Lors de l'installation de IIS, il y a de nombreuses options possibles, allant même jusqu'à transformer IIS en serveur FTP. Ouvrez le gestionnaire de serveur, et cliquez sur "Gérer" puis "Ajouter des rôles et fonctionnalités".

Passez le premier écran, puis sur le second passez également sans changer le choix par défaut, à savoir "Installation basée sur un rôle ou une fonctionnalité".

Passez l'étape de sélection du serveur sans faire de changement, et au moment de choisir un rôle pour ce serveur, cochez "Web Server (IIS)" dans la liste (1) puis cliquez sur "Ajouter des fonctionnalités" (2) afin d'installer également la console de management de IIS. Ensuite, poursuivez et passez l'étape "Fonctionnalités" car nous n'avons rien à installer en supplément.

Installation IIS Windows Server 2022

Maintenant, nous allons avoir l'opportunité de personnaliser l'installation du rôle IIS. Cliquez sur "Suivant".

Différentes fonctionnalités sont cochées par défaut. Disons qu'il y a l'essentiel pour utiliser IIS : vous pouvez laisser comme ceci. Pour des usages spécifiques, comme l'activation du WebDAV ou encore la mise en place du service FTP, il faudra cocher les options adéquates. De toute façon, il est possible d'ajouter des fonctions par la suite.

Nous sommes à la fin de l'assistant, cliquez sur "Installer" et patientez un moment.

Une fois que l'installation est terminée, je vous invite à ouvrir un navigateur puis à saisir l'adresse IP de votre serveur IIS dans la barre d'adresse. Normalement, vous devez obtenir la page par défaut de IIS, comme ceci :

IIS 10 sur Windows Server 2022

Le serveur IIS est opérationnel ! Félicitations ! Regardons sa configuration d'un peu plus près...

III. Configuration de IIS 10

Pour manager le serveur IIS, nous avons la console "Gestionnaire des services Internet (IIS)" accessible à partir du menu "Outils" du gestionnaire de serveur, ou via les outils d'administration.

Cette console permet de gérer le serveur, et notamment d'effectuer les actions suivantes :

Par défaut, IIS est livré avec un site nommé "Default Web Site" et il est stocké à l'emplacement suivant :

C:\inetpub\wwwroot

D'ailleurs, dans ce répertoire nous retrouvons deux fichiers : "iisstart.htm" et "iisstart.png" correspondant au contenu de la page d'accueil par défaut que nous avons vu précédemment. Lorsque l'on effectue un clic droit sur un site, par exemple le site par défaut, on accède à un ensemble d'actions (nous en verrons quelques-unes par la suite). Dans le même esprit, lorsque l'on sélectionne le serveur IIS en lui-même ou un site, la partie de droite de la console donne accès à la configuration des différents modules de ce site.

Il faut savoir que les options ont une valeur par défaut définie au niveau du serveur en lui-même. De cette façon, lorsque l'on crée un nouveau site, il hérite de cette configuration par défaut. Toutefois, rien n'empêche de modifier la configuration au niveau du site en lui-même.

A. Modifier l'emplacement d'un site IIS

Comme je le disais précédemment, par défaut, IIS stocke les données du site par défaut dans "C:\", sur le même volume que les programmes et Windows. Il est préférable d'héberger les données du site sur un autre volume dédié à cet usage. Pour modifier l'emplacement d'un site, ou la racine d'un site si vous préférez, il faut :

Le premier paramètre de la liste se nomme "Chemin d'accès physique" et c'est lui qui nous intéresse, cela tombe bien. Cliquez sur le bouton "..." en bout de ligne pour définir un nouvel emplacement. Créez un nouveau répertoire, par exemple "www" sur un autre volume de votre serveur (sur mon serveur, je n'ai qu'un seul volume, mais vous voyez l'idée) et cliquez sur "OK".

Si c'est un site existant, vous devez copier-coller le contenu de "C:\inetpub\wwwroot" vers le nouveau chemin. Pour finir, je vous recommande de redémarrer le site web via la console IIS pour être sûr que le changement est pris en compte.

Pour redémarrer le site, il suffit d'effectuer un clic droit dessus dans la console IIS, puis sous "Gérer le site Web", cliquer sur "Redémarrer".

B. Les documents par défaut

Quand on accède à un site Web, c'est généralement le contenu de la page "index" qui est chargée, soit "index.htm", "index.html" ou encore "index.php". Néanmoins, ce n'est pas obligatoire : tout dépend de la configuration du site.

En cliquant sur le site dans la console, on peut voir à droite une section nommée "Document par défaut". Double-cliquez dessus.

Nous pouvons voir différents noms de fichiers. Lorsque l'on accède à la page d'accueil du site, on ne précise pas le nom de la page, alors IIS va regarder s'il y a l'un de ces fichiers présents dans le répertoire du site afin de le présenter au client. L'ordre est important : le premier fichier trouvé sera affiché. On peut voir aussi la valeur "Héritée", cela signifie que ces valeurs sont héritées de la configuration par défaut de IIS.

Si l'on veut que la page d'accueil du site soit "index.html" et uniquement cela, on peut sélectionner les entrées et cliquer sur "Supprimer" à droite. On obtient ce résultat :

Notre répertoire "www" est vide actuellement. On va donc créer un fichier "index.html" avec le bout de code HTML suivant :

<html>
<head></head>
<body>
<h2>IIS 10 pour IT-Connect</h2>
</body>
</html>

Ce qui donne :

Sur l'image ci-dessus, vous pouvez voir la présence du fichier "web.config". Il s'agit d'un fichier de configuration IIS propre à ce site qui a été généré suite à la modification de la configuration des options "Document par défaut" afin de prendre en compte le fait que nous avons supprimé des valeurs héritées.

Désormais, si l'on accède à la page d'accueil de notre site IIS, toujours avec l'adresse IP, on peut voir le contenu de notre page "index.html" :

Là, c'est une page HTML toute simple, mais on peut bien sûr utiliser du PHP, de l'ASP, etc... En configurant le serveur IIS en conséquence. Je vais aborder la partie PHP dans un prochain article.

IV. Comment sécuriser un serveur IIS 10 ?

Pour maintenir un bon niveau de sécurité sur son serveur IIS 10, il y a quelques règles de base à respecter.

Rendez-vous dans le prochain article IIS pour approfondir la configuration IIS. En attendant, je vous invite à regarder l'article ci-dessous si vous souhaitez passer un site IIS en HTTPS.

The post Installer et configurer IIS 10 sur Windows Server 2022 first appeared on IT-Connect.

Les firewalls Zyxel touchés par la faille critique CVE-2022-0342

vendredi 1 avril 2022 à 08:01

Zyxel a publié une mise à jour du firmware pour plusieurs de ses produits, notamment des firewalls, afin de corriger une faille de sécurité critique : la CVE-2022-0342 !

Preuve que cette faille de sécurité est critique, Zyxel a attribué un score de 9,8 sur 10 à la CVE-2022-0342. Et pour cause, un attaquant qui exploite cette vulnérabilité peut obtenir un accès administrateur sur l'équipement Zyxel, tout en sachant qu'elle s'exploite sans être authentifié.

Au sein de son bulletin de sécurité, Zyxel précise : "Une vulnérabilité de bypass de l'authentification causée par l'absence d'un mécanisme de contrôle d'accès approprié a été découverte dans le programme CGI de certaines versions de pare-feu. Cette faille pourrait permettre à un attaquant de contourner l'authentification et d'obtenir un accès administrateur sur l'équipement".

D'après Zyxel, plusieurs séries de produits sont affectées : USG/ZyWALL, USG FLEX, ATP, VPN, et NSG (Nebula Security Gateway). Ces équipements sont généralement utilisés dans les PME, notamment pour effectuer du contrôle de flux sur le réseau ou pour permettre un accès distant via VPN, en fonction de l'équipement en place.

Plus précisément les firmwares affectés sont :

Pour les équipements de la série NSG, Zyxel a publié un hotfix pour le moment, en attendant qu'un patch classique soit publié en mai 2022. Pour les autres séries listées ci-dessus, une mise à jour du firmware est disponible. Même si pour le moment, il ne semble pas y avoir d'attaques informatiques qui exploitent cette faille de sécurité, Zyxel recommande de mettre à jour vos équipements vers la dernière version sans attendre.

Enfin, la découverte de cette vulnérabilité est à mettre au crédit d'Alessandro Sgreccia de Tecnical Service Srl et Roberto Garcia H et Victor Garcia R de chez Innotec Security.

Cette faille de sécurité est réelle, il ne s'agit pas d'un poisson d'avril 😉

Source

The post Les firewalls Zyxel touchés par la faille critique CVE-2022-0342 first appeared on IT-Connect.

Cyberassurance et la question du ransomware

vendredi 1 avril 2022 à 06:00

Les entreprises, peu importe leur taille, peuvent être victime d'une attaque informatique à tout moment. Face à ce risque, il faut renforcer la sécurité de son système d'information d'une part et sensibiliser et éduquer les utilisateurs d'autre part. En complément, et c'est de plus en plus fréquent, les entreprises souscrivent à ce que l'on appelle une cyberassurance : en quoi ça consiste ? La rançon d'une attaque par ransomware peut-elle être payée par l'assurance ? Tentons d'éclaircir le sujet.

Qu'est-ce qu'une cyberassurance ?

Cette solution qu'est la cyberassurance est de plus en plus populaire. Ce n'est pas surprenant, car le nombre d'attaques informatiques ne cesse d'augmenter et la majorité des entreprises ont des outils numériques.

Même si une entreprise effectue tous les efforts nécessaires pour se protéger contre les cyberattaques, il suffit d'une faille de sécurité ou de la négligence d'une personne, pour que tout bascule et que le pire arrive. Ces dernières années, les attaques par ransomwares sont particulièrement fréquentes et dévastatrices.

En fonction des effets de cet incident, il faut être capable de réagir aux conséquences. C'est à ce moment précis que peut intervenir la cyberassurance, puisqu'elle est là comme moyen de protection contre les effets de cet incident.

Son objectif est de minimiser l'impact sur l'entreprise, que ce soit sur l'activité de l'entreprise, mais aussi sur les coûts financiers. La police d'assurance peut couvrir la perte financière voire certains coûts financiers liés à l'attaque informatique et à la remise en service du système d'information.

Comme toute assurance, les contrats sont bourrés d'options et les clauses peuvent varier d'une police d'assurance à une autre. Il faut rester vigilant pour identifier ce qui est couvert, et ce qui ne l'est pas.

Par ailleurs, ce serait une erreur de se dire "ce n'est pas grave si on néglige la sécurité, car de toute façon nous avons une cyberassurance". C'est de la responsabilité de l'entreprise d'assurer la sécurité de son système d'information, et l'assurance n'empêchera pas les attaques informatiques.

Ransomware et la question du paiement de la rançon

Lorsqu'une entreprise subit une attaque informatique, elle est très souvent victime d'un rançongiciel (ransomware) ou d'une arnaque aux faux ordres de virement.

Quand un ransomware entre en action, il chiffre les données présentent sur les serveurs de l'entreprise (voire même sur les ordinateurs). Résultat, si l'entreprise n'a pas un système de sauvegarde fiable, elle peut tout perdre ! Enfin, sauf si elle paie la rançon ! En effet, en payant la rançon qui peut aller de quelques milliers d'euros à plusieurs dizaines de milliers d'euros ou plus, l'entreprise peut récupérer ses données.

Lorsqu'une entreprise décide de payer la rançon, c'est qu'elle n'a pas d'autre alternative. Dans le cas où un contrat de cyberassurance est en place, l'entreprise peut solliciter son assureur pour que la rançon soit payée à sa place, à condition que ce soit inclus dans les clauses du contrat.

Néanmoins, cela divise fortement, car le paiement de la rançon ne doit pas devenir systématique : si l'on paie la rançon, cela ne fait qu'enrichir les groupes de cybercriminels et les encourager à continuer. En France, l'ANSSI ne souhaite pas interdire le paiement des rançons par les assurances, mais il est certain que cela va être encadré par une loi. D'ailleurs, face à l'hésitation du gouvernement sur le sujet, certaines polices d'assurance ont pris la décision de ne plus payer les rançons.

Tout cela pour dire qu'il vaut mieux investir dans la sécurité de son système d'information et la sensibilisation de ses utilisateurs, plutôt que de compter sur sa cyberassurance pour payer la rançon en cas d'incident. Par contre, comme je le disais précédemment, elle pourra vous aider financièrement sur d'autres aspects comme les coûts liés à la perte d'activité.

Il ne faut pas oublier que si une entreprise subit une attaque et que cela impacte sa réputation, ce n'est pas l'assurance qui pourra y faire quelque chose. Si la réputation est impactée, les clients pourraient avoir envie d'aller voir ailleurs.

Combien coûte une cyberassurance ?

Terminons cet article en parlant du coût d'une cyberassurance. Sans surprise, le coût dépend de différents critères dont :

Cette notion de cyberassurances est relativement récente et on peut imaginer qu'elles vont continuer d'évoluer et de murir avec le temps. Dans tous les cas, les entreprises en auront probablement besoin pour assurer leurs arrières un minimum.

Avez-vous eu une expérience bonne ou mauvaise avec une cyberassurance ? N'hésitez pas à partager votre retour d'expérience en commentaire ! 🙂

The post Cyberassurance et la question du ransomware first appeared on IT-Connect.

Windows : comment activer la compression SMB pour le transfert de fichiers ?

jeudi 31 mars 2022 à 17:31

I. Présentation

Dans ce tutoriel, nous allons apprendre à activer la compression SMB sur un partage sous Windows Server 2022 et nous allons exploiter ce partage à partir d'un poste client sous Windows 11. Il s'agit de l'une des nouvelles fonctionnalités de Windows Server 2022, prise en charge également sur Windows 11.

Grâce à la compression SMB, les données sont compressées à la volée avant d'être transférées vers l'hôte distant dans le but de réaliser le transfert plus rapidement. En effet, la compression va permettre de réduire la quantité de données à transférer, donc logiquement le temps de transfert devrait être réduit. Au niveau de la machine, le processeur sera un peu plus sollicité, car il faut compresser les données avant de les envoyer, et de l'autre côté, la machine doit les décompresser à la réception.

Au sein de sa documentation, Microsoft précise que la compression SMB utilise l'algorithme de compression XPRESS (LZ77) par défaut, mais que d'autres algorithmes sont disponibles :  XPRESS Huffman (LZ77+Huffman), LZNT1 ou PATTERN_V1.

La compression SMB est compatible avec les transferts de fichiers notamment avec des outils comme Robocopy ou Xcopy, ainsi que les lecteurs réseaux, mais également des fonctions plus avancées : chiffrement SMB, SMB over QUIC, SMB multichannel ou encore Hyper-V Live Migration.

Pour ma part, je vais utiliser le serveur SRV-APPS qui est bien sûr sous Windows Server 2022 et je vais agir sur un partage nommé "Partage".

II. Activer la compression SMB

Sur Windows Server 2022, il y a deux manières d'activer la compression SMB sur un partage :

Nous allons voir les deux méthodes dans ce tutoriel, car tout le monde n'utilise Windows Admin Center même si c'est un outil de gestion à la mode ! À partir du gestionnaire de serveur et des options avancées d'un partage, il n'est pas possible d'activer la compression SMB.

A. La compression SMB avec Windows Admin Center

Je ne vais pas m'attarder sur l'installation de Windows Admin Center, car je l'ai déjà évoquée dans un autre article et ce n'est pas l'objet du jour. Au sein de l'interface, après avoir cliqué sur le serveur "SRV-APPS", il faut cliquer sur "Partage mutuel de fichiers" à gauche puis sur l'onglet "Partages de fichiers". La liste des partages présents sur le serveur s'affiche et nous pouvons voir le fameux "Partage".

Tout à droite, il y a une colonne "Compresser des données" positionnée à "false" pour chaque partage. Cela signifie que la compression SMB est désactivée et que c'est la configuration par défaut.

Pour activer l'option sur un partage, c'est tout simple : il faut cliquer sur le partage dans la liste puis cliquer sur le bouton "Modifier le partage". Un panneau latéral va s'afficher sur la droite avec plusieurs options, dont "Compresser des données". Vous l'aurez compris, il faut cocher la case et valider ! C'est tout !

Windows Admin Center - Compression SMB

B. La compression SMB avec PowerShell

Pour activer la compression SMB sur un partage avec PowerShell, c'est également très simple ! Si le partage existe déjà, il suffit de modifier sa configuration avec Set-SmbShare et le paramètre "-CompressData" qui agit directement sur cette option. Ce paramètre doit être définit à "$true" pour activer et "$false" pour désactiver.

Ce qui donne :

Set-SmbShare -Name "Partage" -CompressData $true

Lorsque la commande est exécutée, il faut valider avec "O" puis "Entrée". Ce n'est pas plus compliqué.

Maintenant, si l'on imagine que le partage n'existe pas, on pourrait le créer avec New-SmbShare et définir le paramètre "-CompressData" à "$true" dès la création. Comme ceci :

New-SmbShare -Name "Partage" -Path "C:\Partage" -CompressData $true

Sur une machine, la commande Get-SmbShare est capable de lister les partages, donc c'est un excellent moyen de vérifier notre configuration. C'est d'autant plus simple que cette commande contient aussi le paramètre "-CompressData" ! Si l'on veut lister tous les partages avec la compression active, il suffit d'exécuter cette commande :

Get-SmbShare -CompressData $true

Notre partage est bien retourné !

Get-SmbShare -CompressData $true

III. Comment exploiter la compression SMB ?

Pour que la compression SMB s'applique lors d'un échange de données, il faut que la machine cliente (client SMB) qui communique avec le serveur de fichiers (serveur SMB), ici SRV-APPS, soit configurée pour utiliser la compression SMB. Autrement dit, la compression SMB doit être activée côté client, et donc côté Windows 11.

A. Configuration de la compression SMB sur Windows 11

L'activation de la compression SMB

La commande ci-dessous permet de récupérer la configuration SMB de Windows 11 et plus précisément la propriété "DisableCompression". Normalement, la compression SMB est activée par défaut (mais pas exploitée). La commande ci-dessous doit retourner "false".

Get-SmbClientConfiguration | ft DisableCompression

Si ce n'est pas le cas, voici comment activer la compression SMB (ou la désactiver, à l'inverse) :

Set-SmbClientConfiguration -DisableCompression $false

B. Créer un fichier pour tester (facultatif)

Pour effectuer un test de transfert des données avec et sans compression SMB, on peut utiliser un fichier ISO assez volumineux, un disque virtuel VHD/VMDK, etc... ou créer son propre fichier "vide" d'une taille définie. Sous Windows, on peut créer un fichier vide d'une taille définie avec la commande fsutil. Voici comment créer un fichier de 8 Go :

fsutil file createnew c:\8Go.txt 8589934592

Vous pouvez aussi créer un fichier VHD de taille fixe à l'aide de diskpart (ensuite, l'initialiser, le monter, et ajouter quelques fichiers JPG, par exemple). Pour créer un VHD de 8 Go :

diskpart
create vdisk file="C:\SMB.vhd" maximum=8096 type=fixed

Cette étape est facultative si vous avez déjà des données.

C. Compression SMB avec Robocopy

La compression SMB est exploitable par les administrateurs de différentes façons : sur un cluster Hyper-V via la Live Migration, au travers de l'excellent (et indémodable) Robocopy, mais aussi xcopy.

Commençons par Robocopy qui intègre un nouveau paramètre nommé "/compress" (comme xcopy) sur Windows Server 2022 et Windows 11 afin d'exploiter la compression SMB.

Je vais transférer le fichier "8Go.txt" de mon hôte local sous Windows 11 vers SRV-APPS. Voici la commande :

ROBOCOPY "C:\" "\\srv-apps.it-connect.local\Partage" 8Go.txt

On peut voir qu'en 31 secondes, l'affaire est bouclée, sans compression SMB.

Maintenant, je vais supprimer le fichier sur SRV-APPS et relancer Robocopy en ajoutant le paramètre "/compress" pour activer la compression des données. Cela donne :

ROBOCOPY "C:\" "\\srv-apps.it-connect.local\Partage" 8Go.txt /COMPRESS

La copie est à peine plus rapide : 28 secondes au lieu de 31 secondes. Pour avoir fait différents tests, l'écart n'est pas flagrant, voire même inexistant, dans certains cas, mais quoi qu'il en soit cela reste avantageux pour la congestion du réseau.

Robocopy compression SMB

Pour expliquer ce faible écart au niveau des performances, je dirais que c'est parce que mes deux machines virtuelles sont hébergées sur le même hôte VMware ESXi. Le bénéfice devrait être plus important et visible sur un transfert entre deux machines avec un réseau standard à 1 Gbit/s (si quelqu'un a le matos pour tester et me faire un retour 🙂).

Il faut savoir également que la compression SMB ne s'applique pas sur des données déjà compressées. Si vous transférez une archive ZIP, elle ne s'appliquera pas, car il n'y a pas d'intérêt les données à transférer étant déjà compressées. Cela ne ferait qu'alourdir le transfert inutilement.

D. Compression SMB avec un lecteur réseau

Pour les utilisateurs finaux, il va falloir faire autrement, car je ne pense pas qu'il travaille avec Robocopy donc on va pouvoir utiliser Net Use pour monter un lecteur réseau avec l'option de compression SMB activée. Si l'on veut monter le partage "Partage" de "SRV-APPS" en local avec la lettre "S" et activer la compression, voici la commande à utiliser :

net use S: \\srv-apps.it-connect.local\Partage /requestcompression:yes

Pour comparer les performances, je l'ai monté sans cette option de compression et j'ai copié une centaine de Mo de fichiers JPG. Ensuite, j'ai déconnecté le lecteur réseau et je l'ai reconnecté avec l'option de compression SMB afin de comparer les performances. Là, la différence est un peu plus évidente.

J'obtiens :

Compression SMB avec un lecteur réseau
Sans compression SMB

Et :

Avec compression SMB

PowerShell, au travers de New-SmbMapping est capable aussi de monter un lecteur réseau avec la compression SMB activée, mais il ne sera pas visible dans l'explorateur de fichiers (contrairement à New-PSDrive, mais l'option, n'est pas disponible). Voici tout de même un exemple :

New-SmbMapping -LocalPath "S:" -RemotePath "\\srv-apps.it-connect.local\Partage" -CompressNetworkTraffic $true

Il existe aussi une méthode qui consiste à créer la valeur de Registre "EnableCompressedTraffic" et lui affecter la valeur "1" pour compresser le trafic SMB autant que possible. Je n'ai pas encore bien cerné l'effet de cette valeur dans le Registre.

Set-ItemProperty -Path HKLM:\System\CurrentControlSet\Services\LanManWorkstation\Parameters\ -Name EnableCompressedTraffic -Value 1

IV. Conclusion

Nous venons de voir comment activer la compression SMB sur Windows Server 2022 et comment exploiter cette fonctionnalité au travers différentes méthodes (robocopy, net use, etc.). On peut voir que ce n'est pas si évident que ça de constater une différence significative au niveau des performances, et que cela dépend de la qualité du réseau entre les deux machines, mais aussi des types de données à transférer. Pour réduire la congestion du réseau, cette option me semble intéressante dans tous les cas.

Si vous effectuez quelques tests, n'hésitez pas à partager vos résultats en commentaire ! 😉

The post Windows : comment activer la compression SMB pour le transfert de fichiers ? first appeared on IT-Connect.

Spring4Shell – Java : le framework Spring contient une faille zero-day !

jeudi 31 mars 2022 à 09:37

Une faille zero-day de type "exécution de code à distance" a été découverte dans le framework Spring, utilisé pour les applications Java. Faut-il s'inquiéter ?

Cette vulnérabilité a été découverte peu de temps après qu'un chercheur en sécurité chinois ait divulgué un exploit PoC sur GitHub, avant de procéder à la suppression de son compte. Cette faille me fait penser à celle qui a touché la bibliothèque Log4j. Il faut dire que l'on voit déjà des noms comme Spring4Shell ou SpringShell lui être associés.

Tout d'abord, il faut savoir que Spring est un framework open source populaire auprès de la communauté Java, dont l'objectif est de faciliter le développement d'applications en Java. Il est utilisé dans de nombreux domaines, notamment pour des applications Web et des API. Spring est une société qui appartient à VMware.

D'après l'entreprise de cybersécurité Praetorian, la faille affecte Spring Core pour le kit de développement Java (JDK) en version 9 et supérieure. Elle permettrait d'exploiter facilement une autre vulnérabilité associée à la référence CVE-2010-1622, ce qui permettrait à un attaquant non authentifié d'exécuter du code arbitraire sur le système cible.

Les chercheurs Anthony Weems et Dallas Kaman ne sont pas très rassurants puisqu'ils précisent : "Dans certaines configurations, l'exploitation de cette faille de sécurité est simple, car il suffit à un attaquant d'envoyer une requête HTTP spécifique à un système vulnérable". Néanmoins, il faudra mener un travail de recherche supplémentaire pour être capable de construire une requête adaptée aux différentes configurations afin que la charge utile fonctionne.

Pour le moment, cette vulnérabilité n'a pas de correctif et elle n'a même pas de référence CVE attribuée, même si cela ne devrait pas tarder. Il ne faut pas confondre cette faille de sécurité avec deux autres publiées cette semaine au sujet de Spring (CVE-2022-22950 et CVE-2022-22963).

D'après les experts, cette vulnérabilité ne serait pas si sévère puisque l'attaquant doit identifier une application Web qui utilise "DeserializationUtils" pour exploiter la faille. Normalement, les développeurs ne l'utilisent pas, car cette fonction est déjà réputée comme étant dangereuse.

Pour le moment, des tests sont en cours sur le PoC publié, car on ne sait peut-être pas tout de cette faille de sécurité. Nous ne connaissons pas non plus la quantité de serveurs potentiellement vulnérables. Il faudra suivre de près l'évolution de la situation dans les prochains jours.

Source

The post Spring4Shell – Java : le framework Spring contient une faille zero-day ! first appeared on IT-Connect.