Home > Notícias

Hackers exploram falha crítica e sem correção no ASP.Net

Bug permite o seqüestro de sessões criptografadas na web, diz a Microsoft

Computerworld (EUA)

24/09/2010 às 11h05

Foto:

Em uma atualização de um alerta publicado na última segunda-feira (20/9), a empresa afirmou que estava analisando “ataques limitados e ativos neste momento”. A Symantec, que tem uma enorme rede global de sensores e sistemas honey-trap (armadilhas para detectar ataques) para capturar exploits, disse que não tinha visto nenhum ataque, no entanto. 

A vulnerabilidade existe em todas as versões do ASP.Net, plataforma da empresa para aplicativos da Web,  usada para criação de milhões de sites e aplicativos. O bug permite que crackers acessem aplicativos Web com direitos completos de administrador; dessa forma, eles podem descriptografar os cookies de sessão ou outros dados criptografados em um servidor remoto, além de acessar arquivos de um site ou aplicativo da Web.

A empresa reiterou o compromisso de corrigir a vulnerabilidade, mas, como na semana passada quando reconheceu o bug, não definiu uma data de entrega para a correção.

"Nós vamos lançar um patch no Windows Update, então todas as máquinas vão buscá-lo", disse Scott Guthrie, o executivo da Microsoft, que comanda a equipe de desenvolvimento ASP.Net.

As próximas atualizações de segurança regulares estão programadas para o dia 12 de outubro, Ocasionalmente, patches de emergência - chamados de atualizações "out-of-band" - para resolver os problemas como o do ASP.Net, quase sempre aparecem após os ataques.

Até que a empresa lance uma correção, Guthrie continua recomendar que sites e desenvolvedores de aplicativos para tapem o buraco com uma solução temporária que envolve a edição do arquivo "web.config".

O SharePoint Server 2007 e o SharePoint 2010 também estão vulneráveis a ataques ASP.Net, disse a Microsoft. A equipe do SharePoint publicou diferentes instruções web.config com edições de alto nível no software de colaboração.

A Microsoft não estava subestimando a ameaça de sites e aplicações. "O exploit pode ser usado contra todos os tipos de aplicações ASP.NET", disse Guthrie em um FAQ que ele postou segunda-feira.

"Todos os sites que usam o ASP.NET são afetados por esta vulnerabilidade", ecoou Kevin Brown, um engenheiro da Microsoft Security Response Center (MSRC).

Tags

Junte-se a nós e receba nossas melhores histórias de tecnologia. Newsletter por e-mail Newsletter por e-mail