Programa de consultor de segurança venezuelano explora falha no Windows 2000

Foi ontem divulgada em duas importantes mailing-lists de segurança – a BugTraq e a VulnWatch – o código-fonte
de um programa desenvolvido por um consultor de segurança informática
venezuelano que tem por objectivo comprometer os servidores que têm o Internet Information Service instalado e cujos administradores ainda não corrigiram uma
vulnerabilidade recentemente detectada.

Este exploit divulgado ontem irá permitir que os administradores com
menos conhecimentos técnicos realizem testes para detectar a
existência da vulnerabilidade, mas, ao mesmo tempo, abre a porta para que
potenciais atacantes menos habilidosos danifiquem servidores.

“Eu publiquei o código para esclarecer o público e promover a segurança dos
sistemas junto dos administradores pouco familiarizados com estes exploits“,
afirmou Rafael Nunez, consultor de segurança informática para a Scientech de Venezuela e
antigo hacker, em declarações à C|NET. A divulgação do código é a mais recente novidade na
história da falha de segurança no Windows 2000 que a Microsoft anunciou há cerca
de uma semana atrás.

A vulnerabilidade, sobre a qual a gigante de software afirmou que poderia ser
explorada através do componente World Wide Web Distributed Authoring and
Versioning (WebDAV) do Internet Information Service (IIS) 5.0, permite que um
potencial atacante tome controlo de um servidor, obtendo todos os privilégios
de um administrador. A falha foi detectada a 12 de Março pelo Exército dos
Estados Unidos depois de um servidor público da Web ter sido comprometido por
esta falha de segurança.

A Microsoft aconselhou os seus clientes a corrigirem os sistemas. Nunez
também salientou que os administradores de sistemas devem aplicar o código de
correcção às suas máquinas antes de um criador de vírus usar a
vulnerabilidade como suporte de propagação de um worm informático.
Segundo Nunez, o código que divulgou baseia-se num exemplar obtido através de
hackers na Internet, tendo o consultor venezuelano filtrado e limpado
esse código antes de o ter publicado nas mailing-lists.

Notícias Relacionadas:
2003-03-20 – Microsoft emite aviso sobre falha de segurança no motor de
scripts do Windows
2002-11-21 – Software para a Web da Microsoft contém falha de
segurança grave