Los hackers que descubrieron la vulnerabilidad de estimación que el 25% de todos los sitios están sujetos a los ataques debido a el problema.
Microsoft advirtió el viernes (20/09) que un fallo crítico en ASP.Net - entorno de programación en los servidores de Windows - puede ser utilizado por hackers para entrar en las páginas web encriptadas y robar datos como nombres de usuario y contraseñas.
La vulnerabilidad se hizo pública ese mismo día, poco antes del anuncio de la empresa, cuando dos investigadores que descubrieron el problema, mostrará la forma de explotar a una conferencia sobre seguridad celebrada en Buenos Aires, Argentina.
Según el comunicado de la compañía de Redmond, la falla afecta a todas las versiones de ASP.Net. Por lo tanto, una corrección se debe proporcionar a todos los sistemas operativos compatibles, siendo el Windows XP Service Pack 3 (SP3) y Server 2003 a Windows 7 y Server 2008 R2. Otros productos como IIS y SharePoint también se actualizarán.
Los hackers responsables del establecimiento, Rizzo y Duong, dijo que los ataques que se aprovechan de la falla puede acceder a las aplicaciones Web con prioridad administrativa, como consecuencia de "la pérdida de datos sensibles a la destrucción completa del sistema." Se estima que el 25% de todos los sitios utilizan el ASP.Net.
Mientras que la corrección no es
Aunque Microsoft ha dicho que una solución está en el camino, ella no dio a conocer una línea de tiempo. Mientras tanto, los desarrolladores sugiere una medida provisional:
"Usted puede prevenir este problema al permitir el uso de CustomError ASP.Net, y configurarlo para que siempre regrese a la misma página de error - independientemente de la culpa se encuentra en el servidor", escribió Scott Guthrie, algunos de los equipos responsables del desarrollo de negocios, incluyendo que ejecuta el ASP.Net. "Al dirigir todas las páginas de error en un solo lugar, se evita que un hacker para distinguir entre los diferentes errores que se produjeron".
El director de operaciones de seguridad en la empresa de seguridad nCircle confirmó que la vulnerabilidad es "preocupante".
"En cuanto a los servicios públicos, la gente tendrá miedo a los ataques que pueden acceder a cualquier documento. Por ejemplo, el archivo "web.config", que figuran en el tradicional nombre de usuario / contraseña ".
Para ayudar a los desarrolladores, Microsoft ha publicado un script en Visual Basic puede detectar la vulnerabilidad en las aplicaciones ASP.NET, y proveer un foro único para las cuestiones relacionadas con el problema.
