Barrapunto

...el día que Theo De Raadt sea capaz de mover tantos maletines como Bill Gates.

Mientras tanto, sigamos disfrutando de los sistemas Microsoft y la divertida realidad: a día de hoy, no importa que el desarrollo de Windows Vista cueste 1 millón ó 70.000 chorrillones de dólares, porque mientras Microsoft gastaba CAMIONES [worsleyschool.net] de dinero en marketing y compra de gobiernos y ministerios a lo largo y ancho del globo terrestre, humildes pero jodidamente buenos programadores creaban sistemas aplassstantemente superiores y los ofrecían al público de manera totalmente libre.

Sigan defendiendo a Windows. Sigan creyendo cual integristas religiosos que su código es mejor que el de cualquier sistema UNIX libre. Sigan revolcándose en su ignorancia cual gorrino en una charca de lodo, pensando que no existe nada más allá de .NET o Visual_Mierdas. Sigan apoyando el uso de Windows en las Administraciones. Sigan así y al final seremos pasto de piratas informáticos de 4 de la ESO que venderán nuestros datos a empresas chinas y saquearán nuestras cuentas del banco como si nada.

¿Y usted? ¿Hasta cuándo va a seguir apoyando el software propietario en la Administración?

Gracias por su atención.

Leyendo el advisory [microsoft.com], esta vulnerabilidad afecta a instalaciones del IIS en las cuales se ejecuta una aplicación web *con* Full Trust (Cosa que no sucede por defecto, hay que configurarlo ex profeso), y a la que además no se le ha cambiado la identidad por defecto del proceso que ejecuta las páginas.

Es decir, que esos "cientos de miles de servidores" (juas, juas) no cumplian con las mínimas necesidades de seguridad que el Microsoft Baseline Analyzer te canta, ya de salida.

Es mas de lo mismo de lo que hablabamos con la UAC. A un desarrollador que no tiene ni puta idea no le sale una cosa, y configura el IIS a Full Trust para que le salga. En lugar de hacerlo bien, o dar permisos concretos en sitios concretos.

Y además desarrollan ejecutando la web con un usuario como Network Services en lugar de usar un usuario totalmente limitado, como hay que hacerlo.

Evidentemente, esto que sucede es un bug. Pero uno que no sucede si el equipo de desarrollo ha seguido las mínimas precauciones de seguridad. Es más, no sucede incluso aunque se deje la instalación por defecto... ¡Hay que darle permisos totales explicitamente para que pase!

Por cierto, el dato de cientos de miles de servidores me hace mucha gracia. Primero, porque en la página de Panda donde hablan de ello [pandasecurity.com] salen 282.000 páginas, no websites. Segundo, porque el ataque secundario que introducen en las páginas podía estar ya muy extendido (Seguramente en páginas porno y de warez), y es un poco absurdo achacar todas las apariciones a esta vulnerabilidad. De hecho, ni tan siquiera se han molestado en filtrar esas apariciones por tipos de página aspx.

En fin, si, es un bug. Pero la noticia de aquí y del blog que enlaza, apestosamente desinformada. Nihil novum sub solis.

Por un lado pobre al que le haya pasado esto.

Por otro lado, la víctima no creo que vaya recomendando por ahí un software más seguro que la competencia [microsoft.com]. Mala publicidad para un software no bueno.

Espero que las víctimas hayan aprendido algo...

esta noticia vino en represalia a la noticia anterior, sólo que con más fuerza. :)

¿Fallas de seguridad propias del software de Microsoft?

El Puto Artículo dice:

----> Do note that this attack doesn't use vulnerabilities in any of those two applications. What makes this attack possible is poorly written ASP and ASPX (.net) code.

Es triste que existan noticias que falten a la verdad y desinformen a los usuarios:

Cogemos 4 noticias las mezclamos convenientemente y ponemos Microsoft en el titular con una mensaje alarmista:Los ataques no tienen nada que ver con la vulnerabilidad, http://www.f-secure.com/weblog/archives/00001427.h tml/ [f-secure.com]

"We've received some questions on the platform and operating systems affected by this attack. So far we've only seen websites using Microsoft IIS Web Server and Microsoft SQL Server being hit. Do note that this attack doesn't use vulnerabilities in any of those two applications. What makes this attack possible is poorly written ASP and ASPX (.net) code."

La vulnerabilidad publicada, tiene alternativas: http://www.microsoft.com/technet/security/advisory /951306.mspx/ [microsoft.com]

Apache es un proyecto muy bueno, pero como todo el software, también tiene problemas: http://httpd.apache.org/security/vulnerabilities_2 2.html/ [apache.org]
A ver si damos la información igual de libre/clara que el software

¿Tú crees que M$ se va a gastar un pastón en eso, pudiéndoselo gastar en publicidad engañosa (FUD [wikipedia.org]. Además, parece que es lo que más le gusta)?

Tiene pinta de que es debido a la versión (independiente de la plataforma ;)) http://wordpress.org/development/2008/04/wordpress -251// [wordpress.org]