Bienvenue sur ZATAZ

Sécurité

Faille de sécurité importante avec Plesk

Publié le 27-08-2007 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal

Pub : CA Personal Firewall 2007 - Contrecarrez les intrus!

Note des lecteurs: 2.4/5

Un étudiant français découvre comment piéger une solution Internet utilisée par les plus gros hébergeurs dans le monde.

Spami a 19 ans, cet internaute français, étudiant, passionné d'informatique n'a rien d'un pirate. On peut même parler de White Hat. Il vient de mettre la main sur un problème qui pourrait devenir grave si les utilisateurs de la solution Plesk ne réagissent pas. Plesk est édité par la société SWsoft. C'est une solution complète choisie par les plus gros hébergeurs dans le monde. Son panneau de contrôle convient à la fois pour l'hébergement mutualisé, virtualisé et dédié. De plus, il est conçu pour faciliter la gestion et l'administration des sites Web. En effet, le panneau de contrôle Plesk automatise un grand nombre de tâches, permettant ainsi aux hébergeurs de réduire la consommation de ressources et les coûts d'exploitation. Dans le même temps, ils gagnent en rentabilité, en efficacité et répondent parfaitement aux exigences de leurs clients.

Spami a découvert, il y a quelques heures, comment il était possible de corrompre n'importe quel serveur. "Votre serveur pourrait tomber entre de mauvaise main, explique-t-il à la rédaction de zataz.com, C'est à peu près ce qui risque d'arriver si vous commandez un serveur dans quelques temps." Cet étudiant a découvert une "problème" de sécurité avec Plesk. On ne peut pas vraiment appeler ça une faille puisque le "trou" ne provient pas de Plesk lui même, mais plutôt de l'attribution des serveur sous Plesk par les sociétés d'hébergement tel que Dédibox, 1&1, ...

Avec la méthode de Spami, le pirate devient le maître de la machine. Certains vont annoncer que les CGV des sociétés ne sont pas responsables, ... Et si un pirate reproduisait la manipulation plusieurs fois, ce constituant ainsi un parc de serveur assez important pour lancer une attaque de type DDoS... Ces sociétés seront responsables aux yeux de la Justice puisque c'est l'infrastructure qui est en défaut.

"Les solutions pour annuler ce problème pourraient être les suivantes, explique Spami, à la rédaction de zataz.com, Ne plus héberger avec Plesk ; Changer les identifiants par défaut manuellement et mettre les mêmes que sur les accès root ; Mettre un .htaccess à la racine avec les identifiant root pour empêcher le scanning et la pénétration de plesk vierge."

Une méthode qui semble être appliquable pour des centaines de société. Si ce n'est pas rapidement réglé, un chaos énorme risque d'apparaitre rapidement. Un simple script perl pourrait permettre de scanner les serveurs en danger.

Derniers contenus

ISOC ECC contre le projet HADOPI, une opposition argumentée

La Coordination Européenne de l'Internet Society contre le projet HADOPI : une opposition argumentée.

Regarder gratuitement et légalement le nouveau film de Michael Moore

Le réalisateur américain Michael Moore va propose aux américains de visionner gratuitement et légalement sur Internet son prochain brulot cinématographique, Slacker Uprising.

Un virus sur le site du Nouvel Observateur

Étrange apparition sur le site officiel du journal Le Nouvel Observateur. Une alerte virus informatique inquiétante.

La France diffuse des brochures pour protéger les enfants sur Internet

La secrétaire d'État à la Famille, Nadine Morano, lance une campagne d'information via 4.5 millions de brochures afin de protéger les enfants sur Internet.

18 mois de prison pour une sale e-blague

Un étudiant écope de 18 mois de prison ferme pour avoir poster sur un site du gouvernement Chinois une fausse alerte au tremblement de terre.

Un pirate nord-coréen arrêté pour e-espionnage

Un internaute de 34 ans arrêté pour avoir orchestré un espionnage électronique très ciblé à l'encontre du Ministère de la Défense.

12 millions de nouvelles données bancaires dans la nature

En février dernier, une banque new-yorkaise annonçait avoir perdu 4 millions de données bancaires. Il semble que cela soit trois fois plus.

Des bulletins de votes optiques disparaissent en Floride

Les élections présidentielles américaines arrivent. Déjà les premiers problèmes informatiques annoncés.