Bienvenue sur ZATAZ

Sécurité

Faille de sécurité importante avec Plesk

Publié le 27-08-2007 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal

Pub : Tous les logiciels firewall gratuits disponibles sur Internet

Note des lecteurs: 2.4/5

Un étudiant français découvre comment piéger une solution Internet utilisée par les plus gros hébergeurs dans le monde.

Spami a 19 ans, cet internaute français, étudiant, passionné d'informatique n'a rien d'un pirate. On peut même parler de White Hat. Il vient de mettre la main sur un problème qui pourrait devenir grave si les utilisateurs de la solution Plesk ne réagissent pas. Plesk est édité par la société SWsoft. C'est une solution complète choisie par les plus gros hébergeurs dans le monde. Son panneau de contrôle convient à la fois pour l'hébergement mutualisé, virtualisé et dédié. De plus, il est conçu pour faciliter la gestion et l'administration des sites Web. En effet, le panneau de contrôle Plesk automatise un grand nombre de tâches, permettant ainsi aux hébergeurs de réduire la consommation de ressources et les coûts d'exploitation. Dans le même temps, ils gagnent en rentabilité, en efficacité et répondent parfaitement aux exigences de leurs clients.

Spami a découvert, il y a quelques heures, comment il était possible de corrompre n'importe quel serveur. "Votre serveur pourrait tomber entre de mauvaise main, explique-t-il à la rédaction de zataz.com, C'est à peu près ce qui risque d'arriver si vous commandez un serveur dans quelques temps." Cet étudiant a découvert une "problème" de sécurité avec Plesk. On ne peut pas vraiment appeler ça une faille puisque le "trou" ne provient pas de Plesk lui même, mais plutôt de l'attribution des serveur sous Plesk par les sociétés d'hébergement tel que Dédibox, 1&1, ...

Avec la méthode de Spami, le pirate devient le maître de la machine. Certains vont annoncer que les CGV des sociétés ne sont pas responsables, ... Et si un pirate reproduisait la manipulation plusieurs fois, ce constituant ainsi un parc de serveur assez important pour lancer une attaque de type DDoS... Ces sociétés seront responsables aux yeux de la Justice puisque c'est l'infrastructure qui est en défaut.

"Les solutions pour annuler ce problème pourraient être les suivantes, explique Spami, à la rédaction de zataz.com, Ne plus héberger avec Plesk ; Changer les identifiants par défaut manuellement et mettre les mêmes que sur les accès root ; Mettre un .htaccess à la racine avec les identifiant root pour empêcher le scanning et la pénétration de plesk vierge."

Une méthode qui semble être appliquable pour des centaines de société. Si ce n'est pas rapidement réglé, un chaos énorme risque d'apparaitre rapidement. Un simple script perl pourrait permettre de scanner les serveurs en danger.

Derniers contenus

L´ANSSI recrute de manière originale

06-02-2012 à 19:16 - 0 commentaire(s)

INFO ZATAZ - L´Agence Nationale de la Sécurité des Système d'Information lance un recrutement fort sympathique pour les amateurs de chiffrement.

Nouvelle attaque à l´encontre des clients du Crédit Agricole

05-02-2012 à 10:43 - 0 commentaire(s)

INFO ZATAZ - Nouvelle tentative de vol de données bancaires appartenant aux clients de la banque française Crédit Agricole.

Sauvegarde des conversations téléphoniques pour France télévision

04-02-2012 à 11:42 - 0 commentaire(s)

INFO ZATAZ - Un document intéressant mis à jour sur Internet visant les sociétés souhaitant faire du business avec France Télévision.

Faille sur le site Wikileaks

04-02-2012 à 11:27 - 0 commentaire(s)

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

Piège sur Facebook

04-02-2012 à 10:59 - 0 commentaire(s)

INFO ZATAZ - Un escroc se fait passer pour Coca Cola, sur Facebook, afin de mettre la main sur vos données privées.

Arnaque aux logements

04-02-2012 à 10:53 - 0 commentaire(s)

INFO ZATAZ - Depuis quelques heures, un escroc tente de louer de faux appartements en région parisienne. ZATAZ vous l´a délogé.

Une conférence téléphonique du FBI piratée par des Anonymous

04-02-2012 à 10:21 - 1 commentaire(s)

INFO ZATAZ - Une conférence téléphonique entre FBI et plusieurs polices européennes, dont la France, au sujet des Anonymous, interceptée.

La Ville de Chambéry corrige une fuite de données

04-02-2012 à 10:05 - 1 commentaire(s)

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.