Défaut de sécurité : 600.000 serveurs Windows en danger, Microsoft ne patchera pas la faille

Un défaut de sécurité dans un ancien serveur Web Windows ne sera pas corrigé, même si des centaines de milliers de machines continuent d’exécuter le logiciel obsolète de Microsoft.

Un 0Day pour des serveurs Web sous Windows Internet Information Services (IIS 6) a été exploité à outrance par les pirates informatiques depuis juillet 2016. Un défaut de sécurité qui ne sera pas corrigé. Deux chercheurs en sécurité de l’Université de technologie de la Chine du Sud ont expliqué que cette faille est dorénavant connue par Microsoft, mais qu’elle ne sera pas patchée.  La version affectée d’IIS 6 a été publiée pour la première fois avec Windows Server 2003. Elle n’est plus prise en charge depuis 2015.

Bilan, Microsoft a déclaré que, par conséquent, il ne résoudrait pas la faille. Le problème n’affectant plus les nouvelles versions. Il reste 607.121 serveurs de part le monde faillibles ! Des machines que l’on trouve aux USA (+ 286.000) et en Chine (114.000) selon le moteur de recherche Shodan. Dans une publication, les chercheurs de Trend Micro ont déclaré que si cette faille étaient exploitées, la vulnérabilité permettrait une exécution de code à distance à coup de Buffer overflow. Un « simple » DDoS est aussi possible ! La désactivation du WebDAV devrait atténuer le défaut. Une mise à jour est aussi fortement conseillé. En France, j’ai pu constater 3953 serveurs faillibles.