Protection des extensions FrontPage de Microsoft

Protection des extensions FrontPage de Microsoft

FrontPage Server Extension est un ensemble d'outils installés sur IIS (Internet Information Server) et permettant de gérer le contenu des sites web créés à partir de la suite FrontPage. Elles permettent, entre autres, aux auteurs de pages web de les mettre à jour en temps réel sur le serveur.

Comme déjà abordé dans l'information intéressante CERT-IST/IF-2000.006, il a été découvert des dénis de service sur les exentensions FrontPage empêchant alors les concepteurs de pages web de gérer ces dernières. On notera cependant que le service de consultation n’est pas affecté par ce problème.

Ainsi, des répertoires inutiles à la consultation peuvent être atteints depuis Internet. C’est le cas du répertoire \inetPub\wwwroot\_vti_bin. Un utilisateur malintentionné pourra accéder aux fichiers de ce répertoire afin de créer ces dénis de service.

Le CERT-IST vous recommande alors de vérifier les permissions sur ce répertoire.

Permissions conseillées pour _vti_bin :

• utilisateurs (lecture, exécution),
• auteurs (lecture, exécution),
• administrateurs (lecture, exécution)

Selon Microsoft, dans la prochaine mise à jour des extensions FrontPage devrait corriger ce problème.

Avis du CIAC : http://ciac.llnl.gov/ciac/bulletins/k-048.shtml

Information Intéressante du CERT-IST : CERT-IST/IF-2000.006