SEGURANÇA

Microsoft Security Bulletin (MS99-019)

Por Nelson Murilo (nelson@pangeia.com.br)

Patch Available for "Malformed HTR Request" Vulnerability

Originally Posted: June 15, 1999
Updated: June 18, 1999 [...]

Uma recente vulnerabilidade descoberta em servidores IIS, que permite remotamente executar um código arbitrário contra um servidor NT, e que pode ter sido responsável pela onda de ataques a sites do governo, no último fim de semana, traz à tona uma antiga discussão sobre acesso aos códigos fonte.

Neste caso em especial, o grupo responsável pela descoberta disse que só liberou a forma de explorar a vulnerabilidade porque antes reportaram o problema ao fabricante e esse não o considerou grave, já o fabricante retrucou dizendo que não respondeu a tempo porque os 2 (dois) responsáveis pelos contatos na área de segurança da empresa estavam gripados.

Ano passado analisando o código de um conhecido servidor de FTP (WU-FTPD) foi identificada e corrigida uma vulnerabilidade que só veio a ser reportada e corrigida oficialmente há poucos meses. Mesmo que a forma de explorar a vulnerabilidade tivesse sido divulgada antes do patch (como foi o caso do exemplo do ISS) administradores que rodavam a versão com a correção extra-oficial já não estavam vulneráveis.

Existe uma preocupação em muitos países com o desenvolmento de criptografia própria (ou feita sob encomenda) para uso militar, mas estes mesmos países estão formando seu parque computacional baseados em sistemas operacionais proprietários, aos quais não se tem acesso às linhas de código, o que numa primeira avaliação parece macular a garantia de soberania dessas nações. Não se está discutindo a qualidade do programa ou o nome que toda empresa tem a zelar, mas sim impossibilidade de se antecipar diante de um problema, por não ter a opção de examinar um aplicativo ou o próprio sistema escolhido para o ambiente computacional.

Apesar de o assunto dar margem a fanatismos, o certo é que ficar dependente do ritmo de liberação de patches do fabricante, não parece ser uma opção confortável para administradores preocupados com a segurança da sua instalação. Uma auditoria deveria, sempre que possível, verificar os códigos fontes não somente das aplicações como também do sistema operacional, compiladores e demais componentes criticos do sistema (hardware inclusive) visto que uma falha ainda não detectada neste pode por a perder toda uma instalação, mesmo que as aplicações estejam devidamente protegidas.