Vulnerabilidade IIS

 

Pessoal,

 

A Microsoft está investigando uma vulnerabilidade que pode permitir elevação de privilégio de usuários autenticados para LocalSystem. ( Pulicado em 17 de Abril )

 

Sistemas operacionais afetados : Windows XP Professional Service Pack 2 e todas as versões e edições do Windows Server 2003, Windows Vista, e Windows Server 2008.

 

Para quem permite aos usuários a execução de código em um contexto autenticado, utilizando por exemplo o ISAPI filters e extensões e código ASP.NET code executando com permissões full, deverá rever esta permissão.

 

Nota : Instalações default do IIS 5.1, IIS 6.0, e IIS 7.0 não são afetadas por esta vulnerabilidade.

 

Provedores de hospedagem podem ter um aumento de risco com esta vulnerabilidade de elevação de privilégio.

 

Ações sugeridas

IIS 7.0 – Especifique o WPI para uma pool de aplicações

Metódo 1 –

utilizando o IIS Manager

 

1.   No IIS Manager, expanda o nó do servidor, clique em Pool de Aplicações, botão-direito-mouse em pool de aplicação e, em seguida, clique em Configurações avançadas…
 
2.   Localize a identidade,… e clique no botão para abrir a caixa de diálogo Identidade do Pool de Aplicação.
 
3.   Selecione a opção Conta Customizada e clique em Definir para abrir a caixa de diálogo Definir Credenciais. Informe o Nome do Usuário e a Senha. Digite novamente a senha na caixa Confirmar senha e, em seguida, clique em OK.

 

Metódo 2– utilizando o APPCMD.exe

1.

No command prompt, altere o caminho para o difretório %systemroot%system32inetsrv.

2.

Execute o APPCMD.exe utilizando a seguinte sintaxe: string é o nome do pool de aplicação; Username string é o nome da conta de usuário a ser atribuida ao pool de aplicação; Password string é a senha da conta. appcmd set config /section:applicationPools / [name=’string’].processModel.identityType:SpecificUser / [name=’string’].processModel.userName:string / [name=’string’].processModel.password:string

Nota: Identidades do Pool de Aplicações são adicionadas dinâmicamente ao grupo  IIS_WPG group no IIS7 e não precisam ser adicionadas manualmente

 

Impacto da Solução: Gerenciar a contas de usuário adicionais criados nesta ação resultará num aumento da sobrecarga administrativa. Dependendo da natureza das aplicações em execução neste pool de aplicações, a funcionalidade da aplicação pode ser afetada.

 

 

Para mais informações a respeito, consulte o link

http://www.microsoft.com/technet/security/advisory/951306.mspx

 

ASP.NET 2.0 Guia de Implementação de Host

Pessoal,

 

A Microsoft disponibilizou um documento com orientações e um conjunto de ferramentas, melhores práticas, scripts, amostras de código e documentação para podermos usar para desenvolver um ambiente de hospedagem altamente disponível e escalável.

 

Para quem tem o dominio da lingua inglesa, segue a URL do documento.

http://download.microsoft.com/download/3/f/0/3f0533c9-f84a-4627-b0c4-38608e61a06d/MSFTHostingGuidance.pdf

 

Estarei nestes dias, publicando em portugues, as orientações.

 

System Center Virtual Machine 2008. O que há de novo?

 

O SCVMM 2008 está em versão beta. Mas o que há de novo no produto?

 

Suporte a VMs rodando no Windows Server 2008, incluindo suporte a Hyper-V’s com arquitetura 64 Bits e suporte a cluster de failover.

• Suporte a gerenciamento de hosts rodando Hyper-V ( inclusive remotos via console do SCVMM ). Detecção automática dos hosts virtuais que são adicionados ou removidos do cluster, aliviando assim o fardo sobre o administrador para gerir essa função. Console para diversas tarefas relacionadas com o cluster como designação e gestão das reservas cluster, unidades de disco, guest clusters, entre outros.
• Ainda tem mais… além de dar suporte a todas as funcionalidades do Hyper-V, provê ainda uma série de funcionalidades específicas, tais como :
  • Suporte a  Intelligent Placement, 
  • Portal de Servços ( Self-Service Portal ),
  • e biblioteca integrada ( VM’s, iso’s etc ).

Plataforma de suporte Multi-vendor ( outros fornecedores de virtualização )

• O SCVMM 2008 integra e gerencia maquinas virtuais rodando VMware ESX infrastructure e Microsoft Virtual Server
• Provê suporte para VMware VI3 incluindo suporte ao v-motion ( habilidade de mover maquinas virtuais a "quente" entre maquinas fisicas, sem downtime )
• Intelligent Placement ( disponibilização inteligente de vm’s baseado em requesitos de hardware ),  consolidation candidate ( recomendações de consolidação de VM’s)
• Scripts Power Shell para customização, automatização e porque não dizer também, gerenciamento são suportados para implementações Hyper-V, VMware ESX ou Virtual Server

Performance e otimização de recursos (PRO)

Nova característica que responde dinamicamente a falhas de cenário e de a componentes mal configurados que são indentificados em hardwares, sistemas operacionais ou aplicações.

Trabalhar através do PRO vai permitir a gerenciamento de Packs e em conjunto com o SC Operations Manager 2007 a capacidade de monitorização, podendo alertar um administrador de um sistema ou aplicação comprometida recomendando medidas correctivas ou ainda respondendo automaticamente a criando um sistema que seja responsivo.

Devido ao nível muito mais granular de controles disponíveis para o PRO, uma vasta gama de hardware, sistemas operacionais ou aplicações podem acionar o PRO para tomar medidas correctivas.