Grosse faille IIS ?

On rapporte une infection massive de serveurs web Microsoft ISS. Plus de 500 000.

L'attaque ?
Une attaque par injection SQL qui insère dans les sites un bout de javascript dans une iframe qui redirige vers des sites téléchargeant des programmes infectés (domaines: nmidahena.com, aspder.com et nihaorr1.com: vous pouvez les bloquer immédiatement au niveau de votre DNS, votre firewall ou votre proxy. Et là, vive OpenDNS: il m'a fallut moins de 30 secondes pour les bloquer.).

Vous savez quoi ?
Contrairement à tout le monde, je ne blâme même pas Microsoft sur ce coup là.

L'attaque est basée sur la modification de tables système Microsoft SQL Server.

En tant qu'ancien dba SQL Server, je pense que tout dba assez stupide pour donner à l'utilisateur SQL web le droit de modifier les tables systèmes mérite ce qui lui arrive (Non, en effet, je ne suis pas tendre sur ce coup là.)

N'importe quel dba qui connaît un peu son boulot ne donne au serveur web qu'un utilisateur SQL avec juste les droits nécessaires pour travailler, et surtout pas le rôle dbo qui permet ce genre de modification.

C'est de la sécurité informatique de base, tout comme on ne donne pas les droits "admin" système à l'utilisateur qui fait tourner le service web.

Là ce n'est pas une faille dûe à Microsoft, mais une faille dûe à un mauvais paramétrage du serveur SQL par les admins (ou à une paresse: C'est tellement plus facile de mettre le rôle "dbo" pour ne pas être emmerdé par la gestion des droits sur chaque table !)

Et Microsoft est gentil: Il va publier un patch pour bloquer cette attaque.

Humpf.

L'informatique, c'est un métier. Ça s'apprend.