Orange Business Services
Vigil@nce Vigil@nce Vigil@nce
nous veillons pour votre sécurité depuis 1999
  accueil présentation vulnérabilités documentation contact  
espace abonné espace abonné
accès gratuit accès gratuit
L'équipe Vigil@nce veille les vulnérabilités qui affectent votre parc informatique, puis propose les correctifs, une base et les outils pour y remédier.
vulnérabilités récentes vulnérabilités récentes
produits suivis produits suivis
fil RSS fil RSS
vulnérabilité

bulletin de vulnérabilité CVE-2010-3332

ASP.NET : obtention d'information via Padding Oracle

Synthèse de la vulnérabilité

Un attaquant peut employer ASP.NET en tant qu'oracle pour déchiffrer des informations comme l'objet View State, ou lire un fichier comme "web.config".
Produits concernés : IIS, .NET Framework, Windows 2000, Windows 2003, Windows 2008, Windows 7, Windows Vista, Windows XP, SUSE Linux Enterprise Desktop, SLES.
Gravité : 3/4.
Date création : 20/09/2010.
Références : 2416728, 2418042, BID-43316, CERTA-2010-AVI-458, CVE-2010-3332, MS10-070, SUSE-SU-2012:0393-1, VIGILANCE-VUL-9953.

Description de la vulnérabilité

Les pages ASP peuvent utiliser une variable cachée nommée __VIEWSTATE, contenant l'état d'un formulaire. Ce View State, ainsi que le contenu des cookies, peut être chiffré par AES.

Lorsque la taille des données n'est pas un multiple de la taille des blocs de chiffrement, des octets de bourrage (padding) sont ajoutés. Le padding PKSC#7 consiste à ajouter des octets dont la valeur correspond à la taille du padding. Par exemple :
 - 01
 - 02 02
 - etc.
Le contenu en clair du padding est donc connu.

Lorsque le padding est invalide, une application ASP.NET génère l'exception System.Security.Cryptography.CryptographicException ("Padding is invalid and cannot be removed"). Ce message d'erreur est différent des autres erreurs. Une application ASP.NET peut donc servir d'oracle qui indique si un bloc est valide.

Un attaquant peut donc, octet après octet, faire varier le padding pour obtenir un message d'erreur différent, et progressivement déterminer la clé de chiffrement. L'attaquant peut alors par exemple déchiffrer le contenu du View State ou de cookies. Il peut aussi chiffrer des données illicites et les envoyer au serveur qui les interprètera comme étant valides.

Par extension, cette vulnérabilité permet aussi de lire les fichiers accessibles par l'application, comme "web.config".

Un attaquant peut donc employer ASP.NET en tant qu'oracle pour déchiffrer des informations comme l'objet View State, ou lire un fichier comme "web.config".
Bulletin Vigil@nce complet.... (accès gratuit)

Partagez ce bulletin

Delicious Digg Facebook Google bookmarks LinkedIn Mail Reddit StumbleUpon Technorati Twitter 

Service de veille sur les vulnérabilités informatiques

Vigil@nce fournit des avis de vulnérabilité de logiciel. L'équipe Vigil@nce surveille les vulnérabilités informatiques de systèmes et d'applications. Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information. La veille sécurité Vigil@nce publie des bulletins de vulnérabilités pour les failles qui impactent le système d'information.



















Copyright 1999-2014 Vigil@nce. Vigil@nce est proposé par Orange Business Services. Plan du site. Mention légale. English version