{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cUL\u003e    \u003cLI\u003eSyst\u00e8mes Unix avec FrontPage Extensions utilisant les    serveurs web suivants :      \u003cUL\u003e        \u003cLI\u003eApache 1.1.3 ou 1.2\u003c/LI\u003e        \u003cLI\u003eCERN 3.0\u003c/LI\u003e        \u003cLI\u003eNCSA 1.5.2\u003c/LI\u003e        \u003cLI\u003eNetscape Commerce Server 1.12, Communications Server        1.12, Enterprise Server 2.0 et 3.0, FastTrack 2.0\u003c/LI\u003e        \u003cLI\u003eO\u0027Reilly Website\u003c/LI\u003e      \u003c/UL\u003e    \u003c/LI\u003e    \u003cLI\u003eWindows NT avec FrontPage Extensions utilisant les serveurs    web suivants :      \u003cUL\u003e        \u003cLI\u003eInternet Information Server 2.0 ou plus (incluant IIS        4.0)\u003c/LI\u003e        \u003cLI\u003eNetscape Commerce Server 1.12, Communications Server        1.12, Enterprise Server 2.0 et 3.0, FastTrack 2.0\u003c/LI\u003e        \u003cLI\u003eO\u0027Reilly Website\u003c/LI\u003e        \u003cLI\u003eFrontPage Personal Webserver\u003c/LI\u003e      \u003c/UL\u003e    \u003c/LI\u003e    \u003cLI\u003eLes modules d\u0027extension de FrontPage fonctionnent aussi    sous Windows 95 et 98, mais leurs vuln\u00e9rabilit\u00e9s ne sont pas    \u00e9tudi\u00e9es ici, car ces syst\u00e8mes n\u0027ont pas de syst\u00e8mes de    s\u00e9curit\u00e9 par le biais de privil\u00e8ges.\u003c/LI\u003e  \u003c/UL\u003e",
  "content": "## Description\n\nOn peut d\u00e9signer trois cat\u00e9gories d\u0027utilisateurs des serveurs g\u00e9r\u00e9s par\nFrontPage :\n\n1.  les administrateurs qui administrent le serveur web\n2.  les auteurs (authors) qui cr\u00e9ent et modifient les pages web du site\n3.  les utilisateurs (users) : toute personne susceptible de naviguer\n    sur le site web, y compris l\u0027utilisateur invit\u00e9 IUSR\\_ si l\u0027acc\u00e8s\n    anonyme est activ\u00e9.\n\nLes modules d\u0027extension de FrontPage peuvent \u00eatre install\u00e9s\nautomatiquement avec Internet Information Server sur un serveur Windows\nNT. Ils sont aussi utilis\u00e9s par d\u0027autres gestionnaires de site web tels\nque Visual InterDev. Une installation automatique rend par d\u00e9faut les\nmodules inaccessibles \u00e0 distance, ce qui est le fonctionnement\nrecherch\u00e9.\n\nSous Windows NT comme sous Unix, les permissions d\u0027un r\u00e9pertoire peuvent\n\u00eatre modifi\u00e9es de fa\u00e7on r\u00e9cursive, c\u0027est-\u00e0-dire que les modifications\nseront appliqu\u00e9es \u00e0 tous ses fichiers et sous-r\u00e9pertoires.\n\nLes modules d\u0027extension sont situ\u00e9s dans le r\u00e9pertoire \\_vti_bin/,\n\\_vti_bin/\\_vti_aut/, et \\_vti_bin/\\_vti_adm/ install\u00e9s dans le\nr\u00e9pertoire racine du serveur web. Ils sont au nombre de\ntrois[^1^](#foot32) :\n\n1.  \\_vti_bin/shtml.dll qui g\u00e8re l\u0027interaction entre l\u0027utilsateur\n    consultant le site web et les formulaires HTML. Il doit \u00eatre\n    accessible par tout utilisateur.\n2.  \\_vti_bin/\\_vti_adm/admin.dll commande l\u0027administration du site web,\n    et dont l\u0027acc\u00e8s doit \u00eatre restreint aux administrateurs du site web.\n3.  \\_vti_bin/\\_vti_aut/author.dll qui sert \u00e0 l\u0027\u00e9dition distante des\n    pages du site web, et dont l\u0027acc\u00e8s doit \u00eatre limit\u00e9 aux\n    administrateurs du site ainsi qu\u0027aux seuls auteurs qui ont\n    l\u0027autorisation de modifier les pages de ce site.\n\nUn administrateur du site peut changer par inadvertance les privil\u00e8ges\npar d\u00e9faut de ces r\u00e9pertoires, en changeant de fa\u00e7on r\u00e9cursive les\nprivil\u00e8ges d\u0027un r\u00e9pertoire parent (situ\u00e9 en amont dans l\u0027arborescence du\ndisque sur lequel ils sont install\u00e9s).\n\nIl rend alors son serveur vuln\u00e9rable.\n\n## Solution\n\nIl faut v\u00e9rifier et appliquer, si n\u00e9cessaire, les permissions des\nr\u00e9pertoires comme suit :\n\n-   Sous Windows NT :\n    -   \\_vti_bin utilisateurs (rx)(rx)[^2^](#foot38), auteurs (rx)(rx),\n        administrateurs (rx)(rx).\n    -   \\_vti_adm administrateurs (rx)(rx) pas d\u0027acc\u00e8s aux auteurs ou\n        aux utilisateurs.\n    -   \\_vti_aut auteurs (rx)(rx) administrateurs (rx)(rx) pas d\u0027acc\u00e8s\n        aux utilisateurs\n\n-   Sous Unix, c\u0027est \u00e0 partir du fichier d\u0027acc\u00e8s du\n    serveur[^3^](#foot40) que FrontPage g\u00e8re une liste des utilisateurs,\n    groupes et privil\u00e8ges distincte de celle utilis\u00e9e par le syst\u00e8me, il\n    faut alors modifier les param\u00e8tres de ce fichier de la m\u00eame fa\u00e7on\n    qu\u0027on g\u00e8re les permissions des scripts ISAPI et CGI[^4^](#foot41)\n    conform\u00e9ment au tableau [2](#tab:permissions).\n\n      \n\n    \u003cdiv markdown=\"1\" align=\"center\"\u003e\n\n    \u003ctable\u003e\n    \u003ccaption\u003e\u003cstrong\u003eTableau 2:\u003c/strong\u003e permissions \u00e0 associer aux modules\n    d\u0027extensions de FrontPage\u003c/caption\u003e\n    \u003ccolgroup\u003e\n    \u003ccol style=\"width: 100%\" /\u003e\n    \u003c/colgroup\u003e\n    \u003ctbody\u003e\n    \u003ctr class=\"odd\"\u003e\n    \u003ctd\u003e\u003cdiv data-align=\"center\"\u003e\n    \u003ctable data-align=\"center\" data-border=\"1\" data-cellpadding=\"3\"\u003e\n    \u003ctbody\u003e\n    \u003ctr class=\"odd\" data-valign=\"baseline\"\u003e\n    \u003ctd style=\"text-align: left;\"\u003e\u00a0\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eAdministrateur(s)\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eAuteur(s)\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eUtilisateurs\u003c/td\u003e\n    \u003c/tr\u003e\n    \u003ctr class=\"even\" data-valign=\"baseline\"\u003e\n    \u003ctd style=\"text-align: left;\"\u003e_vti_bin/ et shtml.exe\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eGET, POST\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eGET POST\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eGET POST\u003c/td\u003e\n    \u003c/tr\u003e\n    \u003ctr class=\"odd\" data-valign=\"baseline\"\u003e\n    \u003ctd style=\"text-align: left;\"\u003e_vti_bin/_vti_adm/ et admin.exe\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eGET, POST\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003ePas d\u0027acc\u00e8s\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003ePas d\u0027acc\u00e8s\u003c/td\u003e\n    \u003c/tr\u003e\n    \u003ctr class=\"even\" data-valign=\"baseline\"\u003e\n    \u003ctd style=\"text-align: left;\"\u003e_vti_bin//_vti_aut/ et author.exe\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eGET, POST\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003eGET POST\u003c/td\u003e\n    \u003ctd style=\"text-align: left;\"\u003ePas d\u0027acc\u00e8s\u003c/td\u003e\n    \u003c/tr\u003e\n    \u003c/tbody\u003e\n    \u003c/table\u003e\n    \u003cspan\u003e\u003c/span\u003e\n    \u003c/div\u003e\u003c/td\u003e\n    \u003c/tr\u003e\n    \u003c/tbody\u003e\n    \u003c/table\u003e\n\n    **Tableau 2:** permissions \u00e0 associer aux modules d\u0027extensions de\n    FrontPage\n\n    \u003c/div\u003e\n\n      \n",
  "cves": [],
  "links": [
    {
      "title": "Documentation de Microsoft sur FrontPage98 Server    Extensions Ressource Kit :",
      "url": "http://officeupdate.microsoft.com/frontpage/wpp/serk98/"
    },
    {
      "title": "Avis du CIAC :",
      "url": "http://www.ciac.org/ciac/bulletins/k-048.shtml"
    },
    {
      "title": "Documentation de Microsoft sur FrontPage98 Server    Extensions Ressource Kit :",
      "url": "http://officeupdate.microsoft.com/frontpage/wpp/serk/scintro.htm"
    }
  ],
  "reference": "CERTA-2000-AVI-011",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2000-06-27T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "D\u00e9figuration de site web. le ciac indique que le risque est \u00e9lev\u00e9, car de multiples pages web ont d\u00e9j\u00e0 \u00e9t\u00e9 d\u00e9figur\u00e9es par exploitation des permissions des modules d\u0027extensions de frontpage (frontpage server extensions ressource kit)"
    }
  ],
  "summary": "Les modules d\u0027extensions de FrontPage (Frontpage Server Extensions\nRessource Kit) constituent un jeu de programmes permettant la gestion de\nsite web : compl\u00e9ment \u00e0 l\u0027administration du serveur, modifications \u00e0\ndistance des pages web et d\u0027autres outils comme, par exemple, le tri des\npages web, et suivi de fils de discussions dans les forums etc.\n\nUn administrateur peut rendre, par inadvertance, les modules de gestion\nde site web de FrontPage ex\u00e9cutables par tous, en changeant les\npermissions appliqu\u00e9es par d\u00e9faut aux r\u00e9pertoires d\u0027un site web g\u00e9r\u00e9 par\nFrontPage.\n",
  "title": "Probl\u00e8mes de privil\u00e8ges dans les extensions de FrontPage",
  "vendor_advisories": []
}