Comisión de Seguridad

Abyss web server es un famoso servidor web gratuito y muy extendido por su facilidad y manejo para pequeños administradores web, el fallo consiste que un atacante maligno intenten con el procedimiento de fuerza bruta "romper" la contraseña que protege el interfaz del administrador sin conseguir que se quede un log de estos intentos de ataques o una parada del ataque.

Con solo teclear http://abyss_server:9999
el atacante puede utilizar un método de fuerza-bruta para acceder al servidor. No hay tentativa incorrecta y el atacante puede generar un número indefinido de tentativas hasta conseguir el usuario y clave de acceso. El servidor crea un log de IPs en el fichero access.log pero solo para el puerto 80 (la gente que visita la web publicada), pero no registra las IPs que intenta acceder al puerto 9999 de configuración, esto hace que el atacante no quede registrado sus movimientos.

Parece que este fallo no es importante , pero si atacante consigue entrar puede cambiar la ruta del servidor web y puede acceder al contenido de todos los ficheros del disco donde este instalado el servidor web.

Solución; la casa Aprelium actualizara el servidor web para solventar estos errores.